Privacy
GDPR, articolo 32
Chiede misure di sicurezza adeguate al rischio — e la capacità di dimostrare che ci sono. Vale per chiunque tratti dati personali: anche per te.
Controllo Sicurezza
Sicurezza informatica: cosa si vede della tua azienda da fuori
Guardo il tuo sito, la tua posta e i tuoi domini come farebbe un estraneo con una connessione a internet e un po' di pazienza. Poi ti dico cosa è già visibile a chiunque, con un voto e il rimedio scritto per ogni voce.
GDPR, articolo 32Direttiva NIS2D.lgs. 138/2024
Controllo Sicurezza è il servizio di Punto Web Ferrara, a Ostellato in provincia di Ferrara. Guarda un'azienda da fuori, come farebbe un estraneo con una connessione a internet, e dice cosa di lei è già visibile a chiunque: il sito, la posta, i domini e le porte aperte. Non entra in nessun sistema e non attacca niente. Legge soltanto quello che è pubblico, con l'autorizzazione scritta di chi lo richiede. Alla fine restano un voto e un rapporto voce per voce, con scritto che cos'è, perché conta e cosa fare, ripetuto ogni mese. Serve a due cose: l'articolo 32 del GDPR chiede misure adeguate al rischio e la capacità di dimostrarle, e un cliente soggetto alla direttiva NIS2, recepita in Italia dal D.lgs. 138/2024, chiede per contratto come tieni in ordine i tuoi sistemi. Il controllo non certifica la conformità: quella la attesta chi ha titolo.
Perché adesso
NIS2 non riguarda solo i grandi
La direttiva NIS2 obbliga le imprese di certi settori a tenere in ordine la propria sicurezza. Ma le obbliga anche a rispondere della catena di fornitura: di chi lavora per loro. Ed è lì che arriva a te.
Un'impresa soggetta a NIS2
Energia, trasporti, sanità, acqua, rifiuti, alimentare, manifattura, servizi digitali, pubblica amministrazione.
Deve rispondere dei suoi fornitori
La direttiva le chiede di considerare la sicurezza di chi le fornisce beni e servizi. Non può più fidarsi e basta: deve poterlo dimostrare.
Così lo chiede a te
Arriva una email con delle domande, o un questionario da compilare. Senza risposte scritte, il rischio è di uscire dall'elenco dei fornitori.
«Come tenete in ordine i vostri sistemi?»Europa
Direttiva NIS2
Direttiva (UE) 2022/2555. Alza il livello di sicurezza richiesto e lo estende, per via della catena di fornitura, molto oltre le imprese che nomina. Chi rientra, cosa deve fare e con quali tempi: la direttiva NIS2 spiegata.
Italia
D.lgs. 138/2024
È la legge italiana che recepisce NIS2, in vigore dal 16 ottobre 2024. Chi rientra si registra sul portale dell'ACN fra il 1° gennaio e il 28 febbraio di ogni anno; le misure di base stanno nella determinazione ACN 379907/2025.
Fornire un soggetto NIS non ti rende soggetto NIS: lo dicono le FAQ dell'ACN, e non finisci sotto la vigilanza dell'Agenzia. Quello che cambia è il contratto. Dal momento in cui il tuo cliente deve adottare le misure, i requisiti di sicurezza entrano nelle offerte, nei bandi e nei contratti nuovi o rinnovati; quelli già in essere non si adeguano d'ufficio. Un controllo periodico, scritto e datato, è il modo più semplice per rispondere. Non certifica la conformità, e nessuno strumento può farlo: quella la attesta chi ha titolo.
Com'è fatto
Il controllo, mentre lavora
Un esempio con un'azienda inventata. Ogni riga è una cosa che si vede da fuori: il controllo la guarda, le dà un verdetto e scrive cosa fare.
Certificato HTTPSvalido, scade fra 71 giorni
Il sito risponde solo in sicurochi scrive http finisce su https
SPF della postac'è, ma lascia passare tutti
DMARCassente: chiunque può scrivere a nome tuo
Scadenza del dominiofra 38 giorni, rinnovo non automatico
Pannello di amministrazioneraggiungibile da tutta internet
Versione del programma del sitonon dichiarata nelle pagine
Porte aperte3 aperte, una non dovrebbe esserlo
Voto del controllo
Su 100. Sotto, cosa l'ha abbassato.
- 3 a posto
- 3 da guardare
- 2 da sistemare
I nomi e i numeri sono inventati: è un esempio di come si legge il rapporto, non il risultato di un sito vero.
Cosa guardo
Quattro cose che chiunque può vedere di te
Non serve essere bravi: serve sapere dove guardare. È esattamente quello che fa chi cerca un'azienda da colpire, e lo fa prima di bussare.
Il sito
Il certificato e se scade, se qualcuno può ancora arrivarci in chiaro, che cosa il sito racconta di sé senza accorgersene, e se c'è una pagina di amministrazione aperta a tutta internet.
