Test gratuito · 3 minuti

Quanto è protetta la tua azienda?

Un'autovalutazione guidata in 10 domande, pensata per le PMI: una domanda alla volta, ognuna spiegata, risultato immediato.

10 domande, una alla volta, circa 3 minuti. Alla fine vedi il livello di protezione della tua azienda e le priorità su cui intervenire. Per vedere il risultato ti chiederemo nome, azienda, telefono ed email: un tecnico ti contatterà per una consulenza gratuita.

Domanda 1 di 10 · Backup al sicuro

Fate backup automatici con almeno una copia fuori dall'azienda e una che nessuno può modificare o cancellare?
Perché conta. Il ransomware cerca e cifra anche i backup collegati alla rete. Solo una copia immutabile (che per un periodo non può essere modificata) o scollegata permette di ripartire senza pagare un riscatto.

Rispondi sì solo se esistono entrambe: una copia esterna (cloud o altra sede) e una non modificabile. Un disco USB sempre collegato al server non basta.

✓ Sì, per esempio: backup automatici ogni notte su un cloud o NAS con copie non modificabili per 30 giorni, più una copia su un'altra sede o su un cloud separato.

✗ No, per esempio: copia su un disco USB sempre collegato, sincronizzazione su OneDrive o Dropbox, backup fatto a mano quando ci si ricorda.

Domanda 2 di 10 · Il backup funziona davvero?

Negli ultimi 6 mesi avete provato a ripristinare file o un intero server da backup, verificando che tutto funzionasse?
Perché conta. Un backup mai provato è una speranza, non una garanzia: copie incomplete, file danneggiati o tempi di ripristino di giorni si scoprono solo provando, e scoprirlo durante un'emergenza è il momento peggiore.

Conta una prova vera: recuperare dati o macchine, controllare che si aprano e misurare quanto tempo serve.

✓ Sì, per esempio: negli ultimi 6 mesi avete recuperato dal backup cartelle o un server di prova e verificato che i file si aprissero.

✗ No, per esempio: il software segnala "backup completato" ma nessuno ha mai provato a ripristinare.

Domanda 3 di 10 · Accessi con doppia verifica

Per entrare nella posta e nei sistemi da remoto (VPN, desktop remoto, gestionale in cloud) serve, oltre alla password, un codice o una conferma sul telefono?
Perché conta. Moltissime violazioni partono da una password rubata con il phishing o trovata online. L'autenticazione a più fattori (MFA) blocca l'accesso anche quando l'attaccante conosce la password.

Rispondi sì solo se vale per tutti gli utenti e per tutti gli accessi da fuori, non solo per alcuni.

✓ Sì, per esempio: per entrare nella posta da un PC nuovo, in VPN o nel gestionale in cloud serve anche un codice o una conferma sull'app del telefono.

✗ No, per esempio: basta la password, oppure il secondo fattore è attivo solo per alcuni utenti o solo per l'amministratore.

Domanda 4 di 10 · Password custodite

Le password aziendali (fornitori, banche, portali, server) sono conservate in un password manager condiviso, e non in fogli Excel, quaderni, post-it o chat?
Perché conta. Le password sparse vengono riutilizzate, girano via email e restano valide quando un collaboratore se ne va. Un password manager le cifra, le genera robuste e permette di revocare un accesso in un clic.

Le password salvate nel browser del proprio PC non contano come password manager aziendale.

✓ Sì, per esempio: le credenziali condivise sono in un password manager aziendale (es. Keeper, Bitwarden, 1Password) con cartelle per reparto.

✗ No, per esempio: file Excel o Word con le password, post-it, password salvate solo nel browser, invio via email o WhatsApp.

Domanda 5 di 10 · PC e server sorvegliati

PC e server hanno una protezione evoluta (EDR o antivirus gestito) e qualcuno riceve e controlla gli allarmi?
Perché conta. Gli attacchi moderni usano strumenti legittimi che l'antivirus tradizionale non riconosce. Un EDR analizza i comportamenti e può isolare un PC infetto, ma serve qualcuno che guardi gli allarmi, anche di notte e nel weekend.

Se l'antivirus è installato ma nessuno controlla le segnalazioni, rispondi no.

✓ Sì, per esempio: su PC e server c'è un EDR o un antivirus gestito da console centrale e qualcuno (interno o esterno) riceve e gestisce gli allarmi.

