Misure di base per l'IT aziendale: gestione delle patch, backup e diritti di accesso

Perché le misure di base fanno la differenza

Un fornitore di consulenza sulla cybersecurity osserva: le aziende in Svizzera sono sempre più spesso bersaglio di attacchi informatici professionali – si citano phishing, ransomware, furto di dati, attacchi DDoS e la manipolazione dei sistemi IT. Senza adeguate misure, secondo la stessa valutazione, minacciano interruzioni operative, danni all’immagine e conseguenze legali. Per le PMI svizzere un livello adeguato di sicurezza IT è decisivo per minimizzare in modo sostenibile i rischi aziendali.

Nei colloqui confidenziali con i responsabili delle PMI, itsecurityschweiz.ch si imbatte regolarmente nell’atteggiamento: «Perché dovrebbero attaccare proprio noi? Non siamo un obiettivo interessante.» Psicologicamente questa reazione è comprensibile, statisticamente altamente rischiosa: chi non conosce la propria superficie di attacco non può nemmeno valutare se sia un bersaglio.

Il quadro giuridico si è inasprito: la Legge federale sulla protezione dei dati (LPD) riveduta è entrata in vigore il 1° settembre 2023 insieme alla nuova Ordinanza sulla protezione dei dati (OPD) e all’Ordinanza sulle certificazioni in materia di protezione dei dati. itsecurityschweiz.ch richiama l’attenzione sui rischi di responsabilità della nuova LPD e sul fatto che i testi di legge non possono essere considerati separatamente dall’architettura di rete: un audit non consiste quindi in documenti, ma nella prova tecnica della resilienza del sistema.

Come punto di ingresso pragmatico per le PMI svizzere, la stessa fonte indica lo Standard minimo ICT dell’UFAC. Al centro dell’attenzione vi sono le misure di base critiche secondo il NIST.

Secondo it-s.ch, la sicurezza non è un prodotto, ma un processo che combina aspetti tecnici, organizzativi e umani. La gestione delle patch, i backup e i diritti di accesso ne costituiscono la base, sulla quale soltanto possono innestarsi misure più avanzate come il monitoraggio, la protezione degli endpoint o la risposta agli incidenti.

Misure di base critiche per le PMI svizzere

Gestione delle patch: chiudere sistematicamente le vulnerabilità note

Le lacune di sicurezza nel software e nei sistemi che non vengono chiuse tempestivamente con patch e aggiornamenti rappresentano, secondo S-U-P-E-R.ch, una porta d’ingresso invitante per i criminali informatici. Molti attacchi mirano a vulnerabilità note: sono proprio queste a essere eliminate dalle patch, impedendone lo sfruttamento. Senza una gestione efficace delle patch minacciano attacchi ransomware o perdita di dati; i sistemi non aggiornati diventano inoltre instabili, causando costosi tempi di fermo.

Il processo è ricorrente. Gli elementi centrali includono l’inventario dell’infrastruttura IT – ovvero la registrazione di tutti i sistemi e software utilizzati, per sapere cosa deve essere aggiornato regolarmente – nonché la prioritarizzazione: non tutte le patch hanno la stessa importanza, gli aggiornamenti di sicurezza critici devono essere distribuiti il più rapidamente possibile.

Prima della distribuzione in produzione si effettuano test per evitare impatti imprevisti sull’infrastruttura esistente. Una distribuzione automatizzata fornisce poi regolarmente aggiornamenti a tutti i sistemi rilevanti.

Secondo la stessa fonte, fa parte del processo anche la sensibilizzazione dei collaboratori sull’importanza degli aggiornamenti, affinché i sistemi IT rimangano attuali. Una buona gestione delle patch aiuta inoltre a soddisfare i requisiti legali.

Nella pratica questo significa: un calendario delle patch con intervalli fissi, una lista dei sistemi con carattere critico, una finestra di test prima del rollout produttivo e una lista di eccezioni per i sistemi che non possono essere aggiornati automaticamente. Senza questa documentazione resta aperto quali lacune siano ancora presenti dopo un incidente.

Gestione efficace delle patch nel dettaglio

Integrare il software di terze parti nel processo di patch

Gli aggiornamenti del sistema operativo sono spesso al primo posto per i team IT; le applicazioni di terze parti vengono invece spesso trascurate, secondo Splashtop. Queste app non native sono essenziali per le operazioni aziendali, ma anche frequenti bersagli di attacchi informatici – esempi tipici sono Adobe Reader, Google Chrome o Zoom.

La differenza sta nella cadenza: le patch del sistema operativo appaiono generalmente a intervalli regolari, mentre i fornitori di terze parti pubblicano patch possibilmente solo sporadicamente – spesso come reazione a una vulnerabilità appena scoperta. In questo modo i team IT perdono più facilmente la panoramica. Senza una gestione adeguata delle patch minacciano attacchi che possono portare a violazioni della protezione dei dati o a interruzioni del sistema.

La gestione delle patch per software di terze parti comprende il processo di identificazione, fornitura e gestione di aggiornamenti o patch per software non sviluppato dal produttore del sistema operativo o dell’hardware. L’automazione è considerata qui una componente chiave: solo così si può reagire tempestivamente ad aggiornamenti che appaiono irregolarmente.

