Sicurezza informatica aziendale: cosa fare e come partire

La risposta breve: la sicurezza informatica aziendale è l'insieme di misure tecniche, organizzative e di formazione con cui un'azienda tiene sotto controllo il rischio sui propri sistemi e sui propri dati. Si parte dall'inventario e dall'analisi dei rischi, si applicano le misure di base (identità, aggiornamenti, backup, formazione), si costruisce la capacità di accorgersi di un attacco e di rispondere, e si verifica nel tempo che tutto questo funzioni.

Non è un prodotto da comprare né un progetto che si chiude: è un processo con un responsabile, un budget e delle metriche. Qui vediamo cosa comprende, perché in Italia è diventato un tema da direzione, cosa chiedono NIS2 e GDPR e un percorso in cinque passi per chi parte da poco.

Cosa comprende la sicurezza informatica aziendale

L'obiettivo si descrive con tre parole che ritornano in tutte le norme: riservatezza, integrità e disponibilità delle informazioni. Il GDPR, all'articolo 32, aggiunge la resilienza dei sistemi e la capacità di ripristinare in tempo i dati dopo un incidente. In pratica il lavoro tocca tre livelli.

• Tecnico. Configurazioni, aggiornamenti, gestione delle identità, cifratura, backup, strumenti di rilevamento sugli endpoint, sulla rete e nel cloud.
• Organizzativo. Chi decide, chi risponde, quali procedure esistono per gli incidenti, come si valutano i fornitori, come si misura se le misure funzionano.
• Persone. Formazione, regole chiare sull'uso degli strumenti, accessi assegnati in base al ruolo e revocati quando il ruolo cambia.

Un'azienda che lavora bene su uno solo dei tre livelli resta esposta sugli altri due. Il firewall di ultima generazione non serve a molto se le credenziali di un amministratore finiscono in una pagina di phishing, e una procedura scritta non serve se nessuno la conosce il giorno dell'incidente.

Perché è diventato un tema da direzione

I numeri italiani spiegano perché la domanda arriva sempre più spesso dal consiglio di amministrazione e non solo dall'IT.

• Volume degli attacchi. Il Rapporto Clusit 2026 (comunicato dell'11 marzo 2026) ha censito in Italia 507 incidenti gravi noti nel 2025, contro i 357 del 2024: +42%. Nel nostro Paese si è verificato il 9,6% degli incidenti gravi rilevati nel mondo.
• Settori colpiti. Sempre secondo Clusit, in Italia il settore più colpito è quello governativo, militare e delle forze dell'ordine, con oltre il 28% degli incidenti. Seguono il manifatturiero con il 12,6% e, tra gli altri, trasporti e logistica con il 12%, cresciuti del 134,6% in un anno.
• Tecniche. In Italia phishing e ingegneria sociale hanno causato il 12,4% degli incidenti, in aumento del 66% sul 2024.
• Costo. Nel Cost of a Data Breach 2026, condotto dal Ponemon Institute e analizzato da IBM, il costo medio di una violazione di dati in Italia è di 3,55 milioni di euro, contro i 3,31 milioni dell'edizione precedente.

Il dato IBM più utile per chi organizza la sicurezza però non è la media. Nel focus Italia la causa primaria più frequente delle violazioni è la compromissione della catena di fornitura (18% dei casi), e tra i fattori che fanno salire di più il costo ci sono la carenza di personale qualificato in sicurezza e la mancanza di visibilità sulle applicazioni in uso, il cosiddetto shadow IT. Sono tre problemi di organizzazione prima che di tecnologia. Il quadro completo dei numeri è nell'articolo sugli attacchi cyber in Italia.

Le sei aree da coprire

Per non perdere pezzi conviene appoggiarsi a un modello riconosciuto. Un riferimento diffuso è il NIST Cybersecurity Framework 2.0, pubblicato il 26 febbraio 2024, pensato per organizzazioni di ogni dimensione e settore. Organizza il lavoro in sei funzioni. NIST precisa che non sono una lista di controllo da spuntare: descrivono risultati da raggiungere, e il modo per raggiungerli cambia da azienda ad azienda.

1. Governo (Govern)

Strategia di gestione del rischio, ruoli e responsabilità, politiche, gestione del rischio dei fornitori, supervisione da parte della direzione. NIST la mette al centro perché orienta tutte le altre. Per un'azienda del mid-market significa almeno: un responsabile con un mandato scritto, un budget, un rapporto periodico alla direzione.

2. Identificazione (Identify)

Sapere cosa si possiede (dati, hardware, software, servizi cloud, fornitori) e quali rischi corre. Senza un inventario aggiornato ogni altra misura copre solo i sistemi che qualcuno si ricorda di avere.

3. Protezione (Protect)

Gestione delle identità e degli accessi, autenticazione a più fattori, formazione, sicurezza dei dati, configurazione e aggiornamento delle piattaforme, resilienza dell'infrastruttura. È l'area dove si concentra di solito la spesa, e dove si ottengono i risultati più rapidi.

4. Rilevamento (Detect)

Accorgersi in tempo di anomalie e segnali di compromissione. Richiede log raccolti e correlati e qualcuno che li legga, anche di notte e nel fine settimana. È il compito di un SOC, interno o gestito.

5. Risposta (Respond)

Gestione dell'incidente: analisi, contenimento, comunicazione, notifiche alle autorità quando sono dovute. Si prepara prima, con una procedura scritta, ruoli assegnati e almeno un'esercitazione all'anno.