✗ No, per esempio: antivirus gratuito o diverso su ogni PC, oppure installato ma senza nessuno che controlli le segnalazioni.

Domanda 6 di 10 · Aggiornamenti puntuali

Sistemi operativi, programmi, server e apparati di rete vengono aggiornati con regolarità, e le correzioni di sicurezza critiche entro pochi giorni?
Perché conta. Molti attacchi sfruttano falle già corrette dal produttore ma non ancora installate. Tra la pubblicazione di una correzione critica e i primi attacchi a volte passano pochi giorni.

Pensa anche a server, NAS, firewall e al gestionale, non solo ai PC.

✓ Sì, per esempio: Windows, server, firewall, NAS e gestionale vengono aggiornati con regolarità e le patch critiche entro pochi giorni.

✗ No, per esempio: si aggiorna "quando capita", ci sono server o PC con sistemi non più supportati (es. Windows Server 2012, Windows 10 senza ESU).

Domanda 7 di 10 · Firewall e accesso da fuori

La rete aziendale è protetta da un firewall aggiornato e gestito, e chi lavora da fuori si collega tramite VPN?
Perché conta. Firewall e VPN sono la porta d'ingresso dell'azienda e tra i bersagli preferiti degli attaccanti. Un apparato non aggiornato o un desktop remoto raggiungibile direttamente da Internet sono tra le cause più frequenti di intrusione.

Il router fornito dall'operatore non è un firewall aziendale. Se il desktop remoto è aperto su Internet, rispondi no.

✓ Sì, per esempio: firewall aziendale (es. WatchGuard, Fortinet, Sophos) aggiornato e gestito, accesso da fuori solo tramite VPN.

✗ No, per esempio: solo il router dell'operatore, desktop remoto (RDP) aperto su internet, porte inoltrate verso PC interni.

Domanda 8 di 10 · Persone preparate

Negli ultimi 12 mesi tutto il personale ha seguito una formazione su phishing e truffe via email o telefono, magari con simulazioni?
Perché conta. Email false sempre più credibili, anche grazie all'intelligenza artificiale, puntano sulle persone. Chi sa riconoscere i segnali di una truffa è la difesa più economica ed efficace.

Una circolare o un'email di avviso non bastano: conta una formazione vera, ripetuta nel tempo.

✓ Sì, per esempio: corso o sessioni negli ultimi 12 mesi per tutto il personale, meglio con simulazioni di phishing.

✗ No, per esempio: nessuna formazione, oppure solo una circolare o un'email di avviso.

Domanda 9 di 10 · Un piano per l'emergenza

Esiste una procedura scritta e conosciuta su cosa fare in caso di attacco: chi chiamare, come isolare i sistemi, come avvisare clienti e autorità?
Perché conta. Nelle prime ore di un attacco ogni decisione conta: cosa spegnere, chi avvisare, quali sistemi isolare. Senza un piano si perde tempo, si rischia di peggiorare i danni e di non rispettare gli obblighi di notifica.

Rispondi sì se il piano è scritto, aggiornato e le persone chiave sanno dove trovarlo.

✓ Sì, per esempio: documento con chi chiamare (tecnico, assicurazione, legale), come isolare i sistemi, chi avvisare tra clienti, Garante e autorità.

✗ No, per esempio: "chiameremmo il tecnico" senza procedura scritta, o un documento che nessuno conosce.

Domanda 10 di 10 · NIS2 e clienti

Avete verificato se la vostra azienda rientra nella NIS2 e quali requisiti di sicurezza vi chiederanno i clienti principali come fornitori?
Perché conta. La NIS2 (D.Lgs. 138/2024) obbliga molte aziende a gestire anche la sicurezza dei propri fornitori. Anche se non siete soggetti diretti, i clienti possono chiedervi questionari, clausole e prove delle misure adottate.

Rispondi sì se avete fatto una verifica, anche con il vostro consulente, e sapete cosa vi verrà chiesto. Per capirlo puoi usare il nostro test NIS2.

✓ Sì, per esempio: avete verificato se la NIS2 vi riguarda (anche con il nostro test) e sapete cosa vi chiederanno i clienti.

✗ No, per esempio: non sapete se rientrate o non avete mai ricevuto né valutato richieste di sicurezza dai clienti.