Se la tua azienda lavora per banche, finanziarie o assicurazioni, la cybersecurity non è più solo un problema tuo: è un requisito dei tuoi clienti. Recupero crediti, call center, servizi amministrativi, software house: chi tratta dati o svolge attività per un soggetto vigilato riceve sempre più spesso questionari di sicurezza, richieste di audit e clausole contrattuali precise. In questo articolo mettiamo in fila le norme che contano, cosa chiedono davvero i committenti e come costruire un piano annuale che produca le evidenze giuste.
Perché i committenti ti chiedono di dimostrare la tua sicurezza
Le norme europee più recenti spostano l’attenzione sulla catena di fornitura. Una banca non può più limitarsi a proteggere i propri sistemi: deve verificare anche quelli dei fornitori che trattano i suoi dati o supportano funzioni importanti. Così l’obbligo “scende” lungo la filiera e arriva a te sotto forma di domande molto concrete: fate test di sicurezza? Avete un registro degli incidenti? Il personale è formato? I backup sono provati?
Rispondere “abbiamo l’antivirus” non basta più. Servono controlli che funzionano e documenti che lo dimostrano.
Le norme da conoscere
| Norma | Cosa chiede | Perché ti riguarda |
|---|---|---|
| GDPR (Reg. UE 2016/679) | Misure di sicurezza adeguate (art. 32), test periodici della loro efficacia, notifica dei data breach entro 72 ore | Tratti dati personali di clienti e debitori per conto dei committenti |
| Provvedimento del Garante sugli amministratori di sistema (2008) | Registrazione degli accessi degli amministratori, log inalterabili conservati almeno 6 mesi, verifica annuale dell’operato | Vale per chiunque abbia amministratori di sistema, interni o esterni |
| NIS2 (D.Lgs. 138/2024) | Gestione del rischio, degli incidenti e delle vulnerabilità, continuità operativa, sicurezza dei fornitori, MFA, formazione anche degli organi di amministrazione (art. 23) | Se non sei soggetto NIS2 direttamente, lo sono spesso i tuoi committenti, che devono controllare la propria filiera |
| DORA (Reg. UE 2022/2554) | Resilienza operativa digitale delle entità finanziarie, inclusa la gestione dei fornitori ICT: due diligence, clausole, diritto di audit | In vigore dal 17 gennaio 2025: è la fonte di molti questionari che ricevi dalle banche |
| AI Act (Reg. UE 2024/1689) | Alfabetizzazione sull’IA per chi la usa; obblighi specifici per i sistemi ad alto rischio, tra cui quelli per la valutazione del merito creditizio | Riguarda chi usa strumenti di IA per scoring, priorità delle pratiche o contatti automatizzati |
| Cyber Resilience Act (Reg. UE 2024/2847) | Requisiti di sicurezza per i prodotti con elementi digitali e aggiornamenti garantiti dal produttore | Conta nella scelta di firewall, NAS, centralini e software: meglio prodotti con supporto di sicurezza dichiarato |
| Legge 90/2024 | Rafforza la cybersicurezza nazionale e inasprisce le pene per accesso abusivo ed estorsione informatica | Rende ancora più importante saper raccogliere e conservare le prove in caso di incidente |
I quattro pilastri di un piano di sicurezza annuale
Dalla nostra esperienza con aziende della filiera finanziaria, un piano efficace si regge su quattro pilastri. Non servono per forza grandi budget: servono continuità e documentazione.
1. Monitoraggio continuo
Un sistema di monitoraggio (SOC/XDR) raccoglie i log di server, postazioni, firewall e servizi cloud, li correla e segnala in tempo reale accessi sospetti, escalation di privilegi o cifrature anomale tipiche del ransomware. Oggi esistono piattaforme open-source mature, come Wazuh, Elastic, TheHive e Velociraptor, che permettono un monitoraggio di livello professionale senza costi di licenza e senza legarsi a un unico fornitore. La stessa piattaforma può conservare in modo inalterabile i log degli amministratori di sistema richiesti dal Garante.
2. Verifiche periodiche
Il monitoraggio va affiancato da test regolari:
- Vulnerability assessment automatici e frequenti, mensili o continui, con priorità basate sul rischio reale e non solo sul punteggio
- Penetration test distribuiti durante l’anno, ad esempio: perimetro esterno, rete interna e Active Directory, social engineering con phishing simulato, re-test finale
- Re-test delle criticità entro tempi definiti, per dimostrare che sono state davvero chiuse
Nei test che svolgiamo troviamo spesso le stesse debolezze diffuse: protocolli obsoleti come TLS 1.0/1.1, SMBv1 o versioni datate di SSH, servizi esposti senza necessità, dispositivi di rete non aggiornati. Sono problemi semplici da correggere, ma solo se qualcuno li cerca: ne abbiamo raccontato un esempio nel caso di un vulnerability assessment su un NAS aziendale.
3. Governance e documenti
È il pilastro che i committenti guardano per primo, perché produce le evidenze:
- risk assessment annuale, allineato a ISO/IEC 27001 e alle misure di base ACN per la NIS2
- policy di sicurezza aggiornate: accessi e MFA, password, backup, lavoro da remoto, fornitori
- procedura per i data breach a 72 ore e registro degli incidenti
- valutazione dei fornitori ICT e inventario degli asset con lo stato di supporto
- verifica semestrale dei backup con test di ripristino documentato
4. Persone e risposta agli incidenti
La maggior parte degli attacchi parte da un clic. Servono sessioni di formazione periodiche per il personale, una sessione dedicata all’organo amministrativo (come prevede la NIS2) e campagne di phishing simulato con feedback immediato. Infine, quando qualcosa va storto, conta avere già pronto un runbook di incident response e ore di intervento specialistico già concordate, per contenere il danno e raccogliere le prove.
Obiettivi misurabili, non buone intenzioni
Un piano serio si misura. Ecco alcuni indicatori che proponiamo ai nostri clienti e che si possono mostrare ai committenti:
- chiusura delle vulnerabilità di severità alta entro tempi stabiliti e verificata con re-test
- tempo medio di rilevamento degli eventi critici sotto i 30 minuti
- click-rate delle campagne di phishing simulato sotto il 5% a fine anno
- almeno 2 test di ripristino da backup con esito positivo all’anno
- formazione completata da almeno il 90% dei dipendenti e da tutti gli amministratori
Da dove cominciare
Se ricevi questionari di sicurezza dai tuoi clienti e non sai bene come rispondere, il primo passo è fotografare la situazione attuale: un vulnerability assessment e un breve risk assessment bastano per capire le priorità e costruire un piano proporzionato alla tua azienda.
Hydra Solutions affianca le aziende di Cosenza, Rende e di tutta la Calabria con servizi integrati di cybersecurity: monitoraggio su piattaforme open-source, penetration test, governance e compliance, formazione e incident response, con un team in sede a Rende. Prenota una consulenza o chiamaci allo 0984 187 1515.
Gaetano Bitonte