Per la pratica ciò significa non limitare l’inventario del software al sistema operativo, ma catalogare tutte le applicazioni installate – inclusi browser, visualizzatori PDF, client per videoconferenze e accesso remoto. Dove non è possibile un aggiornamento automatico, serve un ritmo di verifica manuale e una responsabilità documentata.

Confronto: gestione automatica vs. manuale delle patch per software di terze parti

Backup: garantire la sicurezza dei dati e il ripristino

La sicurezza dei dati è considerata un elemento centrale della sicurezza IT: le aziende svizzere – anche le PMI – devono attuare misure tecniche e organizzative adeguate. I backup rientrano in queste misure tecniche e sono il presupposto affinché un incidente non si concluda con una perdita permanente di dati. Nella letteratura specialistica, la perdita di dati viene esplicitamente menzionata accanto al ransomware come rischio dei sistemi non aggiornati.

Un backup è utile solo se è separato dal sistema produttivo. Una copia accessibile nella stessa rete con le stesse credenziali di accesso può essere cifrata o cancellata durante un attacco ransomware. Pertanto sono necessarie più copie su supporti diversi, di cui almeno una separata spazialmente o logicamente, che non possa essere sovrascritta durante il funzionamento normale.

Altrettanto importante quanto il backup è la prova che possa essere ripristinato. Un test di ripristino risponde a tre domande: in quale ordine vengono recuperati sistemi e dati, chi esegue il ripristino e quanto dura? Senza questo test la ripristinabilità rimane un’ipotesi; chi conosce il tempo di ripristino può valutare quanto sia tollerabile un’interruzione.

Alla documentazione appartengono il piano di backup, la durata di conservazione, il luogo di archiviazione delle copie e i risultati dei test. In caso di dati personali, si raccomanda di trattare i backup con la stessa cura del sistema produttivo, poiché anch’essi possono contenere dati personali.

Controllare i diritti di accesso e le identità

Il principio dei privilegi minimi stabilisce che ogni account riceva solo le autorizzazioni effettivamente necessarie per il rispettivo compito – non di più. I diritti di amministrazione sono separati dagli account utente normali, gli account collettivi e condivisi vengono evitati perché in essi non è possibile attribuire un’azione a una singola persona. Chi assegna i diritti solo su richiesta e con giustificazione può in seguito ricostruire perché esiste un determinato accesso.

itsecurityschweiz.ch definisce certificati, identità e Network Access Control come il tallone d’Achille invisibile della compliance IT. I certificati hanno date di scadenza; un certificato dimenticato può causare interruzioni e, nel peggiore dei casi, mettere fuori servizio in modo incontrollato la cifratura o le relazioni di fiducia. Il Network Access Control consente l’accesso alla rete solo ai dispositivi che soddisfano uno stato definito – un laptop non aggiornato non ottiene così accesso ai sistemi interni.

Dal punto di vista organizzativo servono processi per l’ingresso, l’uscita e i cambi di ruolo: gli account vengono creati con l’assunzione, disattivati entro un termine definito con l’uscita e adattati in caso di cambio di funzione. Complementarmente agiscono l’autenticazione a più fattori per l’accesso ai sistemi critici, la registrazione degli accessi e una verifica periodica di tutte le autorizzazioni da parte dei responsabili specialistici.

I diritti di accesso riducono immediatamente la superficie di attacco. Un account senza diritti di amministrazione può causare meno danni in caso di compromissione e il percorso dalla prima postazione di lavoro infetta ai sistemi centrali diventa più lungo.

Vantaggi e rischi degli account utente condivisi

Vivere le misure di base in sinergia

Le tre misure funzionano solo congiuntamente. Una patch chiude una lacuna, ma non impedisce che un malware già introdotto cifri i dati – per questo serve un backup separato e testato. Viceversa, un backup accessibile con gli stessi ampi diritti del sistema produttivo può essere compromesso insieme ad esso in caso di attacco. E un sistema aggiornato correttamente ma con autorizzazioni eccessive rimane un obiettivo interessante.

it-s.ch descrive esplicitamente la Cyber Security non come un prodotto, ma come un processo che unisce aspetti tecnici, organizzativi e umani e che rende i rischi riconoscibili precocemente e riducibili in modo sostenibile solo con un approccio strutturato alla sicurezza. Ne consegue che ciascuna delle tre misure di base necessita di una responsabilità nominata, di un intervallo e di una documentazione verificabile: chi applica le patch, chi testa il ripristino, chi verifica le autorizzazioni.

La sensibilizzazione dei collaboratori fa parte del quadro complessivo – presso S-U-P-E-R.ch come parte della gestione delle patch, presso it-s.ch come modulo di prestazione autonomo con formazioni e training di awareness. La stessa fonte cita come moduli costitutivi di un concetto di sicurezza, tra l’altro, il monitoraggio e il rilevamento delle minacce, la protezione degli endpoint, la sicurezza firewall e di rete nonché la reazione agli incidenti (Incident Response), orientati a standard come ISO 27001 e al Framework NIST e conformi alla LPD.

Per un semplice flusso di Incident Response nelle PMI basta un quadro snello: riconoscere e segnalare, contenere i sistemi interessati e separarli dalla rete, ripristinare dal backup, elaborare a posteriori cause e lacune. Affinché questo flusso funzioni in caso di emergenza, le responsabilità e le reperibilità devono essere definite in anticipo e il ripristino – come descritto sopra – deve essere stato testato precedentemente.

Flusso di un processo di Incident Response nelle PMI