Sicurezza informatica per gli studi professionali
Uno studio custodisce i segreti di decine o centinaia di clienti, e quasi sempre li custodisce in una casella di posta. È lì che conviene cominciare.
Cyber security per lo studio legale e il commercialista: i dati sono dei clienti
Un attaccante che entra in uno studio non trova solo i dati dello studio. Trova bilanci, dichiarazioni dei redditi, cedolini di aziende clienti, atti di causa, perizie, progetti. La sicurezza informatica di uno studio professionale è quindi una questione di fiducia: chi ti affida una pratica dà per scontato che resti riservata.
Lo studio piccolo ha anche un profilo comodo per chi attacca. Poche persone, nessun reparto IT interno, un tecnico chiamato al bisogno, molte comunicazioni con l'esterno e tanti pagamenti che transitano per email: parcelle, F24 da far pagare ai clienti, depositi, anticipi.
Per questo l'attacco più frequente non è il virus che cifra il server, ma la casella di posta compromessa. Bastano una password riutilizzata e un accesso senza secondo fattore.
La frode sul bonifico, passo per passo
Si chiama business email compromise. Non serve installare nulla: basta leggere la posta di qualcun altro per qualche settimana.
L'accesso
Una collaboratrice inserisce la password di Microsoft 365 in una pagina che imita quella di accesso, oppure la sua password è già finita in un elenco di credenziali rubate.
L'attesa
L'attaccante crea una regola che inoltra o nasconde certi messaggi, e osserva in silenzio scadenze, importi e interlocutori.
Il colpo
Al momento giusto il cliente riceve, dalla casella vera dello studio, un'email con un IBAN "aggiornato". Il bonifico parte verso un conto che sparisce in pochi giorni.
La PEC non è un'eccezione. Una casella di posta certificata compromessa invia messaggi che hanno valore legale a nome dello studio, e può ricevere notifiche che nessuno legge. Le sue credenziali meritano la stessa attenzione di quelle della posta ordinaria.
Segreto professionale, GDPR e clienti che chiedono garanzie
- Segreto professionale. La rivelazione del segreto professionale è un reato (articolo 622 del codice penale) e i codici deontologici degli ordini impongono riservatezza. Una fuga di dati causata da negligenza è difficile da spiegare a un cliente e al proprio ordine.
- GDPR. Lo studio è titolare del trattamento per i propri dati e spesso responsabile per conto dei clienti, come fa il consulente del lavoro con le buste paga. Servono il registro dei trattamenti, le nomine dei collaboratori e misure di sicurezza adeguate.
- Data breach. Una casella compromessa con dati di clienti è una violazione da valutare subito: la notifica al Garante va fatta entro 72 ore, quando c'è un rischio per le persone.
- Antiriciclaggio. Commercialisti e avvocati conservano documenti di identificazione e di adeguata verifica dei clienti: proprio il tipo di dato che si usa per i furti d'identità.
- Clienti soggetti a NIS2. Gli studi di norma non rientrano direttamente nella NIS2, ma i loro clienti più grandi sì: per loro sei un fornitore che tratta dati riservati, e ti mandano questionari sulla sicurezza della catena di fornitura.
- Amministratori di sistema. Il tecnico esterno che gestisce il server dello studio rientra nel provvedimento del Garante: va nominato e i suoi accessi vanno registrati.
Cinque controlli per uno studio professionale
Pochi servizi, scelti in base a dove passano davvero i dati dello studio.
La posta, prima di tutto
La valutazione del tenant Microsoft Entra ID controlla 72 indicatori in sola lettura: verifica in due passaggi, account privilegiati, app autorizzate e regole di posta sospette, le stesse usate nelle frodi sul bonifico. Per chi usa Google c'è Google Workspace, con SPF, DKIM e DMARC letti dal DNS.
