Cyber security per PMI, con le risorse che hai
Le piccole e medie imprese vengono attaccate con le stesse tecniche delle grandi, ma raramente hanno un responsabile della sicurezza. Ecco i rischi reali, le priorità da cui partire e come tenerle sotto controllo senza un reparto dedicato.
Perché la cyber security riguarda anche le PMI
"Siamo troppo piccoli per interessare a qualcuno" è la frase che sentiamo più spesso. Il problema è che la maggior parte degli attacchi non sceglie la vittima: scorre Internet in cerca di servizi esposti, password già rubate, caselle di posta senza verifica in due passaggi. Chi li trova per primo, entra.
Per una piccola impresa le conseguenze pesano di più: un fermo di una settimana, una fattura pagata all'IBAN sbagliato, dati dei clienti pubblicati. E arrivano anche gli obblighi indiretti: il GDPR vale per tutti, e i clienti soggetti alla NIS2 chiedono ai fornitori di dimostrare la propria sicurezza.
La sicurezza informatica nelle piccole imprese non richiede gli strumenti di una banca. Richiede di sapere cosa hai, cosa è esposto, e di sistemare per prime le cose che gli attaccanti sfruttano davvero.
Le quattro minacce che colpiscono le piccole imprese
Ransomware
Il ransomware cifra i file e blocca il lavoro; sempre più spesso i dati vengono anche rubati e minacciati di pubblicazione. Entra da una vulnerabilità non corretta o da un accesso remoto con una password debole.
Phishing
Il phishing è un'email credibile che porta a una pagina falsa o a un allegato. Basta un clic per consegnare le credenziali della posta, che poi servono per frodi sui pagamenti.
Credenziali rubate
Le password dei collaboratori circolano già, perché servizi su cui si erano registrati sono stati violati. Se la stessa password vale per la posta aziendale, l'attaccante non deve neppure forzare nulla.
Esposizione su Internet
Accessi remoti, NAS, telecamere, vecchi siti dimenticati: servizi raggiungibili da chiunque, spesso con vulnerabilità note. È la tua superficie di attacco.
Partire dai CIS Controls IG1
Con budget e personale limitati non si può fare tutto, quindi serve un ordine. I CIS Controls IG1 del Center for Internet Security sono pensati proprio per questo: un insieme di salvaguardie, 56 nella versione 8.1, definite come igiene informatica essenziale, cioè il minimo che ogni azienda dovrebbe avere per difendersi dagli attacchi più comuni.
Sono in ordine di priorità e in gran parte verificabili con dati reali, non con autodichiarazioni. Per questo sono il punto di partenza che proponiamo a chi non ha ancora un quadro di riferimento.
- Sapere quali dispositivi e quali software hai
- Correggere le vulnerabilità, a partire da quelle esposte
- Configurazioni sicure e account amministrativi separati
- Autenticazione a più fattori su posta e accessi remoti
- Backup provati, non solo configurati
- Protezione dal malware sugli endpoint
- Formazione del personale sul phishing
- Sapere chi chiamare e cosa fare in caso di incidente
Cosa fa Dottor Box per una PMI
Ogni priorità ha un modulo che la misura. Non serve attivarli tutti: si compone l'offerta su ciò che ti manca.
| Priorità | Come la copre Dottor Box |
|---|---|
| Inventario di dispositivi e software | Asset Management e Software Autorizzati, popolati dal Cyber Agent |
| Vulnerabilità interne ed esposte | Vulnerability Assessment di rete interna, rete esterna e applicazioni web, con oltre 130.000 test di rete e verifiche manuali per togliere i falsi positivi |
| Credenziali rubate | Dark Web Monitoring sul dominio aziendale, con l'origine di ogni esposizione |
| Posta e MFA | Posture Microsoft Entra ID e Google Workspace, in sola lettura |
| Phishing e formazione | Cyber Awareness, con campagne di phishing simulato gestite da Dottor Marc, e Formazione |
| Backup e ripartenza | Continuità operativa: impatto, piano di continuità e verifica dei backup |
Se non hai chi legge gli avvisi
Il limite di una PMI di solito non è lo strumento, è il tempo di chi dovrebbe usarlo. Per questo i livelli di servizio sono tre: con Security Monitor hai la piattaforma, i report e gli avvisi e agisci tu o il tuo fornitore IT; con MDR + SOC gli alert li gestisce il SOC di Dottor Marc, con supporto a ticket in orario lavorativo; con MDR + SOC 24/7 c'è un numero dedicato a ogni ora. I dettagli sono nella pagina SOC e MDR.
