Da dove iniziare con la sicurezza per le PMI? — Guida alla 'Linea guida per la sicurezza informatica delle PMI' dell'IPA, 4ª edizione

“Un cliente ci ha mandato una checklist di sicurezza, ma non sappiamo cosa fare né fino a che punto arrivare.”

“Sappiamo che la sicurezza è importante, ma non possiamo permetterci una persona dedicata a tempo pieno.”

“Ci dicono di prendere misure, ma non sappiamo quanto costerebbe, quindi non le abbiamo mai affrontate.”

Le consulenze di sicurezza da parte di piccole e medie imprese iniziano quasi sempre così.

Per caso, esiste un manuale ufficiale che risponde esattamente a questa domanda “da dove e fino a che punto”: Linea guida per la sicurezza informatica delle PMI dell’IPA (Information-technology Promotion Agency). Il 27 marzo 2026 l’IPA ha pubblicato la 4.0ª edizione — il primo grande aggiornamento in circa tre anni.

Questo articolo, basato sul contenuto della 4.0ª edizione, illustra in ordine come dovrebbe procedere un’azienda senza personale di sicurezza dedicato.

1. La linea di fondo per prima

Ecco l’approccio che la 4.0ª edizione propone, anticipato.

• Il primo passo non è acquistare prodotti costosi — sono i “Sei articoli per la sicurezza informatica”, le misure di base che ogni azienda deve implementare indipendentemente dalle dimensioni, e nessuna richiede un grande budget
• Poi, usare l’Allegato “Autovalutazione 5 minuti sulla sicurezza informatica” (25 punti) per capire lo stato attuale, e migliorare a partire dalle voci non ancora coperte
• Una volta iniziato, autodichiararsi tramite “SECURITY ACTION” dell’IPA (gratuito) — fornisce qualcosa da mostrare ai clienti ed è anche requisito per alcuni programmi di supporto pubblici
• Di lì in poi, procedere gradualmente verso la redazione di una politica di base, l’emanazione di regole interne e la costruzione di una struttura di risposta agli incidenti
• I titolari hanno ruoli che non possono delegare semplicemente al personale — come “guidare l’impegno con leadership” e “rendere conto anche della sicurezza dei fornitori esterni”

In una parola, la filosofia progettuale di questa linea guida è: non puntare alla perfezione immediata — procedere in un ordine stabilito, passo dopo passo, iniziando da ciò che si può fare.

2. Cos’è la “Linea guida per la sicurezza informatica delle PMI”?

Questa linea guida è un documento che illustra il ragionamento e le procedure per proteggere le informazioni importanti di una piccola o media impresa da minacce come fughe, manomissioni e perdite, e per prevenire danni alla continuità aziendale. Pubblicata per la prima volta a novembre 2016, è diventata lo standard di fatto per le misure di sicurezza orientate alle PMI. Sono inclusi anche lavoratori autonomi e micro-imprese.

È divisa in modo approssimativo in tre parti.

Il corpo principale conta circa 70 pagine, ma come illustrato di seguito non è necessario leggerlo tutto dall’inizio. È strutturato per poter iniziare dal punto più adatto alla fase in cui si trova l’azienda.

Cosa è cambiato nella 4.0ª edizione

L’aggiornamento alla 4.0ª edizione cita tre cambiamenti ambientali rispetto alla 3.1ª edizione (aprile 2023):

• I danni da ransomware si sono estesi oltre le fughe di dati fino a bloccare completamente l’attività aziendale
• I danni mediati dalla supply chain si sono diffusi a livello nazionale e internazionale, aumentando la necessità di misure lungo tutta la rete di fornitori
• C’è una marcata carenza di persone all’interno delle PMI in grado di guidare le misure di sicurezza

In risposta, la linea guida ha espanso i “Cinque articoli per la sicurezza informatica” in sei aggiungendo “fare backup”, ha riorganizzato le contromisure organizzative e tecniche alla luce del sistema di valutazione SCS (sistema di valutazione della sicurezza per il rafforzamento della supply chain) in via di sviluppo da parte del Ministero dell’Economia, del Commercio e dell’Industria e del Segretariato del Gabinetto, Centro Nazionale per la Preparazione e la Strategia sugli Incidenti Cibernetici, e ha aggiunto un manuale pratico (Allegato 1) a supporto dell’assunzione e della formazione di personale di sicurezza.