Le password già esposte
Il Dark Web Monitoring cerca gli indirizzi del dominio dello studio in un archivio di oltre 14 miliardi di credenziali compromesse e ti avvisa quando ne compare una nuova.
Le persone
Campagne di phishing simulato preparate e lanciate da Dottor Marc con Cyber Awareness, e corsi con registro esportabile tramite la Formazione.
L'archivio pratiche
Le condivisioni aperte mostrano quali cartelle di clienti sono leggibili da chiunque si colleghi alla rete dello studio, ospiti compresi.
I documenti privacy
La Modulistica GDPR genera nomine e lettere di incarico per collaboratori, praticanti e fornitori a partire dall'anagrafica.
Le risposte ai clienti
Il report Executive sintetizza lo stato della sicurezza in italiano: è il documento da allegare quando un cliente ti chiede come proteggi i suoi dati.
Uno studio che può dimostrare la propria diligenza
- Sai se la posta dello studio è configurata in modo sicuro, e quando peggiora ricevi un'email.
- Scopri le credenziali esposte prima che le usi qualcun altro.
- Hai nomine, registro e formazione pronti in caso di controllo o di richiesta di un cliente.
- Puoi rispondere ai questionari dei clienti con documenti, non con rassicurazioni.
Quando la piattaforma rileva un accesso sospetto a Microsoft 365 propone di bloccare l'account, ma non lo fa da sola: decide sempre una persona. In uno studio, chiudere fuori un socio a metà di un deposito costa quanto un attacco.
Se lo studio non ha un tecnico interno, il livello MDR + SOC affida al SOC di Dottor Marc la gestione degli alert, con supporto via ticket in orario lavorativo. Vedi i livelli nella pagina Prodotto.
Domande sulla sicurezza informatica degli studi professionali
Come capisco se la casella email dello studio è stata violata?
I segnali tipici sono regole di inoltro che nessuno ha creato, messaggi spariti dalla posta in arrivo, accessi da paesi o dispositivi sconosciuti e clienti che ricevono email che non hai mandato. La valutazione del tenant Microsoft 365 controlla le regole di posta sospette e il registro degli accessi segnala gli ingressi anomali. Se trovi una regola che non riconosci, cambia la password e attiva subito la verifica in due passaggi.
Cosa fare se un cliente ha pagato su un IBAN falso arrivato dalla nostra email?
Il cliente deve chiedere subito alla propria banca il richiamo del bonifico e sporgere denuncia alla Polizia Postale. Lo studio deve mettere in sicurezza la casella, ricostruire da quando l'attaccante aveva accesso e valutare se si tratta di un data breach da notificare al Garante entro 72 ore. Documenta ogni passaggio: servirà anche nei rapporti con l'assicurazione.
Uno studio di commercialisti deve adeguarsi alla NIS2?
In generale no: i servizi contabili, legali e di consulenza non sono fra i settori elencati dal decreto legislativo 138/2024. Lo studio però lavora per aziende che possono esserlo, e queste devono valutare la sicurezza dei propri fornitori. Per questo è sempre più comune ricevere un questionario: conviene avere le risposte documentate prima che arrivi.
L'autenticazione a due fattori basta a proteggere Microsoft 365?
È la misura singola più efficace contro le password rubate, ma va attivata per tutti, amministratori compresi, e non deve avere eccezioni dimenticate. Restano altri punti da controllare: le app a cui gli utenti hanno dato accesso alla posta, gli account ospite, le regole di inoltro. È quello che verifica la valutazione periodica del tenant. Approfondisci con la voce sull'autenticazione a più fattori.
Da dove partono gli studi
Microsoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereGoogle Workspace
35 controlli sul catalogo CIS per la configurazione di Google Workspace, posta compresa.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più VedereCyber Awareness
Campagne di phishing simulato preparate e gestite da Dottor Marc, con i risultati in piattaforma.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più DimostrareReportistica
Executive, tecnico e presentazione con grafici modificabili, generati anche in automatico.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.