DecisionaleAziende e PA

Autovalutazione: quanto è vulnerabile il tuo ufficio in 20 domande

Venti domande da porsi con i propri collaboratori per capire, senza strumenti tecnici, dove l'organizzazione è più esposta. Ogni "no" o "non so" indica una priorità.

REDAZIONE CYBERFORM · 3 MIN DI LETTURA

IN BREVE

  • Le domande coprono accessi, aggiornamenti, backup, persone, fornitori e risposta agli incidenti.
  • "Non so" è una risposta importante: segnala un'area che nessuno governa.
  • Il risultato non è un voto, ma un elenco di priorità con responsabili e scadenze.

Questa autovalutazione non sostituisce un'analisi professionale, ma aiuta chi guida un'organizzazione o un ufficio a capire in un'ora dove si trovano le debolezze principali. Conviene farla insieme a chi gestisce i sistemi, internamente o come fornitore, e a uno o due responsabili di area.

Rispondete a ogni domanda con sì, no o non so. I "no" e i "non so" sono le vostre priorità.

Accessi e identità

  1. L'autenticazione a più fattori è attiva per la posta elettronica e per tutti gli accessi da remoto?
  2. Ogni persona usa un account personale, senza account condivisi per i sistemi importanti?
  3. Gli account di chi lascia l'organizzazione vengono chiusi il giorno dell'uscita?
  4. Le persone lavorano ogni giorno con account senza privilegi di amministratore?

Sistemi e aggiornamenti

  1. Esiste un elenco aggiornato di computer, server, dispositivi e programmi in uso?
  2. Gli aggiornamenti di sicurezza vengono installati entro pochi giorni, e quelli urgenti entro poche ore?
  3. Sappiamo quali sistemi sono fuori supporto e abbiamo un piano per sostituirli o isolarli?
  4. Sappiamo quali nostri servizi sono raggiungibili da internet, e ognuno ha un motivo per esserlo?

Dati e backup

  1. I backup includono tutti i dati importanti e almeno una copia è scollegata o non modificabile?
  2. Abbiamo provato a ripristinare i dati negli ultimi dodici mesi, e sappiamo quanto tempo serve?
  3. I dischi dei portatili sono cifrati?
  4. Sappiamo dove sono i dati personali più delicati e chi può accedervi?

Persone

  1. Il personale ha ricevuto una formazione sulla sicurezza negli ultimi dodici mesi?
  2. Esiste un modo semplice per segnalare email sospette ed errori, e le persone lo usano?
  3. Le procedure per pagamenti e variazioni di IBAN prevedono una verifica telefonica obbligatoria?

Fornitori

  1. Abbiamo un elenco dei fornitori che accedono ai nostri sistemi o trattano i nostri dati?
  2. I contratti con i fornitori critici prevedono obblighi di sicurezza e di notifica degli incidenti?

Risposta agli incidenti

  1. Esiste un piano scritto che dice chi fa cosa in caso di incidente, anche se posta e rete non funzionano?
  2. Sappiamo quali comunicazioni sono obbligatorie e in quali tempi: Garante, CSIRT Italia, clienti, assicurazione?
  3. Abbiamo simulato almeno una volta un incidente, ad esempio con un'esercitazione a tavolino?

Come leggere il risultato

Non sommate i punti per ottenere un voto: le domande non hanno tutte lo stesso peso. Alcune risposte negative meritano attenzione immediata, perché riguardano le cause più frequenti di incidenti gravi:

  • domanda 1, il secondo fattore;
  • domanda 9, i backup protetti;
  • domanda 6, gli aggiornamenti;
  • domanda 15, la verifica dei pagamenti.

Per ogni "no" o "non so", decidete un'azione concreta, un responsabile e una scadenza. Ripetete l'autovalutazione dopo sei mesi per misurare i progressi.

Quando chiedere aiuto

Se i "non so" sono molti, il primo passo non è tecnico ma organizzativo: individuare chi ha la responsabilità di queste risposte. Se l'organizzazione rientra nella NIS2 o tratta molti dati delicati, conviene affiancare questa autovalutazione con un'analisi strutturata svolta da professionisti.

In sintesi

Venti domande non rendono sicura un'organizzazione, ma mostrano con chiarezza dove guardare per prima cosa. E spesso le risposte più utili sono proprio i "non so".

Da leggere anche

OperativoAziende e PA

Wi-Fi pubblici: rischi reali e alternative sicure

Stazioni, alberghi, bar e sale d'attesa offrono connessioni gratuite. Cosa può davvero succedere quando le usi per lavoro e come collegarti in sicurezza.

VULNERABILITÀ · 3 MIN