Se il gestionale ordini si ferma per dieci ore, un’impresa può perdere vendite, accumulare lavoro e dover pagare straordinari. In un esempio ipotetico, ridurre il fermo a quattro ore porta il costo diretto da 1.500 a 618 euro. Per capire quanto investire in cybersecurity, conviene partire da un processo reale e misurare che cosa serve per riprenderlo.
La cybersecurity comprende le misure con cui un’organizzazione protegge sistemi e dati, individua gli incidenti e mantiene o ripristina le attività. Per una piccola impresa, una decisione concreta è scegliere quale servizio recuperare per primo, chi deve occuparsene e come dimostrare che il ripristino funziona.
Quale attività si ferma per prima
Parti da un’attività che l’impresa deve poter svolgere anche in una giornata difficile, per esempio ricevere gli ordini, spedire i prodotti o preparare le paghe. Segui il percorso di una singola operazione. Annota applicazioni, dati, account, dispositivi e fornitori necessari. Se il gestionale è disponibile ma la squadra ha perso l’accesso alla posta con cui riceve gli ordini, il processo può rimanere fermo.
Chiedi a chi svolge il lavoro quali passaggi si possono gestire per qualche ora con una procedura alternativa approvata e quali richiedono il sistema. Un registro temporaneo può conservare richieste e contatti, per esempio, ma serve una regola per riconciliare i dati al rientro e prevenire ordini duplicati. Questa verifica fa emergere dipendenze che una lista di computer e licenze può lasciare in ombra.
La guida NIST per le piccole imprese organizza la gestione del rischio in sei funzioni. La tabella applica quelle funzioni al processo ordini. Le prove aiutano a capire quale misura è operativa e quale richiede ancora un intervento.
| Funzione | Scelta operativa | Prova da conservare |
|---|---|---|
| Governare | Assegnare responsabilità e priorità di spesa | Nomi e contatti delle persone che decidono |
| Identificare | Elencare servizi, dati e fornitori da cui dipendono gli ordini | Inventario aggiornato delle dipendenze |
| Proteggere | Usare autenticazione a più fattori e copie di sicurezza | Controllo della copertura degli account e dei dati critici |
| Rilevare | Assegnare la lettura delle segnalazioni di sicurezza | Verifica che un avviso arrivi al referente e venga preso in carico |
| Rispondere | Decidere chi coordina l’intervento e contatta i fornitori | Procedura e rubrica disponibili anche durante il fermo |
| Ripristinare | Provare il recupero del gestionale e dei dati | Tempo misurato e conferma che un ordine di prova arriva alla fase successiva |
RTO e RPO misurano due effetti del fermo
Il Recovery Time Objective, o RTO, indica il tempo entro cui il servizio deve tornare utilizzabile. Il Recovery Point Objective, o RPO, indica a quale momento precedente al fermo devono poter risalire i dati recuperati. Se gli ordini possono restare fermi per un massimo di quattro ore e l’azienda tollera la perdita delle registrazioni delle ultime due ore, questi sono gli obiettivi da portare a chi gestisce il sistema.
Immagina un esercizio con un guasto alle 10:00. Alle 13:15 il reparto riesce a inserire, evadere e controllare un ordine di prova. Il ripristino misurato è di tre ore e un quarto. L’ultima copia valida contiene i dati fino alle 08:30, quindi resta da riconciliare un’ora e mezza di attività. In questa prova entrambi i risultati rientrano negli obiettivi. Occorre registrare quali persone, sistemi e fornitori erano disponibili e ripetere la verifica quando quelle condizioni cambiano.
Il cronometro deve includere ciò che serve al reparto per tornare a lavorare, come riattivare gli accessi autorizzati, verificare i dati e controllare la trasmissione al magazzino. Una copia eseguita ogni due ore può essere inutilizzabile se incompleta o inaccessibile. Per questo si verifica la qualità del recupero su un ambiente separato e autorizzato, oltre all’esito dei salvataggi periodici.
