Cybersecurity per PMI: cosa serve davvero contro il ransomware, e quanto costa

La frase che sento più spesso è «a noi chi ci attacca, siamo quattro persone». È ragionevole, ed è sbagliata per un motivo tecnico preciso: quasi nessuno ti sceglie. Ti trova un programma che prova migliaia di indirizzi al minuto cercando una porta aperta, una password riusata, un allegato che qualcuno apre. Non sa cosa fai né quanto fatturi. Sa soltanto che sei entrato.

Questo cambia completamente il modo di difendersi. Non serve resistere a un avversario determinato che studia la tua azienda: serve non essere il bersaglio facile fra i mille che quel programma sta provando. È un obiettivo alla portata di un budget piccolo, ed è il motivo per cui vale la pena leggere il resto.

Cosa succede davvero quando entra un ransomware

L'immagine che si ha in testa è la schermata rossa con il conto alla rovescia. Nella realtà quella è l'ultima scena, e arriva giorni o settimane dopo la prima. La sequenza tipica è questa:

1. Ingresso. Un allegato aperto, una credenziale della posta riutilizzata altrove e finita in una fuga di dati, un accesso da remoto lasciato esposto su internet.
2. Silenzio. Chi è entrato guarda: quali computer ci sono, dove stanno i dati, chi ha i permessi di amministratore. In questa fase non succede niente di visibile.
3. Preparazione. Vengono cercati e disattivati i backup raggiungibili, perché sono l'unica cosa che rende inutile il ricatto.
4. Cifratura. Tutto insieme, di solito di notte o nel fine settimana, quando nessuno guarda.

Le due fasi centrali sono la buona notizia: c'è del tempo in mezzo, spesso parecchio. Un antivirus tradizionale non se ne accorge, perché in quei giorni non passa nessun file malevolo da riconoscere. Un EDR sì, perché guarda i comportamenti e non i file.

Antivirus o EDR: qual è la differenza

L'antivirus classico confronta i file con un elenco di minacce note. Funziona benissimo contro quello che è già stato visto, e per niente contro quello che non lo è: basta ricompilare lo stesso programma con qualche byte diverso per non somigliare più a nulla nell'elenco.

L'EDR (endpoint detection and response) ragiona sui comportamenti. Non chiede «questo file è nell'elenco dei cattivi?» ma «è normale che questo processo stia leggendo e riscrivendo diecimila file in due minuti?». È la domanda che intercetta anche un attacco mai visto prima.

L'ultima riga è quella che si dimentica quando si compra. Un EDR che nessuno guarda produce avvisi che nessuno legge, ed è un abbonamento pagato per niente. O lo controlla qualcuno in azienda, o va affidato a chi se ne occupa: è una scelta da fare prima di firmare, non dopo.

Le quattro difese, in ordine di resa

Se il budget è limitato, e in una piccola azienda lo è sempre, l'ordine conta più dell'elenco. Queste sono in ordine di quanto proteggono per ogni euro speso:

1. Autenticazione a due fattori sulla posta e sugli accessi da remoto. Costa zero e chiude da sola il vettore d'ingresso più frequente, cioè la password rubata altrove e riutilizzata qui.
2. Backup isolato e verificato. Non impedisce l'attacco: impedisce il ricatto. È la differenza fra due giorni di lavoro perso e due settimane di attività ferma.
3. EDR al posto del semplice antivirus. È l'unico strumento che vede la fase in cui l'attacco è già dentro ma non ha ancora fatto danni.
4. Aggiornamenti applicati con costanza, sui computer e soprattutto su ciò che è esposto a internet: firewall, NAS, accessi da remoto.

Quanto costa, in cifre

Le cifre qui sotto sono ordini di grandezza per un'azienda fra le cinque e le venti postazioni, non un preventivo: il prezzo delle licenze dipende dal prodotto, dal numero di postazioni e dalla durata del contratto.

Sommate, per una decina di postazioni si sta nell'ordine di poche centinaia di euro l'anno di abbonamenti, più l'impianto iniziale. Il confronto utile non è con lo zero: è con quanto costa una settimana di attività ferma, che per la maggior parte delle piccole imprese supera l'intera spesa annuale di sicurezza.

Da dove cominciare se oggi non c'è niente

Non serve un progetto di sei mesi. Un percorso ragionevole, nell'ordine in cui lo affronterei:

1. Fare l'inventario: quanti computer, quali servizi in cloud, cosa è raggiungibile da internet, chi ha i permessi di amministratore.
2. Accendere il secondo fattore ovunque sia disponibile, partendo dalla posta.
3. Guardare il backup che c'è: dove scrive, se il computer può cancellarlo, quando è stato provato un ripristino l'ultima volta.
4. Sostituire l'antivirus con un EDR e decidere chi ne legge le segnalazioni.
5. Chiudere gli accessi da remoto esposti e mettere gli aggiornamenti su un calendario invece che sulla buona volontà.

I primi tre punti si fanno in una giornata e coprono la maggior parte del rischio reale. Gli altri due sono il consolidamento, e possono aspettare la settimana dopo.

Se ti interessa capire a che punto sei prima di spendere qualcosa, una valutazione iniziale serve esattamente a quello: guardare com'è messa l'azienda oggi e dire quali di queste quattro voci mancano davvero.