Il rischio informatico diventa una priorità per i vertici aziendali
L’attacco raramente ha origine nella sala server. Si presenta sotto forma di un’e-mail credibile nella casella di posta, di una telefonata da parte di un presunto dirigente o si maschera da ordine di pagamento modificato. Le PMI svizzere subiscono spesso incidenti informatici, ma valutano il proprio rischio in modo sorprendentemente basso. Questo divario tra esperienza e percezione diventa un punto debole.
Il 49% dei dipendenti intervistati nelle PMI svizzere riferisce di aver subito un grave incidente informatico presso il proprio datore di lavoro negli ultimi tre mesi. Ciononostante, solo il 22% considera elevato il rischio informatico della propria azienda. Tra le microimprese con uno a nove dipendenti, il divario è particolarmente marcato: il 38% riferisce di aver subito incidenti, ma solo il 15% ritiene che il rischio sia elevato.
Si tratta di un dato allarmante. Oggi la criminalità informatica non prende più di mira solo i grandi nomi. Gli attacchi sono automatizzati, scalabili e mirati. Una piccola impresa può subire danni diretti a causa di credenziali di accesso, fatture o processi di pagamento compromessi. Allo stesso tempo, può diventare una porta d’accesso alle catene di fornitura e alle reti dei clienti.
La protezione di base rimane lacunosa
Il phishing, con il 25%, è la minaccia percepita più frequentemente. Colpisce le aziende di ogni dimensione con frequenza quasi uguale. Seguono, tra l’altro, il malware, le frodi ai danni dei CEO, il furto di identità, possibili fughe di dati e interruzioni operative.
Il nuovo indice di sicurezza informatica Deloitte per le PMI raggiunge 58 punti su 100. Esso misura sei misure di base relative ai collaboratori. In media, queste misure di protezione sono quindi attuate solo al 58%.
Particolarmente evidente è la situazione relativa all’autenticazione. Il 66% delle aziende utilizza l’autenticazione a più fattori. Le procedure senza password e il Single Sign-On si attestano entrambi al 45%. Per quanto riguarda le microimprese, l’indice raggiunge solo 44 punti. In questo ambito, il 32% organizza corsi di formazione regolari, mentre il 24% effettua test di phishing. Le medie imprese si attestano rispettivamente all’82% e al 63% per questi due valori.
L’assicurazione non sostituisce la prevenzione
L’assicurazione contro i rischi informatici sta acquisendo importanza, ma la sua diffusione rimane limitata. Nel 2025 in Svizzera erano in vigore circa 72’000 polizze per clienti aziendali, pari all’11,5% delle imprese con sede nel Paese. Soprattutto le microimprese e le piccole imprese rimangono spesso senza copertura, sebbene un sinistro possa colpirle in modo particolarmente duro in rapporto al loro fatturato.
Una polizza da sola non risolve comunque il problema. Gli assicuratori richiedono sempre più spesso standard minimi verificabili. In assenza di regole di accesso, backup testati o una procedura di emergenza ben definita, spesso manca già la base per una copertura efficace.
La resilienza è un compito della dirigenza
La sicurezza informatica deve essere inserita nell’agenda della dirigenza. Sono fondamentali pochi principi di base, attuati con coerenza. Un’autenticazione forte, diritti di accesso restrittivi, brevi corsi di formazione periodici, backup testati e un piano di emergenza chiaro aumentano la capacità di agire in caso di emergenza.
Si tratta di molto più che di semplice IT. La resilienza informatica preserva l’attività da interruzioni, protegge i processi di pagamento e garantisce la fiducia di clienti e partner.