Il titolare di uno studio difficilmente ha il tempo di leggere manuali di sicurezza informatica. Ma sa rispondere a domande semplici sul proprio ufficio. Questa checklist di sicurezza informatica per lo studio è pensata così: dieci domande, risposte sì/no, e per ognuna una spiegazione di due righe.
Perché farla? Secondo il Cyber Index PMI 2025, l’indice di maturità delle piccole e medie imprese italiane in materia di sicurezza è di 55 su 100: in crescita, ma ancora lontano da un livello di tranquillità. E circa una PMI su quattro ha subito almeno un attacco negli ultimi tre anni.
Come usare questa checklist di autovalutazione
Prendi carta e penna (o le note del telefono). Per ogni domanda segna Sì solo se sei sicuro. Se non sai rispondere, segna No: non saperlo è già un’informazione importante.
Le 10 domande
1. Se domani un virus cifra tutti i file, sai da dove li recupereresti?
Serve almeno una copia di backup scollegata dalla rete dello studio, recente e provata: cioè qualcuno ha verificato di recente che i file si possono davvero ripristinare. Un backup mai provato è una speranza, non un backup. → La regola del backup 3-2-1
2. Posta elettronica e programmi in cloud chiedono un secondo codice oltre alla password?
L’autenticazione a due fattori (codice sul telefono, app o chiave fisica) è la singola misura più efficace contro il furto di account. Secondo uno studio di Microsoft Research del 2023, riduce il rischio di compromissione di oltre il 99%. → Password, MFA e passkey
3. Computer, smartphone e programmi si aggiornano automaticamente?
La maggior parte degli attacchi sfrutta difetti già noti e già corretti dai produttori. Se gli aggiornamenti vengono rimandati per settimane, la porta resta aperta. Vale anche per il router, il NAS e le stampanti.
4. Tra la rete dello studio e internet c’è qualcosa di più del router dell’operatore?
Il router serve a collegarsi a internet, non a proteggere lo studio. Un firewall controlla cosa entra e cosa esce e può avvisare quando qualcosa non va. → Perché il router non basta
5. Se un computer dello studio venisse infettato stanotte, qualcuno lo saprebbe domattina?
È la domanda più importante. Molti incidenti vengono scoperti dopo settimane, quando i dati sono già usciti. Serve un sistema che osservi e avvisi una persona precisa, in modo comprensibile.
6. Il Wi-Fi degli ospiti è separato da quello dei computer di lavoro?
Clienti, fornitori e dispositivi personali non dovrebbero mai condividere la rete con il gestionale e con i documenti dei clienti. Lo stesso vale per telecamere e dispositivi “smart”. → Wi-Fi ospiti e dispositivi IoT
7. Chi lavora da casa si collega allo studio tramite una VPN?
Programmi di controllo remoto lasciati sempre attivi e porte aperte sul router sono tra le vie d’ingresso preferite dagli attaccanti. Una VPN crea un canale cifrato e controllato. → VPN e lavoro da remoto
8. Tutti in studio saprebbero riconoscere un’email truffa e sanno a chi segnalarla?
Il phishing resta il modo più comune per entrare in un’organizzazione: nel rapporto ENISA Threat Landscape 2025 è il punto d’ingresso in circa il 60% dei casi analizzati. Con l’intelligenza artificiale le email truffa sono scritte sempre meglio. → Come riconoscere il phishing
9. Esiste una regola chiara su quali dati si possono inserire in ChatGPT e negli altri strumenti di IA?
Incollare un contratto o una dichiarazione dei redditi in un chatbot pubblico può significare consegnare dati riservati a terzi. Serve una regola scritta, breve e condivisa. → IA generativa in studio senza rischi
10. Se subisci un attacco, sai chi chiamare e in che ordine?
Un foglio con tre nomi e tre numeri (tecnico, consulente privacy, assicurazione se presente) e i passi da seguire fa risparmiare ore preziose. Ricorda che, in caso di violazione di dati personali, il GDPR prevede la notifica al Garante entro 72 ore quando ne ricorrono i presupposti. → Attacco informatico: cosa fare
Come leggere il punteggio
Conta i Sì.
| Punteggio | Cosa significa | Cosa fare |
|---|---|---|
| 9-10 | Buon livello di attenzione | Mantieni le abitudini e ripeti la checklist ogni sei mesi |
| 6-8 | Basi presenti, ma con buchi | Affronta i “no” partendo da backup (1) e due fattori (2) |
| 3-5 | Studio esposto | Pianifica un incontro con il tecnico entro due settimane |
| 0-2 | Rischio elevato | Parti subito da backup, due fattori e aggiornamenti |
Da dove cominciare se i “no” sono tanti?
