«Il nostro core business non è l’informatica. Noi dobbiamo far viaggiare camion.»
È un’obiezione razionale. Un’azienda di trasporti non esiste per proteggere server; un’impresa manifatturiera non produce valore perché possiede un firewall; un distributore non fattura perché ha un sistema EDR.
La tecnologia deve permettere al business di funzionare. Proprio per questo la Cyber Security non va valutata soltanto in base al valore percepito dei file: va valutata in base a quanto sistemi, identità e servizi digitali sono necessari per continuare a lavorare, fatturare e incassare.
Il punto chiave è semplice: un backup può rendere recuperabili i dati senza rendere automaticamente operativo il business.
Prima di comprare altra tecnologia, misura il rischio che può realmente fermare l'azienda
Un Risk Assessment collega processi critici, identità, infrastruttura, backup e fornitori agli scenari con impatto reale sul business.
“I nostri dati non sono così importanti”
È una seconda obiezione frequente: «Non abbiamo dati particolarmente importanti. Anche se subissimo un ransomware, abbiamo il backup e potremmo ripristinare tutto».
Il ragionamento confonde due domande differenti:
- Posso recuperare i miei dati?
- La mia azienda può continuare a funzionare in tempi economicamente sostenibili?
Il backup risponde soprattutto alla prima. La sicurezza, il Disaster Recovery e la continuità operativa devono rispondere anche alla seconda.
Il backup protegge la recuperabilità. Non protegge automaticamente il business
Un buon sistema di backup è indispensabile. Ma non impedisce, da solo, che un attaccante rubi credenziali, entri nella posta elettronica, utilizzi un account aziendale per impersonare un dipendente, intercetti conversazioni con clienti e fornitori o comprometta sistemi prima che inizi la fase di recovery.
Non impedisce nemmeno che l’azienda debba fermarsi mentre vengono ricostruite identità, server, applicazioni e relazioni di fiducia. Per questo backup, protezione delle identità, detection e Incident Response non sono prodotti alternativi: coprono fasi differenti dello stesso rischio.
In una strategia moderna la Data Protection as a Service ha valore quando backup, retention, immutabilità e restore test sono integrati con un piano di recovery, non quando la copia viene considerata l’unico controllo di sicurezza.
L’attaccante potrebbe non essere interessato ai vostri file
Un’azienda non deve possedere brevetti o database “segreti” per essere utile a un criminale. Spesso il valore è nell’identità digitale dell’organizzazione e nella fiducia costruita con clienti, fornitori e partner.
Una casella Microsoft 365 compromessa può consentire di osservare conversazioni reali, fatture, ordini, interlocutori abituali e modalità con cui vengono autorizzate determinate operazioni. Il rischio economico può quindi nascere da un account apparentemente ordinario, non dal valore intrinseco dei documenti contenuti nella mailbox.
Questo è uno dei motivi per cui una baseline di sicurezza Microsoft 365 per PMI deve includere identità, Conditional Access, privilegi, posta, endpoint, audit e procedure di recovery, oltre al backup dei dati SaaS.
Il caso più intuitivo: la frode non si ripristina da un backup
Immaginiamo che un account amministrativo venga compromesso. L’attaccante segue una conversazione con un fornitore e interviene nel momento in cui viene concordato un pagamento, sostituendo le coordinate bancarie o inducendo qualcuno a utilizzare un canale di pagamento fraudolento.
Il backup delle email può essere perfettamente funzionante. Ma il problema non è la perdita del messaggio: è l’uso abusivo dell’identità aziendale e della relazione di fiducia con l’interlocutore.
Questo esempio rende evidente perché “non abbiamo dati importanti” non equivale a “non abbiamo un rischio cyber importante”.
Il ransomware non è soltanto cifratura dei file
La rappresentazione più semplice è: ransomware → file cifrati → restore → problema risolto. Un incidente reale può essere più complesso. Prima della cifratura un attaccante può ottenere privilegi, creare persistenze, compromettere credenziali, raggiungere altri sistemi o sottrarre informazioni.
