Quando si parla di incidenti informatici, l’immaginazione corre a tecniche sofisticate. La realtà è più prosaica: quasi tutti gli incidenti gravi cominciano con un gesto quotidiano — un clic, una password obsoleta, un allegato aperto di fretta. Per questo la sicurezza informatica di un’azienda si misura anche, e forse soprattutto, sul fattore umano: sulle persone che ogni giorno aprono la posta, gestiscono accessi e maneggiano dati.

La buona notizia è che questo è il fronte su cui una PMI può ottenere di più spendendo meno: formazione ben fatta, poche regole chiare e strumenti che perdonano l’errore. Vediamo come, punto per punto.

Perché la tecnologia da sola non basta

Firewall, antivirus, filtri sulla posta: gli strumenti tecnici fermano gran parte dei tentativi, e vanno mantenuti con cura — è il lavoro ordinario dei servizi IT gestiti bene. Ma chi attacca lo sa, e da anni ha spostato il tiro: invece di forzare la rete aziendale, convince una persona ad aprire la porta.

È un calcolo razionale. Violare un sistema aggiornato richiede competenze e tempo; scrivere un’email credibile che chieda «urgentemente» un pagamento o una password costa pochissimo e si può ripetere mille volte. Per chi attacca, le persone non sono l’anello debole per incapacità: sono semplicemente il bersaglio più economico.

Da qui la conseguenza pratica: ogni franco investito in tecnologia rende di più se accanto c’è un team che riconosce i tentativi di inganno. Le due cose non si sostituiscono, si moltiplicano.

Vale la pena dirlo anche in positivo: parlare di fattore umano non significa cercare colpevoli. Le persone cliccano perché lavorano, hanno fretta, si fidano — le stesse qualità che le rendono preziose in azienda. Il punto non è renderle diffidenti verso tutto, ma dar loro criteri semplici e il permesso di fermarsi a controllare.

Phishing aziendale: com’è fatto un attacco che funziona

Il phishing aziendale di oggi assomiglia poco alle email sgrammaticate di dieci anni fa. I messaggi imitano fornitori reali, citano progetti in corso, arrivano in momenti plausibili — la fattura a fine mese, il corriere prima delle ferie. Le varianti più curate, il cosiddetto spear phishing, si costruiscono su informazioni pubbliche: un profilo LinkedIn, una notizia sul sito aziendale bastano per confezionare un messaggio su misura.

Ciò che quasi tutti questi messaggi condividono è la leva psicologica: urgenza, autorità, riservatezza. «Il direttore chiede un bonifico entro le 17», «il tuo account sarà bloccato», «non parlarne con nessuno». Conoscere queste tre leve è già metà della difesa: quando una richiesta le contiene, la mano deve fermarsi prima del clic.

Una menzione a parte merita la truffa del cambio IBAN: l’email che, a nome di un fornitore reale, comunica «nuove coordinate bancarie» per le prossime fatture. Non contiene allegati né link sospetti, e proprio per questo supera i filtri tecnici: la difesa è soltanto umana.

La contromisura organizzativa è altrettanto semplice: ogni richiesta insolita di denaro o credenziali va verificata su un altro canale — una telefonata al numero già in rubrica, non a quello indicato nell’email. Una regola sola, ripetuta finché diventa riflesso.

Oltre il phishing: gli errori quotidiani

Il phishing è il caso più noto, ma il fattore umano si manifesta in molti gesti minori: il documento inviato al destinatario sbagliato per colpa del completamento automatico, la chiavetta USB trovata e inserita «per vedere cosa contiene», il file condiviso con un link aperto a chiunque, il lavoro su dati sensibili svolto dal Wi-Fi dell’albergo senza protezioni.

Nessuno di questi episodi fa notizia, e proprio per questo si ripetono. La risposta non è vietare tutto — le regole impossibili da rispettare vengono semplicemente ignorate — ma offrire alternative comode: una condivisione sicura che sia facile quanto il link aperto, una VPN che si attiva da sola fuori sede, impostazioni predefinite prudenti che non richiedano decisioni caso per caso.

È un principio che vale in generale: la sicurezza vince quando la strada giusta è anche la più comoda. Ogni volta che la procedura sicura è più faticosa di quella insicura, prima o poi qualcuno sceglierà la seconda — non per negligenza, ma per stanchezza.

Password: il punto d’ingresso più semplice

Il secondo grande capitolo del fattore umano sono le credenziali. Il problema raramente è la password «troppo corta»: è la stessa password usata su dieci servizi. Quando uno di quei servizi subisce una violazione — succede di continuo, e non per colpa vostra — quelle credenziali finiscono in liste che vengono provate automaticamente ovunque, caselle aziendali comprese.

Le password sicure, nel 2026, si ottengono con due strumenti. Il primo è il password manager, che genera e ricorda una password diversa per ogni servizio: la fatica di ricordare sparisce, e con lei il riuso. Il secondo è l’autenticazione a più fattori (MFA), che chiede una conferma sul telefono a ogni accesso importante: anche se la password viene rubata, da sola non basta più. Su piattaforme come Microsoft 365 l’MFA si attiva in poche ore ed è la singola misura con il miglior rapporto tra costo e protezione.

Un chiarimento che in formazione torna sempre utile: cambiare password ogni mese non è più considerato una buona pratica, se il cambio produce variazioni prevedibili. Meglio password lunghe e uniche, custodite dal password manager, sostituite quando c’è un motivo — un sospetto, una violazione nota — e protette dall’MFA.