I due pilastri di questa revisione — “backup” e “supply chain” — riflettono esattamente le minacce che le PMI affrontano oggi. Ransomware e attacchi instradati attraverso partner commerciali sono stati per 11 e 8 anni consecutivi tra le prime posizioni delle “10 minacce maggiori” annuali dell’IPA (edizione organizzativa). (Per i dettagli, vedere il nostro articolo sulle 10 minacce maggiori 2026.)

3. Per i titolari d’azienda — la sicurezza non è “compito del personale”

La Parte 1, destinata ai titolari d’azienda, tocca appena la tecnologia. Ciò che tratta invece è cosa si rischia a trascurare la sicurezza (interruzione dell’attività, perdita di fiducia, danni), quali responsabilità legali grava sul titolare (misure di gestione della sicurezza ai sensi della Legge sulla protezione dei dati personali, dovere di fedeltà ai sensi della Legge sulle società e così via) e cosa dovrebbero fare i titolari stessi.

I tre principi che i titolari sono invitati a tenere a mente sono:

1. Guidare le misure di sicurezza informatica con la propria leadership
2. Rendere conto anche delle misure di sicurezza informatica dei fornitori esterni
3. Mantenere una comunicazione costante sulla sicurezza informatica con tutti gli interessati

Su questa base, la linea guida elenca “sette azioni chiave” che i titolari dovrebbero intraprendere: stabilire una politica di risposta a livello aziendale, assicurare budget e personale, far esaminare le misure necessarie e disporne l’esecuzione, ordinare revisioni periodiche di tali misure, costruire una struttura di risposta di emergenza e recupero, chiarire le responsabilità di sicurezza quando si esternalizzano o si usano servizi esterni, e tenersi aggiornati sulle ultime tendenze.

Dal fronte, le misure di sicurezza tendono a sembrare un fastidio che riduce la comodità. Proprio per questo viene posto come primo principio che “il titolare giudica, decide e guida”. La posizione coerente di questa linea guida è che dire semplicemente a un dipendente “ arrangiati” non funziona.

4. La sezione pratica — procedere in tre fasi

La Parte 2, sezione pratica, è strutturata in fasi: “inizia da ciò che puoi” → “inizia gli sforzi organizzativi” → “affrontala sul serio”.

Fase 1: Inizia da ciò che puoi
        Implementare i Sei articoli per la sicurezza informatica
        ↓
Fase 2: Inizia gli sforzi organizzativi
        Redigere una politica di base per la sicurezza informatica e comunicarla
        Valutare lo stato attuente con l'"Autovalutazione 5 minuti" (25 punti)
        Decidere quali misure non sono ancora in atto e comunicarlo
        ↓
Fase 3: Affrontala sul serio
        Redigere regole, gestire asset, difendersi e rilevare attacchi,
        ispezionare e migliorare, costruire struttura di risposta agli incidenti, gestire partner commerciali
        ↓
Oltre: Misure per rafforzare ulteriormente
        Analisi del rischio, misure per siti web, cloud e telelavoro

Ciò che conta è che le Fasi 1 e 2 richiedono quasi nessuna conoscenza specialistica e quasi nessun budget. Piuttosto che “non possiamo fare nulla senza budget”, è progettata in modo che “anche senza budget, oggi possiamo iniziare fino a questo punto”.

5. I Sei articoli per la sicurezza informatica — cosa comporta il primo passo concreto

I “Sei articoli per la sicurezza informatica” della Fase 1 sono le misure di base che ogni azienda deve implementare indipendentemente dalle dimensioni.

Per il quinto punto, “fare backup”, aggiunto nella 4.0ª edizione, la linea guida specifica di operarlo come un insieme di tre elementi: acquisizione (decidere ambito e intervallo), conservazione (decidere luogo, gestione delle generazioni e periodo di ritenzione) e ripristino (preparare un piano e confermare di poter ripristinare correttamente). Conta come misura reale solo se si conserva anche il backup disconnesso dall’ambiente di produzione, in modo che non venga cifrato insieme ai dati originali dal ransomware, e se si verifica il ripristino per evitare la trappola di “pensavamo di avere un backup, ma non possiamo ripristinarlo”.

Ognuno di questi punti, una volta scritto, sembra ovvio. Ma la maggior parte dei danni reali avviene proprio dove queste cose ovvie non erano state seguite fino in fondo. Far rispettare questi sei punti in tutta l’azienda, sotto la leadership top-down del titolare, è il punto di partenza.