Come stimare il costo di un fermo
Supponiamo che arrivino 20 ordini all’ora durante l’orario operativo e che il 30% di quelli coinvolti dal blocco venga perso definitivamente. Gli altri vengono recuperati alla riapertura. Ogni ordine perso vale 22 euro di margine di contribuzione, cioè ricavo al netto dei costi variabili evitati. Le ore aggiuntive di personale costano 30 euro ciascuna. Confrontiamo due scenari equivalenti per volume orario e composizione degli ordini.
| Voce | Fermo di 10 ore | Fermo di 4 ore |
|---|---|---|
| Ordini coinvolti | 200 | 80 |
| Ordini persi, pari al 30% | 60 | 24 |
| Margine perso | 1.320 € | 528 € |
| Personale aggiuntivo | 6 ore, 180 € | 3 ore, 90 € |
| Costo diretto stimato | 1.500 € | 618 € |
La differenza è 882 euro per un incidente con queste caratteristiche. Il calcolo esclude effetti come penali, consulenza esterna e perdita futura di clienti. Se una misura costa 360 euro per l’avvio e 720 euro l’anno, il primo anno costa 1.080 euro. Un singolo fermo del tipo simulato, che la misura riduce da dieci a quattro ore, genera un risparmio diretto di 882 euro, inferiore alla spesa del primo anno. Per una decisione servono anche la frequenza plausibile dei fermi, gli altri benefici e il costo degli scenari più seri. Il conto esplicita le ipotesi che il titolare può sostituire con dati propri.
La stima cambia se i clienti accettano di aspettare. Con il 15% di ordini persi e le stesse ore di personale, gli importi scendono a 840 euro per dieci ore di fermo e a 354 euro per quattro. Il risparmio diretto per episodio passa così a 486 euro. Per scegliere una percentuale realistica, confronta gli ordini cancellati con quelli completati dopo la riapertura e separa i periodi di punta dai giorni tranquilli. Per gli straordinari, conta le ore effettivamente pagate per recuperare il lavoro e verifica che siano aggiuntive rispetto a quelle già comprese nei costi. In questo modo il budget può essere discusso partendo dai dati aziendali.
Quali priorità finanziare e cosa chiedere ai fornitori
Per decidere da dove iniziare, cerca i punti che mettono a rischio più processi contemporaneamente. Possono essere l’account con cui si gestiscono gli accessi, un servizio di posta usato per gli ordini o il gestionale che collega vendita e magazzino. Le guide NIST ed ENISA indicano, tra le misure di base, la gestione degli accessi, gli aggiornamenti e le copie di sicurezza. Parti dagli account che possono modificare più sistemi, verifica l’autenticazione a più fattori e individua chi applica gli aggiornamenti sulle risorse critiche.
Per un servizio esterno, leggi insieme disponibilità, assistenza e recupero dei dati. Chiedi chi avvisa l’impresa, con quale canale, quando parte la misurazione del tempo e se il fornitore si impegna a recuperare anche i dati. Chiarisci in quale formato puoi esportarli e chi verifica che un ordine possa ripartire dopo il ripristino. La guida NIST sulla filiera propone di commisurare i requisiti contrattuali alla criticità del fornitore.
Durante l’esercitazione, assegna una persona al recupero tecnico e una al coordinamento con il reparto ordini. Tieni una copia accessibile dei contatti di emergenza e stabilisci chi comunica con clienti e fornitori. Per i dipendenti che ricevono richieste di pagamento o messaggi bancari, la guida sulle comunicazioni bancarie sospette spiega come riconoscerle. Per chi segue l’esposizione delle aziende quotate, il rapporto del FMI citato nel nostro articolo sulla stabilità finanziaria offre una prospettiva più ampia. Il rischio informatico nella stabilità finanziaria.
Domande frequenti sulla cybersecurity per le PMI
Da dove partire se il budget è limitato?
Individua il processo con il costo di fermo più alto, i sistemi da cui dipende e un responsabile. Poi cerca le lacune che puoi verificare con una prova breve, per esempio la copertura dell’autenticazione a più fattori o il recupero di un file essenziale.
Ogni applicazione deve avere gli stessi obiettivi di recupero?
Gli obiettivi possono cambiare secondo l’attività. Per un archivio consultato una volta al mese l’urgenza può essere diversa rispetto al gestionale ordini. Controlla anche le dipendenze che servono a più applicazioni.
Un backup riuscito dimostra che il servizio si può recuperare?
La prova di ripristino misura se i dati sono leggibili e se l’applicazione torna a svolgere le operazioni necessarie. Serve anche a vedere quanto tempo impiegano i passaggi tecnici e quelli del reparto.
Come capire se la spesa sta riducendo il rischio?
Misura risultati verificabili nel tempo, come la percentuale di account critici protetti, il tempo di ripristino osservato e l’età dei dati recuperati. Confrontali con gli obiettivi del processo.
Fonti e nota metodologica
Il caso sugli ordini e i costi sono ipotesi di BorsaMagazine. Le fonti descrivono la gestione del rischio e il ripristino. Illustrazione editoriale originale generata con IA, con due vaschette portadocumenti come simbolo di continuità.