Non tutto ha lo stesso peso. Se devi scegliere, l’ordine consigliato è:
- Backup scollegato e provato (domanda 1): è ciò che ti salva quando tutto il resto ha fallito.
- Autenticazione a due fattori sulla posta (domanda 2): costa pochi minuti e blocca la maggior parte dei furti di account.
- Aggiornamenti automatici (domanda 3).
- Qualcuno che osservi e avvisi (domande 4 e 5).
- Tutto il resto, una cosa alla volta.
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato consigli pratici dedicati a titolari, dipendenti e tecnici delle PMI nell’ambito della campagna “Accendiamo la cybersicurezza”: sono un ottimo complemento a questa lista.
Le domande 4 e 5 sono le più difficili? È normale
Backup, due fattori e aggiornamenti si possono sistemare con un intervento una tantum. Sapere in tempo reale cosa succede nella rete, invece, richiede qualcuno (o qualcosa) che osservi ogni giorno. È proprio il problema per cui stiamo sviluppando Strega Defence: una Box che protegge la rete dello studio e un’app che ti avvisa solo quando succede qualcosa che conta, spiegandolo in italiano semplice: le minacce le blocca da sola, senza lasciarti decisioni tecniche da prendere. Scopri Strega Defence.
Domande frequenti
Quanto spesso andrebbe ripetuta questa checklist?
Almeno ogni sei mesi e comunque ogni volta che cambia qualcosa di rilevante: nuovo personale, nuovo gestionale, trasloco, nuovo fornitore internet o nuovi dispositivi in rete.
Posso compilarla senza conoscenze tecniche?
Sì, è pensata per il titolare o il responsabile di segreteria. Se non sai rispondere a una domanda, segnala come “no” e chiedi al tuo tecnico di fiducia: la sua risposta ti dirà molto anche sul livello di attenzione con cui viene seguito lo studio.
Questa checklist sostituisce una valutazione dei rischi professionale?
No. È un’autovalutazione rapida per capire le priorità. Una valutazione dei rischi completa, utile anche ai fini del GDPR, richiede un’analisi più approfondita dei trattamenti, dei sistemi e delle procedure dello studio.
Qual è la misura più importante se posso farne una sola?
Il backup scollegato dalla rete e verificato con una prova di ripristino. È l’unica misura che permette di ripartire anche quando un attacco è andato a segno.
Un piccolo studio è davvero un bersaglio per gli hacker?
Sì, perché la maggior parte degli attacchi è automatizzata e colpisce chiunque presenti una debolezza, senza scegliere la vittima in base alle dimensioni. Gli studi custodiscono inoltre dati riservati e spesso hanno meno difese delle grandi aziende.
Fonti e approfondimenti
- Cyber Index PMI 2025 — Confindustria, Generali, Osservatori PoliMi, ACN, marzo 2026.
- ENISA Threat Landscape 2025 — ENISA, ottobre 2025.
- How effective is multifactor authentication at deterring cyberattacks? — Microsoft Research, 2023.
- Accendiamo la cybersicurezza – consigli per le PMI — Agenzia per la Cybersicurezza Nazionale.
- Consigli utili per dirigenti e titolari (PDF) — ACN.
- Data breach: notifica al Garante — Garante per la protezione dei dati personali.
Scritto da Ing. Sergio Florio, fondatore di Strega Byte, ingegnere con oltre vent’anni di esperienza tra ricerca, sviluppo e impresa. Articolo aggiornato all’11 ottobre 2026.