6. L’Autovalutazione 5 minuti e gli sforzi organizzativi dalla Fase 2 in poi

Il pezzo forte della Fase 2 è l’Allegato 3, “Autovalutazione 5 minuti sulla sicurezza informatica”. Rispondere a sole 25 domande con “in atto / parzialmente in atto / non in atto / non so” rende visibile lo stato attuale e i punti deboli dell’azienda.

La 4.0ª edizione ha rivisto le contromisure di esempio dell’autovalutazione, aggiungendo voci che riflettono rotte di intrusione recenti come “bloccare la comunicazione non necessaria dall’esterno verso la rete interna” e “operare il proprio sito web in sicurezza”. Le intrusioni che sfruttano debolezze nelle apparecchiature VPN e la manomissione di siti web trascurati sono rotte attraverso cui le PMI hanno continuato a subire danni reali. (Le misure sul lato sito web sono trattate in dettaglio in un articolo separato, “Come usare la ‘Guida per rendere sicuro il proprio sito web’ dell’IPA”.)

Il risultato dell’autovalutazione non deve essere un punteggio su cui competere. Usarlo come materiale per la prioritizzazione: tra le voci non ancora in atto, sistemare prima quelle con il maggior rischio per la propria azienda.

7. SECURITY ACTION — un programma gratuito per rendere visibili i propri sforzi

Una volta iniziato, vale la pena utilizzare anche SECURITY ACTION in parallelo. È un programma in cui le PMI autodichiarano di stare lavorando sulle misure di sicurezza informatica, potendo utilizzare gratuitamente i marchi “one-star” o “two-star” a seconda di quanto avanti si è.

Poiché si tratta di autodichiarazione, non c’è un processo di revisione — il che significa anche che si può iniziare subito. Esporre il logo su biglietti da visita o sul sito web dà qualcosa da mostrare ai clienti, e la dichiarazione è talvolta richiesta per candidarsi a programmi di supporto pubblici come il Sussidio per l’introduzione dell’IT.

Per un’azienda che ha appena ricevuto una checklist di sicurezza da un cliente e non sa cosa fare, poter dire “stiamo lavorando partendo dai sei articoli e dall’autovalutazione della linea guida, e abbiamo dichiarato SECURITY ACTION” è un passo primo realistico e onesto.

8. Gli allegati fanno anche da “libreria di modelli”

Si può dire che buona parte del valore pratico di questa linea guida stia negli allegati. La 4.0ª edizione ne prevede otto, tutti scaricabili gratuitamente dalla pagina dell’IPA.

• Allegato 1: Manuale pratico per l’assunzione e la formazione di personale di sicurezza per le PMI (nuovo nella 4.0ª edizione)
• Allegato 2: Politica di base per la sicurezza informatica (esempio)
• Allegato 3: Autovalutazione 5 minuti sulla sicurezza informatica
• Allegato 4: Manuale della sicurezza informatica (modello)
• Allegato 5: Regole relative alla sicurezza informatica (esempio)
• Allegato 6: Registro di gestione degli asset (esempio)
• Allegato 7: Guida all’uso sicuro dei servizi cloud per le PMI
• Allegato 8: Guida alla risposta agli incidenti di sicurezza informatica per le PMI

Non è necessario scrivere da zero la politica di base, le regole o il registro degli asset — il design presuppone che si adattino i modelli alla propria azienda. Se l’azienda è bloccata nel mettere regole interne, iniziare con l’Allegato 2 e l’Allegato 5 fa procedere più velocemente.

Più vicino alle operazioni quotidiane, singoli argomenti come rivedere gli ZIP protetti da password inviati via email — il cosiddetto PPAP (vedi “Perché il PPAP è una cattiva idea” ) — e prevenire fughe di informazioni dai PC in dismissione (vedi “Una checklist prima di smaltire un PC Windows”) sono in continuità con il ragionamento di questa linea guida.

Riepilogo

Ecco i punti chiave della “Linea guida per la sicurezza informatica delle PMI” dell’IPA, 4ª edizione.

• Pubblicata il 27 marzo 2026. Un aggiornamento che riflette cambiamenti ambientali: interruzione dell’attività da ransomware, danni mediati dalla supply chain e carenza di personale
• L’approccio è graduale: iniziare con i Sei articoli per la sicurezza informatica, poi i 25 punti dell’autovalutazione, quindi espandere con politica, regole e struttura
• I sei articoli ora includono “fare backup!” — un backup reale copre acquisizione, conservazione e ripristino verificato
• I titolari hanno tre principi e sette azioni chiave proprie, quindi l’impegno non resta tutto sul personale
• Autodichiararsi tramite SECURITY ACTION (gratuito) rende visibili i propri sforzi ed è anche requisito per alcuni programmi di supporto pubblici
• Gli otto allegati funzionano come una libreria di modelli pronti all’uso per la pratica quotidiana

Il più grande ostacolo alle misure di sicurezza non è sapere cosa fare — ed è proprio questa parte che una linea guida ufficiale ha già risposto. Ciò che resta è applicarla al proprio ambiente e portarla effettivamente a termine.

