In breve: in due mesi 15 PMI, quasi tutte piemontesi, hanno usato il nostro Configuratore IT. Letti in forma aggregata, i risultati dicono che 6 aziende su 15 proteggono gli accessi con la sola password, che solo 4 fanno prove di ripristino del backup e che metà non ha una protezione moderna sugli endpoint. La sicurezza è la preoccupazione più citata, ma è anche l’area con il punteggio medio più basso.
Da dove vengono questi numeri
Il Configuratore IT è online da settembre: sette domande, nessuna registrazione, un report immediato con un punteggio per area e le tre priorità su cui lavorare. Le compilazioni sono anonime per scelta. Per questo articolo abbiamo guardato solo i conteggi complessivi, senza sapere chi sia chi, e il quadro somiglia molto a quello che vediamo ogni settimana entrando nelle aziende.
Chi ha risposto
- Dimensione: 6 microimprese, 3 piccole, 4 medie, 2 realtà più grandi.
- Infrastruttura: 7 con i server interamente in sede, 5 in modalità ibrida, 3 già in cloud.
- Strumenti di lavoro: 7 usano Microsoft 365 nella versione base, 4 lo affiancano ad altri strumenti, 4 lavorano ancora con posta e file server tradizionali.
- Preoccupazione principale: sicurezza (5), fermo operativo (4), costi (3), compliance (2), scelta del partner (1).
La sicurezza è in cima ai pensieri. Come vedremo, non è ancora in cima alle pratiche.
Sei aziende su quindici usano la sola password
L’autenticazione a più fattori è completa in 3 aziende, parziale in 5, assente in 6; una non sa rispondere. In due casi su tre, quindi, basta una password sottratta con un’email di phishing, o riciclata da un altro servizio, per entrare in posta, nei file condivisi e nel gestionale. Ne abbiamo scritto parlando di quanto vale una password rubata su Microsoft 365: l’MFA è la misura con il miglior rapporto tra sforzo e risultato, si attiva in poche ore e chiude la porta più usata dagli attaccanti.
Solo quattro aziende testano davvero il backup
Il backup “c’è” quasi ovunque, ma in pochi casi è stato messo alla prova: 4 aziende fanno ripristini di verifica, 5 lo definiscono parziale, 3 non lo hanno, 3 non sanno come sia messo. Un backup mai provato è una speranza, non una garanzia. Ci si accorge che manca un server, che le copie stanno sulla stessa rete colpita o che il ripristino richiede giorni proprio nelle prime 48 ore dopo un attacco, cioè nel momento in cui non ci si può permettere di scoprirlo.
Metà non ha una protezione moderna sugli endpoint
Sulle postazioni la situazione è divisa a metà: 5 aziende usano Microsoft Defender, 4 un EDR, 3 un antivirus tradizionale a pagamento, 3 non sanno cosa ci sia installato. Il punto lo abbiamo spiegato nel confronto tra antivirus ed EDR: molti attacchi di oggi non usano un virus ma credenziali vere e strumenti legittimi di Windows, e l’antivirus classico non ha nulla da segnalare. Non a caso la priorità numero uno più frequente nei report generati dal configuratore è “endpoint non protetti da EDR”, in 7 casi su 15, seguita da “MFA non diffusa” e “backup non testato o assente”.
I punteggi medi per area
Il configuratore assegna a ogni azienda un punteggio da 0 a 10 in quattro aree. La media delle 15 compilazioni:
- Produttività: 6,3. Posta, collaborazione, strumenti di lavoro.
- Infrastruttura: 6,0. Server, virtualizzazione, consolidamento.
- Continuità operativa: 4,5. Backup e capacità di ripartire dopo un incidente.
- Sicurezza: 4,6. L’area più debole, con valori che vanno da 1 a 10.
Le due aree più deboli sono anche le due più legate tra loro: chi subisce un attacco senza EDR e senza MFA si ritrova poi a dipendere da un backup che, nella maggior parte dei casi, non è mai stato messo alla prova.
Cosa ne ricaviamo
Il campione è piccolo, e chi usa un configuratore online è già un po’ più attento della media. Eppure i numeri confermano una cosa che osserviamo da anni: il problema delle PMI non è la mancanza di tecnologia, ma la distanza tra ciò che si pensa di avere e ciò che si ha davvero. “Abbiamo l’antivirus”, “il backup lo fa il gestionale”, “le password sono sicure” sono frasi che ascoltiamo spesso e che, verificate, reggono meno di quanto si creda.
La notizia buona è che le tre lacune più diffuse, MFA, backup verificato e protezione degli endpoint, sono anche le tre più rapide da colmare. Non richiedono di rifare l’infrastruttura: un backup gestito con prove di ripristino e un EDR con qualcuno che ne guarda gli allarmi si introducono in giorni, non in mesi.
Tre domande per capire dove siete oggi
- Se domani una password aziendale finisse in rete, basterebbe da sola per entrare nella vostra posta?
- Quando avete fatto l’ultimo ripristino di prova dal backup, e quanto ci è voluto?
- Sapete dire con certezza cosa protegge oggi ogni PC e server, e chi riceve gli allarmi?
Domande frequenti
I dati inseriti nel Configuratore IT sono riservati?
Sì. Le compilazioni sono anonime: non registriamo indirizzi IP né identificativi della postazione. I contatti vengono salvati solo se li lasciate volontariamente nel modulo facoltativo sotto il report, e in questo articolo usiamo esclusivamente conteggi aggregati.
Da dove partire se il punteggio in sicurezza è basso?
Nell’ordine: attivare l’autenticazione a più fattori su tutti gli account, verificare che almeno una copia di backup sia isolata dalla rete e fare un ripristino di prova, sostituire l’antivirus tradizionale con una protezione che analizzi i comportamenti. Sono tre interventi misurabili in giorni.
Quanto è rappresentativo un campione di 15 aziende?
Poco dal punto di vista statistico, e non lo presentiamo come una ricerca. Ha però il valore delle osservazioni sul campo: sono aziende reali del nostro territorio e i risultati coincidono con quello che riscontriamo nelle visite di assessment. Aggiorneremo i numeri man mano che il campione cresce.
Volete vedere il vostro punteggio?
Il Configuratore IT è gratuito e anonimo: in due minuti avete la valutazione nelle quattro aree e le tre priorità su cui lavorare. Sotto il report c’è un modulo facoltativo se volete confrontarvi con noi; se preferite tenere il risultato per voi, va bene lo stesso.