6. Ripristino (Recover)

Riportare in funzione sistemi e servizi. Qui contano i backup, ma soprattutto la prova che si riescono a ripristinare nei tempi che il business può sopportare.

Cosa chiede la legge

NIS2: le misure dell'articolo 24 del D.Lgs. 138/2024

Per i soggetti essenziali e importanti la direttiva NIS2, recepita con il D.Lgs. 138/2024, trasforma la sicurezza informatica in un obbligo. L'articolo 24 chiede misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multi-rischio, e al comma 2 elenca gli elementi minimi:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, comprese le procedure per le notifiche;
• continuità operativa, con gestione dei backup, ripristino in caso di disastro e gestione delle crisi;
• sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti;
• sicurezza di acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
• politiche e procedure per valutare l'efficacia delle misure;
• pratiche di igiene di base e formazione;
• uso della crittografia e, dove opportuno, della cifratura;
• sicurezza del personale, controllo degli accessi e gestione dei beni;
• autenticazione a più fattori o continua e comunicazioni protette, dove opportuno.

Il comma 4 aggiunge che, se un soggetto scopre di non essere conforme, adotta le misure correttive "senza indebito ritardo". Anche chi non rientra direttamente nel perimetro NIS2 se lo ritrova spesso nei contratti: i clienti obbligati devono valutare la sicurezza dei propri fornitori. Per capire se e come la norma ti riguarda il punto di partenza è la guida completa alla NIS2, e per il lato fornitori l'articolo sul third-party risk management.

GDPR: l'articolo 32 vale per tutti

Ogni azienda che tratta dati personali, cioè praticamente tutte, ha già un obbligo di sicurezza: l'articolo 32 del GDPR chiede misure tecniche e organizzative adeguate al rischio. Tra gli esempi la norma cita pseudonimizzazione e cifratura, la capacità di ripristinare tempestivamente i dati dopo un incidente e una procedura per testare e valutare regolarmente l'efficacia delle misure. Il dettaglio è nell'articolo sull'articolo 32 del GDPR.

ISO/IEC 27001: lo standard volontario

La ISO/IEC 27001:2022 non è un obbligo di legge. È una norma certificabile che chiede di gestire la sicurezza delle informazioni con un sistema: analisi dei rischi, controlli scelti di conseguenza, verifiche periodiche e miglioramento. Per un'azienda che deve dimostrare a clienti e partner come lavora, è un riferimento riconosciuto a livello internazionale. Il rapporto con gli obblighi NIS2 è nell'articolo NIS2 e ISO 27001 a confronto.

Da dove partire: un percorso in cinque passi

Per un'azienda che non ha mai strutturato la sicurezza, l'ordine conta più della velocità.

1. Nominare un responsabile. Una persona con mandato e accesso alla direzione, interna o esterna. Senza un nome, le decisioni restano sospese tra IT, legale e acquisti.
2. Fare l'inventario e l'analisi dei rischi. Sistemi, dati, servizi cloud, fornitori con accesso. Per ciascuno: cosa succede se si ferma, se viene letto da chi non dovrebbe, se viene alterato.
3. Chiudere le misure di base. Autenticazione a più fattori su posta, VPN e account amministrativi; aggiornamenti applicati con tempi definiti; backup con almeno una copia isolata e un ripristino provato; formazione periodica sul phishing.
4. Costruire rilevamento e risposta. Raccogliere i log dei sistemi critici, decidere chi li guarda e con quali tempi, scrivere la procedura di gestione degli incidenti con contatti e responsabilità.
5. Verificare. Un audit di sicurezza informatica periodico, scansioni delle vulnerabilità, un test di ripristino, un'esercitazione sugli incidenti. Quello che non si misura non regge alla prima domanda di un cliente o di un'autorità.

Gli errori più comuni

• Comprare strumenti prima di sapere cosa coprire. Senza inventario e analisi dei rischi la spesa segue le offerte dei fornitori, non le priorità dell'azienda.
• Delegare tutto all'IT. La sicurezza tocca contratti, personale, fornitori e continuità del business: decisioni che l'IT da solo non può prendere.
• Backup mai provati. Una copia che nessuno ha mai ripristinato è un'ipotesi, non una garanzia.
• Nessuno che guarda gli allarmi. Gli strumenti generano segnali; se nessuno li legge fuori dall'orario d'ufficio, un attacco iniziato il venerdì sera viene scoperto il lunedì.
• Fornitori fuori dal perimetro. Secondo IBM, in Italia la compromissione della catena di fornitura è la causa primaria più frequente delle violazioni (18%).

In sintesi

La sicurezza informatica aziendale è un processo di gestione del rischio con tre livelli, tecnico, organizzativo e umano, e sei aree da coprire: governo, identificazione, protezione, rilevamento, risposta e ripristino. In Italia gli incidenti gravi sono cresciuti del 42% nel 2025 (Clusit) e una violazione di dati costa in media 3,55 milioni di euro (IBM). Per i soggetti NIS2 l'articolo 24 del D.Lgs. 138/2024 fissa gli elementi minimi; per tutti vale l'articolo 32 del GDPR. Si parte da un responsabile, un inventario e le misure di base, e si verifica.

Se vuoi capire da dove partire nella tua azienda e quali aree sono già coperte, puoi guardare i nostri servizi di cybersecurity.