Ottobre è il mese dedicato alla sicurezza informatica e rappresenta un’occasione concreta per trasformare la cybersecurity da tema esclusivamente tecnico a pratica quotidiana condivisa da tutta l’azienda.
Per una PMI, infatti, proteggere sistemi, dati e account significa anche insegnare ai dipendenti a riconoscere phishing, richieste anomale e tentativi di sottrarre credenziali.
Indice dei contenuti
L’importanza dell’ottobre dedicato alla cybersecurity
L’European Cybersecurity Month si svolge ogni anno a ottobre ed è promosso a livello europeo da ENISA e dalla Commissione europea insieme agli Stati membri, alle organizzazioni pubbliche e private. L’edizione 2026 mette particolare attenzione proprio sulle competenze delle persone e sulla sicurezza nell’ambiente di lavoro.
La scelta è significativa perché la sicurezza aziendale non dipende soltanto da firewall, antivirus e sistemi di backup. Anche la capacità dei lavoratori di riconoscere un messaggio sospetto, verificare una richiesta urgente o segnalare tempestivamente un incidente può contribuire a interrompere una catena di attacco prima che raggiunga i sistemi aziendali.
Le minacce informatiche in crescita nell’ultimo trimestre
Il quadro del 2026 conferma che il ransomware continua a rappresentare una delle minacce con maggiore impatto nel breve periodo. Nell’ENISA Threat Landscape 2026, pubblicato il 22 settembre, l’agenzia europea indica il ransomware come la tipologia di incidente con il maggiore impatto a breve termine e segnala la persistenza di phishing, social engineering e furto di credenziali.
Per osservare più da vicino l’estate 2026, i dati del CERT-AGID mostrano una presenza costante di campagne malevole rivolte anche al contesto italiano. Tra il 29 agosto e il 4 settembre sono state analizzate 137 campagne, 110 delle quali con obiettivi italiani; nella settimana successiva le campagne sono salite a 170, con 136 obiettivi italiani, mentre tra il 12 e il 18 settembre sono state 191, di cui 158 rivolte all’Italia.
Il phishing rimane uno dei principali strumenti utilizzati per raggiungere le vittime. Le campagne osservate in Italia nel periodo estivo hanno sfruttato, tra gli altri, falsi rimborsi, comunicazioni attribuite a enti pubblici e richieste di verifica. È un elemento particolarmente importante per le PMI, perché un messaggio apparentemente ordinario può diventare il punto di partenza per il furto di credenziali o per la distribuzione di malware.
Il ruolo dell’errore umano negli attacchi ransomware
Parlare di “errore umano” non significa attribuire la responsabilità dell’attacco al singolo dipendente. Il problema è piuttosto che gli aggressori cercano deliberatamente di sfruttare comportamenti normali: fidarsi di un mittente conosciuto, rispondere rapidamente a una richiesta urgente, aprire un allegato apparentemente legittimo o utilizzare una password già compromessa.
La formazione deve quindi concentrarsi su comportamenti concreti: riconoscere i segnali di phishing, sapere come verificare una richiesta, conoscere il canale interno per segnalare un incidente e soprattutto sapere che segnalare rapidamente un errore è preferibile al tentativo di nasconderlo.
Strutturare la formazione interna per i dipendenti
Una formazione efficace non dovrebbe esaurirsi in una presentazione annuale. Il modello più utile è un percorso continuativo, composto da brevi sessioni teoriche, esercitazioni pratiche e verifiche periodiche.
Il riferimento può essere il modello proposto da NIST per i programmi di formazione e sensibilizzazione: l’obiettivo non è soltanto trasferire nozioni, ma favorire un cambiamento dei comportamenti, misurando nel tempo l’efficacia delle attività .
Organizzare workshop pratici per riconoscere le email di phishing
Un workshop può partire da esempi realistici, evitando però di limitarsi alla classica lista di “email scritte male”. I dipendenti dovrebbero imparare a controllare mittente, dominio, link, allegati, tono del messaggio, urgenza della richiesta e richiesta di dati riservati.