La posta
SPF, DKIM e DMARC: in parole povere, se chiunque può mandare email a nome della tua azienda e che cosa succede a chi ci prova. È la porta da cui passano quasi tutte le truffe sui pagamenti.
I domini
A chi sono intestati davvero, quando scadono, se il rinnovo è automatico e chi, oltre a te, li può cambiare. Un dominio scaduto per distrazione è un sito spento e una posta che non arriva più.
Le porte aperte
Che cosa risponde dall'esterno al tuo indirizzo: quali servizi sono esposti, quali non dovrebbero esserlo. Questa parte la faccio con il programma sul computer, perché una pagina web non può farla.
Cosa ricevi
Un voto, e per ogni voce cosa fare
Nel rapporto non trovi «rivolgersi a un tecnico». Trovi che cos'è, perché conta e il rimedio, scritto in modo che si possa passare a chi ti gestisce il sito.
Una voce del rapporto, com'è fatta
DMARC assente
pesa molto- Che cos'è
- Una regola pubblica che dice ai programmi di posta del mondo cosa fare con le email che dicono di arrivare da te ma non arrivano da te.
- Perché conta
- Senza, chiunque può scrivere ai tuoi clienti con il tuo indirizzo e farsi pagare una fattura su un altro conto. Succede soprattutto alle aziende piccole.
- Cosa fare
- Aggiungere una riga ai dati del dominio, in sola osservazione per il primo mese per non bloccare le email buone, poi stringerla. Lo fa chi ti gestisce il dominio in dieci minuti: nel rapporto c'è la riga già scritta.
Una pagina protetta, tua
Con password, da computer e da telefono: ci trovi l'ultimo controllo e tutti quelli di prima, per far vedere che la cosa è seguita nel tempo.
Un controllo al mese, da solo
Parte per conto suo e il rapporto arriva via email. Le cose cambiano: un certificato scade, qualcuno apre una porta, un dominio si avvicina al rinnovo.
Scritto e datato
Ogni rapporto è un documento con una data. È quello che serve quando un cliente o un'assicurazione ti chiede come tieni in ordine i tuoi sistemi.
Mettiamolo per iscritto
Quello che non faccio
Un controllo esterno serio si riconosce da quello che si rifiuta di fare. Questo è il confine, ed è scritto anche nell'autorizzazione che firmi prima di cominciare.
- Non entro nei tuoi sistemi. Nessun accesso, nessun programma da installare.
- Non ti chiedo password. Mai. Se servisse una password, non sarebbe un controllo esterno.
- Non attacco niente. Niente tentativi di forzare, niente prove che possano buttare giù un servizio.
- Non tocco niente di mia iniziativa. Quello che trovo te lo scrivo: si sistema quando lo dici tu.
- Non ti certifico a norma. Nessuno strumento può farlo: la conformità la attesta chi ha titolo.
Come funziona
Tre passi, e poi va da solo
1
Firmi l'autorizzazione
Un foglio che dice chi sono, cosa guardo, cosa non faccio e per quanto tempo. Senza quella firma non parte niente: guardare i sistemi di un'azienda senza il suo permesso scritto non si fa.
2
Faccio il primo controllo
Sito, posta, domini e porte. Ne esce il voto e il rapporto voce per voce. Lo leggiamo insieme, perché la prima volta conviene capire cosa si sta guardando.
3
Poi ogni mese, da solo
Il controllo riparte da sé e il rapporto nuovo arriva via email. Se qualcosa è peggiorato si vede subito, perché c'è accanto il mese prima.
Il controllo è pensato per le aziende piccole: due, dieci, venti persone, un sito fatto anni fa da qualcuno che non si sente più, la posta su un servizio qualunque e nessuno che di mestiere guardi se tutto questo sta in piedi. Sono quelle che vengono colpite più spesso, non perché siano un bersaglio interessante, ma perché sono facili e perché nessuno guarda.
Non serve capirne di informatica per leggere il rapporto: ogni voce è scritta in italiano, con il rimedio accanto. Se hai già qualcuno che ti gestisce il sito o i computer, il rapporto è fatto apposta per essere passato a lui — trova scritto cosa va cambiato e dove.
Domande
Quello che mi chiedono sempre
La NIS2 riguarda anche la mia azienda?
Quasi sempre no, e chi ti dice il contrario per venderti qualcosa sta allargando. Il D.lgs. 138/2024, in vigore dal 16 ottobre 2024, nomina diciotto settori e distingue soggetti essenziali e importanti; chi rientra si registra sul portale dell'ACN nella finestra annuale fra il 1° gennaio e il 28 febbraio. Un'impresa di dieci persone che fa infissi, consulenza o trasporti conto terzi quasi sempre resta fuori. Il punto però è un altro: se fra i tuoi clienti c'è un soggetto NIS, la sicurezza la chiede a te. Le FAQ dell'ACN lo scrivono: fornire un soggetto NIS non ti rende soggetto NIS, e non finisci sotto la vigilanza dell'Agenzia.
