Backup e sicurezza informatica per PMI: il minimo indispensabile

Nei check iniziali che facciamo su aziende fra 5 e 50 persone, gli stessi tre problemi tornano quasi sempre.

1. 1Errore umano: un file sovrascritto, una cartella cancellata, una casella svuotata per sbaglio. È la causa di gran parte dei fermi reali.
2. 2Furto di credenziali: una password riusata finisce in una fuga di dati, qualcuno entra nella posta e legge le conversazioni con i clienti, spesso per settimane.
3. 3Ransomware o guasto: i file diventano illeggibili o il computer che teneva tutto muore. Senza una copia esterna, il lavoro si ricostruisce a mano.

La regola classica dice: tre copie dei dati, su due supporti diversi, di cui una fuori sede. Tradotta per una PMI che lavora su cloud, significa questo.

• Copia 1: i dati in uso, su Microsoft 365 o Google Workspace.
• Copia 2: un backup gestito del cloud, cioè uno strumento esterno che copia caselle e file ogni giorno.
• Copia 3: una copia separata dal fornitore principale, così un problema sull'account non porta via tutto.
• Verifica: un ripristino di prova periodico, documentato. È la parte che quasi nessuno fa.
• Conservazione: quanto indietro potete tornare. Trenta giorni sono pochi se un errore emerge dopo il bilancio.

Quasi tutti gli incidenti che vediamo iniziano dalla posta. Quattro interventi risolvono la maggior parte del problema e non richiedono progetti complessi.

• Autenticazione a più fattori per tutti, senza eccezioni per i titolari.
• Una casella per persona: le caselle condivise vanno gestite come tali, con deleghe, non con una password comune.
• SPF, DKIM e DMARC sul dominio, per evitare che qualcuno mandi email a vostro nome ai vostri clienti.
• Revoca immediata degli accessi quando una persona esce, con una procedura scritta.

Sei domande dirette, con risposte che devono essere date per iscritto. Servono anche a capire se state pagando gestione o solo interventi a chiamata.

1. 1Quali dati sono coperti dal backup, con quale frequenza e per quanto tempo indietro?
2. 2Quando è stato provato l'ultimo ripristino e cosa è emerso?
3. 3A chi sono intestati dominio, tenant, hosting e sottoscrizioni cloud?
4. 4Chi ha privilegi di amministratore, oggi, sui nostri sistemi?
5. 5Entro quanto tempo qualcuno prende in carico una segnalazione, per iscritto?
6. 6Cosa non è compreso nel canone e quanto costa l'ora fuori perimetro?

Il minimo indispensabile, in ordine di priorità. Se le prime quattro voci non sono a posto, il resto può aspettare.

• Autenticazione a più fattori attiva su tutte le caselle
• Backup automatico di posta e file, separato dal fornitore principale
• Un ripristino di prova documentato almeno una volta all'anno
• Contratti e account intestati all'azienda, non a una persona
• SPF, DKIM e DMARC configurati sul dominio
• Elenco aggiornato degli accessi, rivisto una volta l'anno
• Aggiornamenti e certificati gestiti da qualcuno, con una data
• Un referente con nome e cognome e un tempo di risposta scritto

Nei nostri piani questo perimetro è il contenuto del canone: dal piano Essenziale a 99 € al mese, con backup settimanale e risposta entro due giorni lavorativi, fino al piano Esteso da 749 € al mese con risposta entro quattro ore lavorative. Licenze e consumi cloud restano intestati a voi e li pagate al costo.