Un lunedì mattina un dipendente apre un allegato ricevuto via email. Il computer smette di rispondere, alcune cartelle condivise diventano inaccessibili e in poche ore l’azienda capisce di non sapere con certezza dove siano le copie dei dati. Un esempio audit sicurezza aziendale serve proprio a evitare che questa scoperta avvenga nel momento peggiore: quando il lavoro è già fermo.
Per una PMI, un audit non è un documento tecnico da archiviare. È una verifica concreta di ciò che può bloccare fatture, produzione, ordini, posta elettronica e accesso ai gestionali. L’obiettivo è individuare i rischi reali, decidere cosa correggere prima e assegnare responsabilità chiare.
Esempio audit sicurezza aziendale: il caso di una PMI
Immaginiamo una società di servizi con 28 dipendenti, una sede operativa, alcuni collaboratori in smart working e un piccolo server che ospita file condivisi e un gestionale. La posta elettronica è in cloud, ma gli account sono stati creati negli anni da fornitori diversi. L’azienda utilizza un antivirus su quasi tutti i PC e dispone di un backup, senza però verificare con regolarità se il ripristino funzioni davvero.
L’audit parte da una domanda semplice: se domani un sistema non fosse disponibile, l’azienda riuscirebbe a lavorare? Per rispondere non basta controllare se “c’è un antivirus”. Occorre esaminare persone, strumenti, dati e procedure.
Durante il confronto iniziale, il responsabile amministrativo segnala che le password vengono spesso condivise per velocizzare il lavoro. Il titolare riferisce che alcuni PC sono lenti e aggiornati solo quando si presenta un problema. Il tecnico esterno che installò il server non è più reperibile. Già queste informazioni mostrano un punto centrale: la sicurezza non dipende da un singolo prodotto, ma da decisioni quotidiane e da una gestione ordinata.
Le verifiche che fanno emergere i rischi veri
Un audit efficace non deve essere invasivo né inutilmente complesso. Deve raccogliere informazioni affidabili e tradurle in priorità comprensibili per chi guida l’impresa.
Inventario di dispositivi, utenti e software
La prima verifica riguarda ciò che esiste davvero: computer fissi e portatili, server, smartphone aziendali, stampanti di rete, router, account email, licenze software e servizi cloud. In molte PMI l’elenco non è aggiornato. Questo rende difficile intervenire rapidamente quando un dipendente lascia l’azienda, un PC viene smarrito o una licenza scade.
Nel nostro esempio emergono 34 computer, di cui quattro non più supportati dal produttore. Vengono trovati anche sette account email di ex collaboratori ancora attivi e una cartella condivisa accessibile a tutti, compresi stagisti e consulenti temporanei. Non è necessario che ci sia già stato un incidente perché sia un problema: basta un accesso non controllato o una credenziale compromessa.
Protezione degli accessi e delle email
Le credenziali sono il primo bersaglio di phishing e tentativi di accesso non autorizzato. L’audit verifica se le password sono personali, se vengono cambiate quando necessario, se esiste l’autenticazione a più fattori e se gli utenti hanno solo i permessi indispensabili.
Nel caso analizzato, l’autenticazione a più fattori è attiva solo per due responsabili. Gli altri utenti accedono alla posta con password, alcune delle quali sono state riutilizzate per servizi esterni. Il rischio non è teorico: una sola password sottratta può consentire a un criminale di leggere email, inoltrare richieste di pagamento false o distribuire allegati malevoli dall’account di un dipendente.
L’audit non deve limitarsi a dire “attivare più sicurezza”. Deve indicare cosa fare: attivare l’autenticazione a più fattori per tutti gli account, disabilitare le caselle non necessarie, rivedere i privilegi e definire una procedura per ingressi e uscite del personale.
Aggiornamenti, antivirus e monitoraggio
Un sistema non aggiornato è una porta lasciata socchiusa. L’audit controlla lo stato degli aggiornamenti di sistemi operativi, programmi, firewall e apparati di rete, oltre alla presenza di protezioni endpoint gestite centralmente.
Nella PMI dell’esempio, i quattro PC obsoleti non ricevono più aggiornamenti di sicurezza. Su sei dispositivi l’antivirus risulta scaduto o non comunica correttamente con la console di gestione. Il firewall è presente, ma la sua configurazione non è stata verificata da anni.
La priorità, qui, dipende dal ruolo dei dispositivi. Un PC isolato usato solo per consultare documenti non ha lo stesso impatto di una postazione amministrativa con accesso a contabilità e home banking. L’audit serve anche a evitare spese indiscriminate: si interviene prima dove un guasto o una compromissione fermerebbero il lavoro.
