Il gestionale custodisce ciò che fa funzionare la Sua azienda: clienti, ordini, fatture, magazzino, dipendenti. Se un giorno questi dati scompaiono, vengono cifrati da un attacco o finiscono sotto gli occhi di chi non dovrebbe vederli, il problema non è più informatico: è di business. Questo articolo passa in rassegna le misure di base per proteggere tali dati e, soprattutto, come verificare che i backup funzionino davvero.
Cosa può andare storto
Conviene sapere da che cosa ci si sta proteggendo, perché ogni rischio richiede una misura diversa:
| Rischio | Esempio | Misura principale |
|---|---|---|
| Guasto | Si rompe il disco del server dell'ufficio | Copie su un altro dispositivo e in un altro luogo |
| Errore umano | Qualcuno cancella un esercizio o sovrascrive un listino | Copie con più versioni precedenti |
| Attacco ransomware (sequestro dei dati) | Un programma malevolo cifra i file e chiede un riscatto | Copie scollegate o non modificabili |
| Furto o smarrimento | Si perde un portatile o un cellulare con accesso al programma | Password, cifratura e blocco degli accessi |
| Accesso indebito | Un ex dipendente continua a entrare con il suo utente | Gestione di utenti e permessi |
| Disastro in ufficio | Incendio, allagamento | Copia fuori sede |
Backup che si possono davvero ripristinare
Una copia di cui non si è mai provato il ripristino è una speranza, non una copia. Queste sono le domande a cui deve saper rispondere:
- Cosa si copia? Il database del programma, ma anche i documenti allegati, i modelli, la configurazione e tutto ciò che serve per reinstallare.
- Con quale frequenza? Pensi a quanto lavoro può permettersi di perdere. Se la risposta è «nemmeno un giorno», la copia deve essere almeno giornaliera.
- Dove? Una pratica molto diffusa è avere più copie, su supporti diversi e almeno una fuori dall'ufficio. In questo modo un guasto, un furto o un incendio non si porta via tutto insieme.
- Quante versioni? Se conserva solo la copia di ieri sera e l'errore risale a una settimana fa, anche la copia lo contiene.
- È protetta? Un disco collegato in permanenza al server può essere cifrato nello stesso attacco. Almeno una copia deve essere scollegata o protetta da modifiche.
- Chi la controlla? Qualcuno deve verificare che sia stata eseguita e che non abbia dato errori.
- Il ripristino è stato provato? Ogni tanto, ripristini una copia su un computer di prova e controlli che il programma si avvii e che i dati ci siano.
Se il programma è in cloud, non dia per scontato che i backup siano inclusi. Chieda al fornitore quali esegue, per quanto tempo li conserva, se può richiedere una copia dei Suoi dati e in quanto tempo possono ripristinarli.
Chi accede e cosa può fare
Molti problemi non vengono da fuori, ma da accessi gestiti male:
- Un utente per persona. Niente utenti condivisi come «magazzino» o «ufficio». Se non sa chi ha fatto una modifica, non può correggerne l'origine.
- Permessi in base al ruolo. Chi inserisce gli ordini non ha bisogno di vedere le buste paga; chi fattura non ha bisogno di cancellare clienti.
- Password robuste e, se il programma lo consente, verifica in due passaggi, soprattutto per gli accessi dall'esterno dell'ufficio.
- Attivazioni e disattivazioni sempre aggiornate. Quando qualcuno lascia l'azienda, il suo accesso viene chiuso lo stesso giorno, anche sul cellulare.
- Revisione periodica. Riveda ogni tanto l'elenco degli utenti. Spesso emergono delle sorprese.
Aggiornamenti e dispositivi
Gli attacchi sfruttano spesso vulnerabilità note che hanno già una soluzione. Mantenga aggiornati il sistema operativo di server e computer, il gestionale stesso, i browser e i cellulari che vi accedono. Un dispositivo che non riceve più aggiornamenti di sicurezza non dovrebbe avere accesso ai dati dell'azienda. L'Instituto Nacional de Ciberseguridad (INCIBE, istituto nazionale spagnolo di cibersicurezza) pubblica sul suo sito guide e risorse gratuite sulla sicurezza per le imprese, utili come punto di partenza.
Cosa dice la normativa sulla protezione dei dati
Se il programma conserva dati personali di clienti, fornitori o dipendenti, come è normale, si applica il Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, il regolamento generale sulla protezione dei dati), integrato in Spagna dalla Ley Orgánica 3/2018 (legge organica spagnola sulla protezione dei dati personali). Due articoli riguardano direttamente questo tema:
- Articolo 32, sicurezza del trattamento. Impone di applicare misure tecniche e organizzative adeguate al rischio e menziona espressamente la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati in caso di incidente, nonché la verifica periodica dell'efficacia delle misure. In altre parole, backup che funzionino e che vengano controllati.
- Articolo 33, notifica delle violazioni di sicurezza. Se si verifica una violazione che riguarda dati personali e comporta un rischio per le persone, deve essere notificata all'autorità di controllo (in Spagna, la Agencia Española de Protección de Datos) senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne ha conoscenza.
La Agencia Española de Protección de Datos offre sul suo sito guide e strumenti per le PMI. Se il Suo caso è complesso, si rivolga a uno specialista.
Se qualcosa va storto: un piano semplice
Non serve un documento di cento pagine. Basta un foglio che risponda a queste domande:
- Chi si chiama per primo: il fornitore del programma, quello dei sistemi, la direzione.
- Dove si trovano i backup e chi sa ripristinarli.
- Come si continua a lavorare nel frattempo: anche con la carta per qualche ora.
- Chi decide se occorre notificare una violazione di dati personali.
- Come si avvisano clienti o dipendenti se sono coinvolti.
Conservi quel foglio anche fuori dal computer, perché se il problema è il computer non potrà aprirlo.
Come lavoriamo in Infonet
In Infonet Consultores progettiamo, sviluppiamo e manteniamo applicazioni gestionali e, dopo l'installazione, continuiamo a offrire assistenza diretta con lo stesso team che le ha sviluppate. Le nostre applicazioni funzionano in cloud e ci occupiamo anche dell'adeguamento e dell'implementazione del GDPR (RGPD) e della manutenzione informatica con risposta immediata. Se sta pensando a un nuovo programma, scopra come lavoriamo nello sviluppo di software su misura o conosca il team in azienda di software a Huelva.