Paghi per quello che monitori
Il prezzo non dipende dal numero di dipendenti né da una fascia aziendale. C'è un importo iniziale una tantum per definire e validare la superficie di attacco, poi un canone mensile per asset monitorato, calcolato sulla media degli ultimi 30 giorni. Se l'azienda cresce o si riduce, il canone la segue senza rinegoziare.
X-Ray: cosa vede di te chi ti guarda da Internet
L'X-Ray Cyber Security parte dall'indirizzo pubblico e dal dominio della tua azienda e mostra porte aperte, possibili vulnerabilità, sottodomini e credenziali compromesse, con un punteggio di rischio sintetico. È un'analisi rapida, non un vulnerability assessment completo: serve a capire da dove cominciare e diventa il termine di confronto per i mesi successivi.
L'X-Ray richiede la registrazione: è il secondo passo dopo la creazione del tuo Dottor Box. La registrazione non attiva un abbonamento; il servizio parte solo se accetti una proposta. Leggi come si attiva.
Prima di decidere cosa proteggere bisogna sapere cosa è esposto. Il resto viene dopo, in ordine.
Domande sulla cyber security per PMI
Una piccola impresa è davvero un bersaglio?
Sì, perché gran parte degli attacchi è automatizzata e cerca debolezze, non nomi: servizi esposti con vulnerabilità note, password già rubate, account senza verifica in due passaggi. Una PMI con meno difese diventa un bersaglio più facile, non meno interessante.
Da dove inizio se non ho un responsabile della sicurezza?
Dal sapere cosa è esposto e cosa hai in rete. Poi dalle priorità dei CIS Controls IG1: vulnerabilità esposte, autenticazione a più fattori sulla posta, backup provati, formazione contro il phishing. Se nessuno in azienda può seguire gli avvisi, valuta un livello con il SOC che li gestisce per te.
L'antivirus non basta?
L'antivirus protegge il singolo computer da codice malevolo noto, ed è una delle misure di base. Non ti dice però se un accesso remoto è esposto con una vulnerabilità, se la password di un collaboratore è in circolazione o se la posta accetta accessi senza MFA. Servono controlli che guardino l'insieme.
Quanto costa la cyber security per una PMI con Dottor Box?
Dipende da quanti asset tecnologici vuoi monitorare, non dal numero di dipendenti. C'è un importo iniziale per definire la superficie di attacco e poi un canone mensile per asset. Il preventivo arriva con una proposta scritta, dopo la registrazione o un contatto.
L'X-Ray si può fare senza registrarsi?
No. L'X-Ray è legato al tuo Dottor Box: si ottiene creandolo, così l'analisi riguarda davvero la tua azienda e resta nel portale come base di confronto.
Da dove partono di solito le PMI
X-Ray Cyber Security
Cosa vede della tua azienda chi la guarda da Internet, con un punteggio di rischio da cui partire.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereDark Web Monitoring
Credenziali aziendali compromesse e citazioni del marchio nei siti di leak e ransomware.
Scopri di più VedereCyber Awareness
Campagne di phishing simulato preparate e gestite da Dottor Marc, con i risultati in piattaforma.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più ConformitàCIS Controls · IG1
L'igiene informatica di base: il punto di partenza per ogni PMI.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.