In questo scenario il restore è solo una fase. Prima bisogna capire cosa è stato compromesso, contenere l’accesso, bonificare l’ambiente e scegliere un punto di ripristino affidabile.
È esattamente la distinzione che Nexsys applica nel servizio di Ransomware Recovery: forensic preliminare, bonifica, ambiente isolato e rientro controllato in produzione riducono il rischio di ripristinare dati dentro un’infrastruttura ancora compromessa.
Hai backup, ma non hai mai testato un recovery post-ransomware?
Il punto non è soltanto se la copia esiste. Va verificato come si identifica la versione integra, dove si ripristina, in quale ordine tornano i servizi e come si evita la reinfezione.
Il vero asset da proteggere è l’operatività
Torniamo all’azienda di trasporti. Il suo core business è realmente far viaggiare camion. Proprio per questo la domanda utile non è “quanto valgono i file?”, ma “cosa succede ai viaggi se una parte dell’infrastruttura digitale non è disponibile?”.
Una mattina gli autisti possono avere mezzi perfettamente funzionanti mentre l’ufficio non accede alla posta, il gestionale o TMS è indisponibile, i portali dei clienti non sono raggiungibili, alcune credenziali devono essere revocate oppure l’amministrazione non riesce a emettere documenti e fatture.
Il valore da proteggere coincide quindi con la capacità di coordinare il lavoro. Lo stesso principio vale per produzione, distribuzione, servizi professionali e Pubblica Amministrazione.
È il motivo per cui la Business Continuity distingue chiaramente recupero dei dati, ripristino dei sistemi e continuità del processo aziendale.
La domanda corretta non è “quanto valgono i dati?”
Una valutazione del rischio dovrebbe partire da domande più operative:
Quali processi generano ricavi o permettono di servire i clienti?
Quali sistemi e identità sono indispensabili per quei processi?
Quanto possiamo lavorare senza posta, gestionale, ERP/TMS o accessi remoti?
Quante persone rimarrebbero ferme e per quanto tempo?
Quali clienti o fornitori dipendono dai nostri servizi digitali?
Quanto tempo richiede realmente un restore completo e verificato?
Abbiamo mai provato a ripristinare un servizio critico, non soltanto un singolo file?
Dopo una compromissione, come stabiliamo che l’ambiente sia nuovamente affidabile?
Quando queste risposte vengono collegate a probabilità e impatto, la sicurezza smette di essere un catalogo di prodotti e diventa una decisione di gestione del rischio.
Dal costo della sicurezza al costo del fermo
Il budget cyber viene spesso letto come costo autonomo: EDR, MFA, monitoraggio, patching, backup, assessment e formazione. Il confronto corretto non è però “costo della Cyber Security contro valore dei file”.
Il confronto corretto è: costo dei controlli contro impatto economico degli scenari che quei controlli devono ridurre.
Per alcune aziende otto ore di indisponibilità sono gestibili. Per altre significano persone inattive, spedizioni o produzione rallentate, ordini non processati, ritardi, penali, straordinari e gestione d’emergenza. La postura va dimensionata su questi numeri, non su slogan generici.
Backup, Disaster Recovery, Business Continuity e Cyber Security: quattro domande diverse
Detection Time: quanto tempo passa prima che qualcuno se ne accorga?
Esiste una variabile che il backup non misura: il tempo di rilevamento. Una sequenza realistica è:
Il restore arriva molto avanti nel processo. Prima bisogna accorgersi dell’incidente, impedirgli di propagarsi, valutare le identità coinvolte e verificare l’ambiente. Per questo monitoring, EDR/MDR, logging e Incident Response risolvono problemi differenti dal backup.
“A noi non è mai successo niente”
È possibile, e non serve sostenere il contrario. La Cyber Security non dovrebbe essere venduta sulla certezza che un’azienda subirà un attacco. Deve essere gestita come gli altri rischi aziendali: probabilità per impatto.
Un’impresa non assicura un mezzo perché prevede un incidente domani. Lo fa perché esistono eventi poco frequenti che, se si verificano, hanno conseguenze che non vuole sostenere interamente. La sicurezza informatica segue la stessa logica, con controlli proporzionati al rischio reale.
