.jpg "Quando l'azienda è chiusa: chi si accorge di un attacco informatico")
Mappa Interattiva - dove le persone incontrano le attività
Gli attacchi informatici non rispettano gli orari di lavoro
Di notte, durante il fine settimana, nei giorni festivi o durante una pausa programmata delle attività, molte aziende riducono la propria presenza operativa al minimo. Gli uffici sono vuoti, i dipendenti non controllano le postazioni e il personale IT potrebbe non essere disponibile per intervenire immediatamente.
I sistemi informatici, tuttavia, possono rimanere attivi e raggiungibili dall'esterno. Server, applicazioni cloud, caselle di posta, collegamenti VPN e strumenti di accesso remoto continuano a svolgere le proprie funzioni anche quando l'azienda non è operativa.
Questo significa che un tentativo di intrusione, la compromissione di un account o la diffusione di un malware possono verificarsi senza che nessuno se ne accorga sul momento. Il problema non è soltanto che un attacco possa avvenire durante la chiusura, ma che possa trascorrere molto tempo prima che venga individuato e gestito.
Per una PMI, la differenza tra un incidente rilevato tempestivamente e uno scoperto soltanto alla riapertura può essere considerevole: sistemi indisponibili, dati non accessibili, attività bloccate e tempi di ripristino più lunghi.
Il vero problema è il tempo che passa prima di intervenire
La sicurezza informatica non dipende esclusivamente dagli strumenti installati, ma anche dalla capacità di riconoscere un evento anomalo e reagire in tempi adeguati.
Un sistema di monitoraggio può rilevare numerosi tentativi di accesso, un comportamento insolito o un'attività sospetta su un dispositivo. Ma che cosa accade se la segnalazione arriva quando nessuno è disponibile a esaminarla?
Se non esiste una procedura di gestione degli allarmi, una notifica può rimanere senza risposta fino al mattino successivo. Nel frattempo, un aggressore potrebbe continuare a utilizzare credenziali rubate, raggiungere altre risorse o compromettere ulteriori sistemi.
È quindi necessario distinguere tre attività:
-
Rilevamento: individuare un comportamento potenzialmente pericoloso.
-
Valutazione: capire se si tratta di un falso allarme o di un incidente che richiede attenzione.
-
Intervento: contenere il problema, limitare i danni e avviare le procedure di risposta.
Se uno di questi passaggi manca, anche una soluzione tecnologica adeguata può risultare meno efficace del previsto. L'azienda deve sapere chi riceve le segnalazioni, chi valuta la gravità dell'evento e chi è autorizzato a intervenire durante le ore di chiusura.
Account, VPN e servizi cloud restano possibili punti di accesso
Quando il personale non è presente, gli accessi digitali non utilizzati durante il normale orario di lavoro possono comunque rappresentare una superficie di attacco.
Le caselle di posta elettronica, gli account amministrativi, i servizi cloud e gli strumenti di assistenza remota richiedono particolare attenzione. Un account compromesso, per esempio, può consentire a un intruso di accedere a informazioni aziendali senza dover entrare fisicamente negli uffici.
Anche le credenziali di un dipendente possono diventare un punto debole, soprattutto se sono state sottratte attraverso una campagna di phishing o riutilizzate su servizi differenti.
Per ridurre questi rischi è opportuno verificare che:
-
gli account dispongano soltanto dei privilegi necessari;
-
l'autenticazione a più fattori sia attiva per gli accessi più delicati;
-
gli accessi remoti siano autorizzati e adeguatamente protetti;
-
gli account non più necessari siano disabilitati;
-
le attività anomale vengano registrate e, dove possibile, segnalate automaticamente.
Non si tratta di disattivare indiscriminatamente ogni servizio quando l'azienda chiude. Alcune applicazioni devono necessariamente restare disponibili. L'obiettivo è conoscere ciò che rimane attivo, ridurre gli accessi superflui e controllare quelli indispensabili.
Ransomware e furto di dati: i danni possono emergere alla riapertura
Uno degli scenari più critici riguarda gli attacchi ransomware, nei quali i criminali informatici bloccano l'accesso ai dati o ai sistemi e chiedono un pagamento per consentirne il recupero.
Se un attacco viene avviato durante un periodo di chiusura e non viene individuato rapidamente, il problema può estendersi a più dispositivi o risorse aziendali. Alla ripresa del lavoro, i dipendenti potrebbero trovare computer inutilizzabili, documenti inaccessibili o applicazioni fondamentali fuori servizio.
Esistono anche scenari meno evidenti. Un accesso non autorizzato potrebbe consentire la consultazione o l'esfiltrazione di informazioni senza provocare un'interruzione immediata. In questi casi, l'assenza di segnali visibili non dimostra che i sistemi siano al sicuro.
Il rischio è operativo, economico e organizzativo. Oltre ai costi tecnici necessari per contenere l'incidente e ripristinare i servizi, l'impresa può subire ritardi nelle consegne, interruzioni del servizio ai clienti e difficoltà nel rispettare gli impegni presi.