Cosa mi chiede un cliente soggetto alla NIS2?
Requisiti di sicurezza scritti nel contratto. Le FAQ dell'ACN lo dicono senza giri di parole: quando il committente è un soggetto NIS, le misure sulla catena di fornitura diventano requisiti contrattuali verso il fornitore, e vanno messe nelle offerte, nei bandi e nei contratti stipulati, rinnovati o prorogati dal momento in cui quel cliente deve adottare le misure. I contratti già in essere non si adeguano d'ufficio, quindi di solito la richiesta arriva al rinnovo. In pratica ti mandano un questionario, e le domande sono sempre quelle: come è protetto il sito, come è messa la posta, chi ha accesso a cosa, cosa fai se succede qualcosa. Un rapporto scritto e datato da allegare fa risparmiare settimane.
Quali sono le scadenze da tenere d'occhio?
Le date le fissa l'ACN, non io, e cambiano a seconda di quando si entra nell'elenco. Le misure di sicurezza di base stanno nella determinazione ACN 379907/2025, che si applica dal 15 gennaio 2026: chi è stato inserito nell'elenco nel 2025 ha diciotto mesi dalla comunicazione, chi è entrato nel 2026 ha tempo fino al 31 luglio 2027. La registrazione si rinnova ogni anno fra il 1° gennaio e il 28 febbraio. Se sei un fornitore e non un soggetto NIS, queste date non valgono per te: valgono per il tuo cliente, e arrivano fino a te attraverso il contratto. Prima di decidere qualcosa, la fonte da guardare è il portale dell'ACN.
Devo darvi le password dei miei sistemi?
No, e non le voglio. Il controllo è esterno e passivo: guarda soltanto quello che è già pubblico. Il sito come lo vede un visitatore qualunque, le intestazioni che il server manda al browser, la scadenza del certificato, i dati dei domini, i record che dicono a tutto il mondo chi può mandare posta a tuo nome. Sono informazioni che chiunque può leggere da casa propria, senza entrare da nessuna parte. Se qualcuno ti chiede le password per fare un controllo esterno, è il momento di fargli qualche domanda in più: per guardare da fuori non servono, e una password data in giro è un problema in più, non uno in meno.
Il mio sito l'ha fatto un'altra ditta. Posso farlo lo stesso?
Sì, e in genere è il caso più frequente. Il controllo non tocca il sito e non ha bisogno di entrarci, quindi non serve il permesso di chi lo ha fatto né la collaborazione di nessuno. Il rapporto è scritto apposta per essere passato a lui: ogni voce dice cos'è, perché conta e cosa va cambiato, senza girarci intorno. Una cosa che conviene sapere prima: buona parte di quello che salta fuori non è colpa di chi ha fatto il sito. Le regole della posta, i dati del dominio e i certificati li tiene in piedi qualcun altro, spesso nessuno, e sono proprio le voci che restano indietro per anni.
E se trovate qualcosa che non va?
Te lo scrivo nel rapporto, con il rimedio in chiaro: cos'è, perché conta, cosa fare. Niente viene toccato senza che tu lo chieda, e niente viene mandato a nessun altro. Le voci sono ordinate per gravità, perché non tutto va corretto subito: un certificato che scade fra due settimane e una regola della posta che manca sono due urgenze diverse, e trattarle allo stesso modo porta solo a non fare niente. Nella maggior parte dei casi le cose da sistemare sono poche e si risolvono in un pomeriggio, spesso cambiando una riga nei dati del dominio. Se vuoi che lo sistemi io, lo concordiamo a parte.
Il controllo mi mette a norma?
No, e diffida di chi te lo promette. Il controllo non certifica la conformità, e nessuno strumento può farlo: quella la attesta chi ha titolo, guardando tutta l'organizzazione e non solo quello che si vede da fuori. Quello che ti dà è un'altra cosa, e serve lo stesso. L'articolo 32 del GDPR non chiede soltanto misure adeguate al rischio: chiede anche di essere in grado di dimostrarle. Un documento periodico, scritto e datato, che dice cosa è stato guardato e cosa è stato sistemato, è la prova più semplice da mostrare a un cliente che fa domande o a chi dovesse chiedere conto di come tieni in ordine i tuoi sistemi.
Ogni quanto si ripete?
Una volta al mese, da solo. Il rapporto arriva via email, e la pagina protetta con lo storico la apri quando vuoi, da computer o da telefono. Il mese non è un numero scelto a caso. Quello che si guarda cambia da sé anche quando tu non tocchi niente: i certificati scadono, un dominio si rinnova o non si rinnova, qualcuno pubblica un sottodominio per una campagna e se lo dimentica lì, il fornitore della posta cambia le sue regole. Un controllo fatto una volta sola fotografa una giornata; ripetuto, fa vedere quando una cosa si è rotta, e di solito si scopre prima che se ne accorga qualcun altro.
Vuoi sapere cosa si vede della tua azienda?
Il primo controllo te lo spiego voce per voce. Rispondo entro 24 ore.