È utile presentare anche scenari diversi: una falsa comunicazione del reparto IT, una fattura inattesa, una richiesta del responsabile, un messaggio proveniente apparentemente da un fornitore oppure un QR code che conduce a una pagina di accesso contraffatta.
I workshop dovrebbero insegnare soprattutto una regola: non fidarsi dell’apparenza del messaggio, ma verificare la richiesta attraverso un canale affidabile.
Aggiornare le policy aziendali sull’uso delle password sicure
La policy sulle password dovrebbe essere aggiornata insieme alle altre misure di sicurezza, evitando regole inutilmente complesse che spingano gli utenti a riutilizzare o annotare le credenziali.
Per una PMI, una policy aggiornata può quindi prevedere:
- password lunghe e uniche per ogni servizio;
- divieto di riutilizzare password aziendali su servizi personali;
- utilizzo di un password manager approvato dall’azienda;
- cambio immediato delle credenziali quando esiste un sospetto di compromissione;
- attivazione dell’autenticazione a più fattori dove disponibile;
- procedure chiare per il recupero dell’account e la segnalazione di credenziali compromesse.
Tabella: test di sicurezza informatica fai da te per le PMI
La tabella seguente propone un test pratico di sicurezza informatica per le PMI, con controlli semplici da effettuare per individuare eventuali vulnerabilità e verificare il livello di preparazione dell’azienda di fronte alle principali minacce informatiche.
| Test | Come verificarlo | Frequenza consigliata | Obiettivo |
| Phishing | Inviare una simulazione controllata e misurare clic e segnalazioni | Trimestrale | Valutare la capacità di riconoscere messaggi sospetti |
| Password | Verificare che gli account non utilizzino credenziali deboli o riutilizzate | Trimestrale | Ridurre il rischio di compromissione degli account |
| MFA | Controllare quali account aziendali hanno l’autenticazione a più fattori attiva | Mensile | Limitare l’accesso tramite credenziali rubate |
| Aggiornamenti | Controllare sistemi operativi, browser e software aziendali | Mensile | Ridurre l’esposizione alle vulnerabilità note |
| Backup | Verificare che i backup siano presenti e che il ripristino funzioni | Trimestrale | Prepararsi a perdita o cifratura dei dati |
| Segnalazione incidenti | Chiedere ai dipendenti come segnalerebbero una email sospetta | Trimestrale | Verificare che il canale di segnalazione sia conosciuto |
| Accessi | Controllare gli account di ex dipendenti e collaboratori | Mensile | Eliminare credenziali non più necessarie |
| Simulazione ransomware | Verificare il comportamento previsto in caso di infezione | Semestrale | Testare il piano di risposta all’incidente |
Strumenti software a supporto del team IT
La formazione del personale deve essere accompagnata da strumenti tecnici che riducano la probabilità che un singolo errore si trasformi in una compromissione dell’infrastruttura.
Tra le misure indicate da CISA per contrastare il ransomware rientrano programmi di formazione e sensibilizzazione sul phishing, filtri per le email, protezione degli allegati e autenticazione a più fattori, in particolare per servizi come posta elettronica, VPN e sistemi critici.
I simulatori di attacco per testare la vulnerabilità del personale
Le simulazioni di phishing permettono al reparto IT di verificare come reagiscono gli utenti davanti a una situazione controllata. Il test non dovrebbe essere utilizzato per “punire” chi clicca, ma per individuare le aree nelle quali la formazione deve essere rafforzata.
Una simulazione può misurare, per esempio, quanti dipendenti aprono il messaggio, quanti seguono il link, quanti inseriscono dati in una pagina simulata e quanti utilizzano il pulsante o il canale aziendale per segnalare il tentativo.
Attivare l’autenticazione a due fattori su tutti gli account aziendali
L’autenticazione a più fattori aggiunge un ulteriore livello di verifica oltre alla password e può impedire che una credenziale rubata sia sufficiente per entrare nell’account.
Si raccomanda alle piccole e medie imprese di attivare la MFA dove possibile, dando priorità agli account amministrativi, agli accessi remoti e ai sistemi che gestiscono dati sensibili. Non tutti i metodi MFA offrono lo stesso livello di protezione e sono da privilegiare le soluzioni resistenti al phishing quando disponibili.