La formazione sulla sicurezza che funziona davvero

«Abbiamo fatto il corso» è una frase che rassicura e protegge poco, se il corso è stato un pomeriggio di slide una volta all’anno. La formazione sulla sicurezza efficace ha un’altra forma: sessioni brevi e frequenti, esempi presi dal lavoro reale dell’azienda, un tono che non colpevolizza. L’obiettivo non è trasformare i collaboratori in tecnici, ma allenare un riflesso: fermarsi un secondo prima del clic.

Gli esempi contano più della teoria. Una sessione costruita sulle email davvero arrivate in azienda nell’ultimo trimestre — anonimizzate e commentate — vale dieci presentazioni generiche, perché ognuno riconosce la propria casella di posta e capisce che il tema lo riguarda da vicino.

Lo strumento che più di ogni altro consolida questo riflesso sono le simulazioni di phishing: email finte, innocue, inviate periodicamente al personale. Chi clicca non viene sanzionato ma riceve sul momento una breve spiegazione — ed è proprio quell’istante, a metà tra sorpresa e sollievo, che fissa l’apprendimento meglio di qualsiasi lezione. Con il tempo, la percentuale di clic diventa un indicatore misurabile della consapevolezza dei dipendenti.

Sulla frequenza, l’esperienza suggerisce un ritmo sostenibile: un incontro breve a trimestre, una simulazione circa al mese, un promemoria quando circola una campagna di phishing rilevante per il settore. Meglio venti minuti ogni tanto che una giornata intera una volta all’anno: la consapevolezza è una manutenzione, non un vaccino.

Un dettaglio che fa la differenza: la direzione partecipa come tutti. Se il titolare si esenta dalla formazione, il messaggio implicito è che la sicurezza sia un problema degli altri — e chi attacca, peraltro, punta volentieri proprio ai ruoli apicali.

Arrivi e partenze: la sicurezza nei passaggi di personale

Ci sono due momenti in cui il fattore umano incontra l’organizzazione: quando una persona arriva e quando se ne va. Il primo giorno di lavoro è l’occasione migliore per la formazione di base — le regole si assorbono con naturalezza quando tutto è nuovo — e per consegnare accessi già impostati correttamente, con MFA attiva e permessi limitati al ruolo.

L’uscita è il momento più delicato e più trascurato. Caselle attive per mesi dopo le dimissioni, accessi al gestionale mai revocati, password condivise che nessuno cambia: sono situazioni più frequenti di quanto si creda, e che nessuna formazione può compensare. Serve una checklist di offboarding, breve e sistematica, che accompagni ogni partenza in coordinamento con chi gestisce i servizi IT dell’azienda.

Policy semplici, scritte per essere lette

Il terzo pilastro sono le regole. Non il manuale di quaranta pagine che nessuno apre: una pagina, linguaggio piano, casi concreti. Una buona policy di sicurezza per una PMI copre pochi punti essenziali:

• come vengono gestite le password e dove è attiva l’MFA;
• come verificare le richieste di pagamento o di credenziali;
• che cosa fare — e chi avvisare — se si sospetta un errore;
• come usare dispositivi personali e reti pubbliche per il lavoro;
• come trattare i dati personali, in linea con la nLPD.

Il punto più importante dell’elenco è il terzo. In molte aziende gli incidenti si aggravano perché chi ha cliccato tace, per paura di conseguenze. Una cultura in cui segnalare subito è apprezzato — mai punito — riduce i tempi di reazione da giorni a minuti, ed è probabilmente il singolo tratto culturale che più distingue le aziende resilienti.

In mezzo ci sono i cambi di ruolo, più sottili: la persona che passa dall’amministrazione alla vendita e conserva, per inerzia, gli accessi di prima. Rivedere i permessi a ogni cambio di funzione mantiene vivo il principio del minimo necessario, che altrimenti si sgretola in silenzio.

Strumenti che perdonano l’errore

Anche il team meglio preparato, prima o poi, sbaglierà: la sicurezza matura si progetta accettandolo. Significa limitare i permessi di ciascun account a ciò che serve davvero, così che un errore resti circoscritto; significa soprattutto disporre di backup regolari e testati su infrastruttura cloud o su più supporti, perché il ripristino è la rete di protezione che trasforma un potenziale disastro in una brutta giornata.

Il quadro si completa con gli aggiornamenti automatici e con filtri di posta ben studiati: meno occasioni arrivano alle persone, meno possibilità ci sono di sbagliare. Anche questo è lavorare sul fattore umano — ridurre il numero di decisioni che ciascuno deve prendere ogni giorno.

Rientra in quest’ambito anche la scelta di farsi affiancare: un monitoraggio esterno che noti l’anomalia — l’accesso alle tre di notte da un Paese insolito, il volume di download fuori scala — completa il lavoro del team interno, che di giorno ha altro da fare.

In questa cornice il fattore umano smette di essere una vulnerabilità da contenere e diventa ciò che promette il titolo: la prima linea di difesa, sostenuta — non sostituita — dalla tecnologia. Il nostro team lo vede ogni settimana: le aziende che investono sulle persone chiamano l’assistenza per prevenire, non per rimediare.

In sintesi

La maggior parte degli incidenti informatici nasce da errori umani, e per questo si previene lavorando sulle persone: formazione breve e continua, simulazioni di phishing, policy di una pagina, password manager e MFA, backup testati per quando qualcosa sfugge. Nessuna di queste misure richiede grandi budget; tutte insieme cambiano il profilo di rischio di una PMI.

In dpstudio aiutiamo le aziende a costruire questo percorso: dalla verifica tecnica iniziale alla formazione del personale, con simulazioni di phishing e regole scritte su misura per la vostra realtà.