Anche una piccola azienda può essere il punto di ingresso verso un cliente
Un’organizzazione potrebbe non essere l’obiettivo finale. Potrebbe essere il percorso più semplice verso un cliente o un partner con cui esiste già una relazione di fiducia.
Una mail proveniente da un fornitore reale, un account remoto autorizzato o un’applicazione condivisa sono vettori più credibili di un messaggio proveniente da un dominio sconosciuto. La sicurezza di un’impresa entra quindi nella sicurezza della filiera.
Per questo la Supply Chain Security non riguarda soltanto grandi gruppi: riguarda tutte le organizzazioni che scambiano dati, accessi, documenti o servizi con terze parti.
Da dove dovrebbe partire una PMI?
Non necessariamente dall’acquisto di un nuovo prodotto. Il punto iniziale è capire quali scenari possono realmente interrompere il business e quali controlli esistono già.
Un Risk Assessment aziendale mette in relazione processi critici, identità privilegiate, Microsoft 365, Active Directory, endpoint, servizi esposti, backup, tempi di recovery, dipendenze da fornitori e capacità di rilevare un incidente.
Da questa fotografia è possibile classificare le attività: ciò che va corretto subito, ciò che può essere pianificato e ciò che rappresenta un rischio residuo accettabile. È un approccio più sostenibile che aggiungere strumenti senza priorità.
Cyber Security significa proteggere il lavoro, non soltanto i dati
La domanda finale non è “i nostri dati sono abbastanza importanti da giustificare un investimento?”. La domanda corretta è “quanto dipende il nostro business da sistemi, identità e servizi digitali?”.
Un’azienda di trasporti deve far viaggiare camion. Un produttore deve produrre. Un distributore deve consegnare. Uno studio deve servire i clienti. La Cyber Security ha valore quando riduce il rischio che un incidente informatico diventi un incidente di business.
Il backup resta essenziale. Ma una postura efficace deve anche permettere di accorgersi dell’attacco, contenerlo, capire cosa è stato compromesso, proteggere identità e accessi, recuperare dati integri e tornare operativi entro tempi sostenibili.
La consulenza cybersecurity Nexsys parte da questo principio: collegare assessment, remediation, identità, endpoint, rete, backup, continuità e risposta agli incidenti a priorità di business misurabili.
Evita che un incidente informatico diventi un incidente di business
Nexsys analizza il perimetro reale - identità, Microsoft 365, Active Directory, endpoint, rete e backup - e costruisce una roadmap di remediation proporzionata a rischio, impatto e budget.
FAQ
Se ho un backup, mi serve comunque la Cyber Security?
Sì. Il backup protegge principalmente la recuperabilità dei dati. Non impedisce furto di credenziali, compromissione delle email, frodi, esfiltrazione, movimento laterale o blocco dei sistemi. Backup e Cyber Security svolgono funzioni complementari.
Un ransomware può compromettere anche il backup?
Dipende dall’architettura. Copie raggiungibili dall’ambiente compromesso possono diventare un bersaglio. Per gli scenari ransomware sono importanti separazione degli accessi, immutabilità, protezione delle credenziali e test periodici di ripristino.
Qual è la differenza tra backup e Disaster Recovery?
Il backup permette di recuperare dati. Il Disaster Recovery considera anche infrastruttura, identità, rete, applicazioni e ordine di ripristino necessario per riportare i servizi in produzione.
La Cyber Security serve anche se l’azienda non possiede dati particolarmente riservati?
Sì. Il rischio può riguardare indisponibilità dei sistemi, furto delle identità digitali, compromissione della posta, frodi economiche e utilizzo dell’azienda come punto di ingresso verso clienti o fornitori.
Come si stabilisce quanto investire in Cyber Security?
Partendo dagli scenari di rischio: processi critici, dipendenze tecnologiche, probabilità, impatto economico, tempi massimi di fermo accettabili e controlli già presenti. Il Risk Assessment serve a definire le priorità prima di scegliere prodotti o servizi.