Checklist sicurezza informatica per PMI: 18 controlli essenziali
Checklist di sicurezza informatica per PMI: 18 controlli essenziali divisi per area, da account e backup a rete e persone, per capire subito dove intervenire.
Area GUI · · 3 min di lettura
Molti titolari di PMI sanno che la sicurezza informatica è importante, ma non sanno da dove iniziare né come capire se l'azienda è protetta in modo adeguato. Una checklist è uno strumento semplice per fare il punto: non sostituisce una verifica tecnica, ma aiuta a individuare le lacune più evidenti. Ecco 18 controlli essenziali, raggruppati per area.
Account e accessi
Gli account sono la porta d'ingresso più usata dagli attaccanti, spesso tramite credenziali rubate con il phishing.
- Autenticazione a più fattori (MFA) attiva su posta, servizi cloud, accessi remoti e account amministrativi.
- Account amministrativi separati da quelli usati ogni giorno, e limitati alle persone che ne hanno davvero bisogno.
- Account disattivati tempestivamente quando un collaboratore lascia l'azienda o cambia ruolo.
- Password robuste e uniche, con l'uso di un gestore di password aziendale invece di fogli o post-it.
Dispositivi e aggiornamenti
PC e server non aggiornati sono tra le cause più frequenti di incidenti.
- Inventario aggiornato di PC, server, smartphone e dispositivi di rete.
- Aggiornamenti applicati con regolarità a sistemi operativi e software, con un processo di patch management.
- Nessun sistema fuori supporto in produzione. Per esempio, Windows 10 ha raggiunto la fine del supporto il 14 ottobre 2025: i PC che lo usano vanno aggiornati, sostituiti o coperti con il programma ESU a pagamento.
- Protezione degli endpoint con soluzioni EDR gestite su PC e server.
- Cifratura del disco sui portatili.
Backup e continuità
Il backup è l'ultima linea di difesa contro ransomware, guasti ed errori.
- Backup automatici di server, dati e servizi cloud come Microsoft 365.
- Almeno una copia separata dalla rete aziendale o non modificabile, così da non essere cifrata insieme ai dati originali.
- Test di ripristino periodici, documentati: un backup mai provato non dà garanzie.
Rete e posta elettronica
- Firewall configurato e aggiornato, con regole riviste periodicamente e nessun servizio interno esposto direttamente su Internet.
- Accesso remoto tramite VPN o soluzioni equivalenti, sempre con MFA.
- Rete Wi-Fi ospiti separata da quella aziendale.
- Protezione della posta con filtri antiphishing e record SPF, DKIM e DMARC configurati sul dominio.
Persone e procedure
- Formazione periodica dei collaboratori su phishing, frodi via email e gestione delle informazioni.
- Piano di risposta agli incidenti: chi chiamare, cosa fare nelle prime ore, come gestire le comunicazioni. In caso di violazione di dati personali, il GDPR prevede la notifica al Garante entro 72 ore dalla conoscenza, quando ne ricorrono i presupposti.
Come usare questa checklist
Per ciascun controllo, prova a rispondere con onestà: sì, no, in parte, non so. Le risposte "non so" sono importanti quanto i "no": indicano aree in cui manca visibilità.
Alcuni consigli pratici:
- parti dai controlli più efficaci: MFA, backup con copia isolata e aggiornamenti sono quelli che riducono di più il rischio;
- coinvolgi chi gestisce l'IT, interno o esterno, per avere risposte verificate;
- ripeti la verifica almeno una volta l'anno e dopo cambiamenti importanti;
- documenta lo stato: è utile anche per clienti, assicurazioni e adempimenti normativi.
Se la tua azienda rientra tra i soggetti NIS2, o lavora come fornitore di aziende che vi rientrano, questi controlli sono un buon punto di partenza ma non esauriscono gli obblighi: trovi un approfondimento nella pagina sulla NIS2. La checklist è utile anche per prepararsi a una assicurazione cyber, perché molte domande dei questionari riguardano proprio questi temi.
Oltre la checklist
Una checklist fotografa le misure di base, ma non rileva tutto. Una vulnerabilità su un server esposto, una configurazione errata del firewall o un account dimenticato possono sfuggire a un controllo fatto "a domande". Per questo è utile affiancare verifiche tecniche periodiche, come un vulnerability assessment, e un monitoraggio continuo dei sistemi.
Come può aiutarti Area GUI
Area GUI può verificare insieme a te ciascun punto di questa checklist, misurare la situazione con un vulnerability assessment e aiutarti a colmare le lacune con priorità chiare. Scopri il servizio di Vulnerability Assessment e di Endpoint Security, oppure contattaci.