Per chi fatica ad applicarla al proprio ambiente

Molte aziende, quando cercano di attuare il punto “tenere aggiornati sistema operativo e software” dei sei articoli, si scontrano subito con il muro: “la nostra vecchia applicazione aziendale non può essere aggiornata perché non gira su un sistema operativo più recente”. Allo stesso modo, l’ordine in cui affrontare i problemi emersi dall’autovalutazione dipende dalla configurazione dei propri sistemi aziendali.

Basandosi sulla nostra esperienza nello sviluppo e nella manutenzione di applicazioni aziendali Windows e di sistemi web, Komura Software LLC si occupa di consulenze sulla modifica del software esistente che blocca un aggiornamento, e sulla prioritizzazione delle contromisure. Anche nella fase “abbiamo fatto l’autovalutazione, ma da qui in poi la conversazione diventa tecnica e non riusciamo a procedere”, accogliamo una consulenza a partire dalla conferma dello stato attuale.

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste pagine collocano l’argomento in un contesto più ampio di servizi e decisioni.

Servizi collegati all’argomento

L’articolo è direttamente collegato ai servizi seguenti.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Quali sono i Sei articoli per la sicurezza informatica?

Sono le misure di base che la 'Linea guida per la sicurezza informatica delle PMI' dell'IPA, 4ª edizione, indica come obbligatorie per ogni azienda indipendentemente dalle dimensioni. Sono: (1) tenere sempre aggiornati sistema operativo e software, (2) installare software antivirus, (3) rafforzare le password, (4) rivedere le impostazioni di condivisione, (5) fare backup e (6) conoscere le minacce e le tecniche di attacco in uso. Fino alla versione 3.1 erano cinque articoli; il sesto, 'fare backup', è stato aggiunto alla luce dei danni crescenti causati dal ransomware.

Qual è la differenza tra one star e two stars di SECURITY ACTION?

One star è una autodichiarazione che l'azienda sta lavorando sui Sei articoli per la sicurezza informatica, e qualsiasi azienda che inizia a occuparsi di sicurezza può dichiararlo immediatamente. Two stars significa che l'azienda ha valutato la propria situazione usando l'allegato della linea guida, l''Autovalutazione 5 minuti sulla sicurezza informatica', e ha redatto e pubblicato una 'Politica di base per la sicurezza informatica', dichiarando di lavorare sulle contromisure. Entrambi sono autodichiarazioni all'IPA e non hanno costo.

Un'azienda senza personale IT dedicato — da dove inizia?

La sezione pratica della linea guida è strutturata attorno al principio 'inizia da ciò che puoi'. Propone l'ordine: prima, implementare i Sei articoli per la sicurezza informatica sotto la leadership top-down del titolare; poi usare i 25 punti dell'Allegato 3, 'Autovalutazione 5 minuti sulla sicurezza informatica', per capire lo stato attuale; infine migliorare a partire dalle voci ancora non coperte. Né i sei articoli né l'autovalutazione richiedono conoscenze specialistiche o grandi budget.

Cosa è cambiato tra la 3.1ª e la 4.0ª edizione?

La 4.0ª edizione, pubblicata il 27 marzo 2026, riflette un insieme di cambiamenti ambientali: l'interruzione dell'attività causata dai danni da ransomware, la diffusione di danni mediati dalla supply chain e la carenza di personale di sicurezza nelle PMI. In particolare, espande i 'Cinque articoli per la sicurezza informatica' in sei aggiungendo 'fare backup', riorganizza le contromisure tecniche e organizzative alla luce del sistema di valutazione SCS (sistema di valutazione della sicurezza per il rafforzamento della supply chain) in via di sviluppo da parte del Ministero dell'Economia, del Commercio e dell'Industria e altri, e aggiunge un manuale pratico (Allegato 1) a supporto dell'assunzione e della formazione di personale di sicurezza.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Specializzato nello sviluppo di software Windows, nella consulenza tecnica e nell’analisi dei malfunzionamenti, soprattutto nei progetti con sistemi esistenti e guasti difficili da riprodurre.