Backup e capacità di ripristino
Avere un backup non significa poter ripartire. Bisogna sapere quali dati vengono copiati, con quale frequenza, dove sono conservati e quanto tempo serve per recuperarli. Soprattutto, bisogna eseguire test di ripristino.
Nel nostro caso, il backup del server viene eseguito ogni notte su un disco collegato alla stessa rete. Non esiste una copia separata e non è stato effettuato alcun test nell’ultimo anno. Se un ransomware cifra sia il server sia il disco di backup, l’azienda rischia di perdere tutto. Se una copia è corrotta, lo si scopre solo quando serve utilizzarla.
La correzione proposta prevede copie automatiche, almeno una separata dall’infrastruttura principale, controlli giornalieri sugli esiti e prove periodiche di recupero. Il dettaglio tecnico cambia in base ai sistemi utilizzati, ma il criterio rimane uguale: i dati devono essere recuperabili entro tempi compatibili con il lavoro aziendale.
Rete, lavoro remoto e dispositivi personali
L’audit esamina poi il perimetro meno visibile: rete Wi-Fi, accessi da remoto, VPN, router e utilizzo di smartphone o PC personali. Una rete ospiti separata da quella aziendale, accessi remoti protetti e regole chiare per i dispositivi personali riducono molte esposizioni evitabili.
Nel caso considerato, il Wi-Fi aziendale e quello degli ospiti sono sulla stessa rete. Tre collaboratori lavorano da casa collegandosi al server con procedure diverse tra loro. Non significa che ogni accesso remoto sia pericoloso, ma significa che la gestione non è sotto controllo. Standardizzare gli strumenti permette di sapere chi entra, da dove e con quali autorizzazioni.
Come si presenta il risultato dell’audit
Il valore dell’audit si misura nella chiarezza del piano, non nel numero di pagine consegnate. Un buon report distingue tra criticità urgenti, interventi da programmare e miglioramenti consigliati.
Per questa PMI, le priorità immediate sono disabilitare gli account inutilizzati, attivare l’autenticazione a più fattori, sostituire o isolare i PC non supportati, verificare gli endpoint senza protezione e mettere in sicurezza il backup. Sono azioni che riducono rapidamente il rischio senza interrompere l’operatività.
Nel secondo livello rientrano la revisione dei permessi sulle cartelle, la separazione della rete Wi-Fi, l’aggiornamento del firewall e la definizione di una procedura per gestire nuovi utenti, dimissioni e dispositivi smarriti. Infine, il piano può includere formazione anti-phishing, simulazioni periodiche e un documento di risposta agli incidenti: chi deve essere chiamato, quali sistemi isolare, come comunicare internamente e quando avviare il ripristino.
Gli errori che rendono un audit poco utile
Un audit può fallire anche con strumenti validi se viene trattato come un’attività una tantum. La prima criticità è produrre un elenco di problemi senza indicare un ordine di intervento. Dire che tutto è urgente lascia l’azienda immobile.
Il secondo errore è concentrarsi solo sulla tecnologia. Password condivise, account dimenticati e assenza di istruzioni per i dipendenti spesso espongono quanto un software non aggiornato. La terza criticità è non verificare dopo gli interventi: un backup configurato oggi va controllato anche fra sei mesi, quando cambiano dati, persone e applicazioni.
Per una PMI conviene quindi affidare la verifica a un interlocutore capace di collegare analisi e gestione quotidiana. Helpwebnet, ad esempio, imposta la sicurezza come parte della continuità operativa: monitoraggio, assistenza e correzioni devono lavorare insieme, senza lasciare al titolare il compito di coordinare più fornitori.
Quando ripetere l’audit
La frequenza dipende dalla complessità aziendale e dal tipo di dati trattati. In generale, una revisione completa annuale è una base ragionevole per molte PMI, accompagnata da controlli più frequenti su backup, aggiornamenti, accessi e protezioni email.
Va ripetuto anche dopo cambiamenti importanti: nuovo gestionale, apertura di una sede, passaggio al lavoro remoto, acquisizione di personale, incidente informatico o sostituzione del server. La sicurezza non è una condizione definitiva, perché l’azienda cambia e cambiano anche le minacce.
Un audit ben fatto non serve a promettere che nessun incidente accadrà. Serve a fare in modo che, se qualcosa accade, l’azienda sappia cosa proteggere, chi deve intervenire e come riprendere a lavorare senza trasformare un problema tecnico in una crisi operativa.