Per questo motivo, la sicurezza durante gli stop aziendali deve essere considerata parte della continuità operativa, non un'attività separata da affrontare soltanto dopo un incidente.
Backup e ripristino devono essere verificati prima della chiusura
I backup rappresentano una componente essenziale della capacità di recupero, ma la loro semplice presenza non garantisce che l'azienda possa ripartire rapidamente.
Occorre verificare che le copie dei dati siano aggiornate, che i processi di backup si siano conclusi correttamente e che esistano procedure di ripristino conosciute e testate. È inoltre importante proteggere le copie di sicurezza da accessi non autorizzati e da eventuali attacchi che potrebbero comprometterle insieme ai sistemi principali.
Due domande aiutano a valutare la preparazione dell'impresa:
-
Quanto tempo può trascorrere prima che un sistema essenziale torni operativo?
-
Quanti dati l'azienda può permettersi di perdere rispetto all'ultimo backup disponibile?
Le risposte permettono di definire obiettivi realistici di ripristino, tenendo conto delle esigenze specifiche dell'organizzazione. Non tutte le applicazioni hanno la stessa criticità: un gestionale indispensabile alla produzione o alla fatturazione può richiedere priorità diverse rispetto a un servizio utilizzato occasionalmente.
Prima di una chiusura prolungata, è quindi utile verificare i backup e accertarsi che siano disponibili le risorse necessarie per recuperare i servizi essenziali.
Come preparare la sicurezza informatica durante uno stop aziendale
Non esiste una procedura identica per tutte le imprese. Una piccola azienda con pochi servizi cloud ha esigenze diverse da una realtà produttiva che deve mantenere attivi sistemi, macchinari e collegamenti remoti. Alcune verifiche, tuttavia, dovrebbero far parte della preparazione ordinaria.
1. Mappare i sistemi che rimangono attivi
Individuare server, applicazioni, dispositivi, collegamenti remoti e servizi cloud che devono restare operativi. Per ciascuno, chiarire chi ne è responsabile e quali accessi sono indispensabili.
2. Verificare monitoraggio e allarmi
Controllare che gli eventi rilevanti vengano registrati e che gli allarmi critici siano indirizzati a persone o servizi effettivamente in grado di gestirli. È importante stabilire anche quando un evento richiede un intervento urgente.
3. Definire reperibilità e responsabilità
Individuare i referenti interni e il supporto tecnico da contattare in caso di incidente. Le modalità di escalation devono essere chiare, comprese le autorizzazioni necessarie per isolare un dispositivo o interrompere temporaneamente un servizio compromesso.
4. Controllare accessi, aggiornamenti e backup
Prima dello stop, verificare gli accessi privilegiati, le protezioni per gli account, gli aggiornamenti di sicurezza prioritari e l'esito delle copie di backup. Le modifiche devono essere pianificate con attenzione per evitare interruzioni impreviste.
5. Preparare un piano di risposta
Definire come contenere un incidente, chi deve essere informato, quali servizi ripristinare per primi e come verificare il ritorno alla normalità. Le procedure devono essere documentate e conosciute da chi è chiamato a utilizzarle.
Questi controlli non eliminano ogni rischio, ma aiutano a ridurre la probabilità che un problema rimanga inosservato o che la sua gestione venga ritardata proprio quando l'azienda è meno presidiata.
La sicurezza deve essere organizzata anche fuori dall'orario di lavoro
Una PMI non deve necessariamente disporre di un reparto IT interno attivo ventiquattro ore su ventiquattro. Deve però valutare quali rischi comporta la propria infrastruttura e assicurarsi che esista una risposta adeguata agli incidenti più critici.
In base alle dimensioni e alla complessità dell'impresa, questa esigenza può essere affrontata attraverso il personale interno, un servizio di assistenza con reperibilità o soluzioni di monitoraggio e gestione della sicurezza affidate a specialisti esterni.
La scelta va fatta considerando i sistemi da proteggere, la criticità dei dati, i tempi di intervento richiesti e le conseguenze di un'interruzione. Un servizio di monitoraggio, da solo, non garantisce che ogni incidente venga bloccato: è necessario capire quali eventi vengono sorvegliati, chi li analizza e quali azioni possono essere attivate.
La verifica più importante è semplice: se un incidente informatico si verificasse stanotte, durante il weekend o mentre l'azienda è chiusa per alcuni giorni, chi se ne accorgerebbe e che cosa farebbe?
Saper rispondere a questa domanda significa trasformare la cybersecurity da insieme di strumenti a processo concreto di protezione e continuità operativa.
Iscriviti e fai iscrivere al canale G-channel Smart ICT e non perderti le prossime novità
"Inserisci e fai inserire la tua Azienda o l'azienda di prossimità a costo zero".
"Siamo noi il tuo alleato digitale e con un semplice clic il tuo articolo puoi condividerlo su tutte le piattaforme"
I commenti degli utenti:
Non sono presenti commenti di altri utenti