Firewall, antivirus, backup, formazione, monitoraggio: le misure di sicurezza possibili sono molte, mentre tempo e budget di una PMI sono limitati. Il problema, quindi, non è soltanto capire che cosa si potrebbe migliorare. È decidere che cosa affrontare prima, in base ai rischi reali per l'operatività aziendale.
Un cyber risk assessment serve a costruire questa priorità. Collega i processi indispensabili, i dati e i sistemi che li sostengono, le minacce plausibili e le conseguenze per l'impresa. Il risultato non dovrebbe essere un elenco generico di carenze tecniche, ma un piano comprensibile anche alla direzione: quali scenari meritano attenzione immediata, quali controlli esistono già, chi deve intervenire e come verificare i progressi.
Questa guida, verificata il 4 settembre 2026, propone un percorso proporzionato per PMI, startup e studi professionali. Non sostituisce una valutazione tecnica, legale o organizzativa sul caso concreto, soprattutto quando sono coinvolti dati personali, obblighi settoriali o servizi essenziali.
Che cos'è un cyber risk assessment e che cosa deve produrre
Un cyber risk assessment è una valutazione strutturata dei rischi che possono compromettere sistemi, dati e servizi aziendali. Parte dagli obiettivi dell'impresa e prova a rispondere a una domanda concreta: quali eventi informatici potrebbero impedirci di lavorare, causare una perdita rilevante o danneggiare clienti e altre persone?
Non coincide con una scansione delle vulnerabilità. Una scansione può rilevare software non aggiornato, configurazioni deboli o servizi esposti; il risk assessment aggiunge il contesto. La stessa vulnerabilità può avere un peso molto diverso se riguarda un computer isolato oppure il gestionale che sostiene ordini, produzione e fatturazione.
Non coincide neppure con un audit di conformità. La conformità verifica requisiti applicabili; la valutazione del rischio considera scenari, probabilità, impatti e priorità. I due percorsi possono alimentarsi a vicenda, ma non vanno confusi.
Un risultato utile comprende almeno:
- il perimetro analizzato;
- i processi, i dati e i sistemi critici;
- gli scenari di rischio considerati;
- i controlli già presenti e le carenze rilevanti;
- una valutazione motivata del rischio;
- un piano di trattamento con responsabili e scadenze;
- il rischio residuo accettato dalla direzione;
- una data di riesame.
Il documento deve essere abbastanza preciso da guidare le decisioni e abbastanza semplice da poter essere aggiornato. Un registro del rischio molto sofisticato ma abbandonato dopo la prima riunione non protegge l'azienda.
Definire il perimetro partendo dai servizi essenziali
Il primo errore è tentare di valutare tutto nello stesso momento. In una PMI conviene delimitare un perimetro iniziale: una sede, un processo, un servizio digitale, un insieme di applicazioni o una funzione aziendale. La scelta dovrebbe partire da ciò che non può fermarsi senza conseguenze significative.
Per ogni servizio essenziale bisogna ricostruire le dipendenze. Se l'azienda deve evadere gli ordini, potrebbero essere necessari il gestionale, la connettività, l'accesso al magazzino, le credenziali di alcuni utenti, un fornitore cloud e una procedura manuale di emergenza. Concentrarsi solo sul server lascerebbe fuori diversi punti di possibile interruzione.
È utile coinvolgere direzione, IT e responsabili operativi. L'IT conosce architettura e controlli; chi gestisce il processo sa quanto può durare un fermo, quali attività alternative esistono e quali impegni verso clienti o partner diventerebbero critici. Senza entrambe le prospettive, la valutazione rischia di essere tecnicamente corretta ma poco aderente al business.
Prima di proseguire, il perimetro va scritto in modo esplicito, insieme alle esclusioni. Questo rende confrontabili le valutazioni successive e impedisce che un risultato parziale venga presentato come fotografia completa dell'azienda.
Mappare asset, dati, persone e fornitori
Dopo aver scelto il perimetro, occorre capire che cosa lo sostiene. L'inventario non deve limitarsi a computer e server. Devono emergere applicazioni cloud, account amministrativi, dispositivi, reti, archivi, integrazioni, procedure, persone chiave e fornitori esterni.
Per ogni elemento è utile registrare proprietario, funzione, posizione, utenti autorizzati, dati trattati, dipendenze, modalità di backup e supporto disponibile. Non serve raccogliere ogni dettaglio al primo passaggio: serve poter rispondere a domande operative. Chi decide su questo sistema? Che cosa accade se non è disponibile? Esiste un'alternativa? Come si ripristina? Chi può accedere?
Anche i dati vanno classificati in modo proporzionato. Informazioni pubbliche, documenti interni, segreti commerciali, credenziali e dati personali non richiedono necessariamente le stesse cautele. La classificazione aiuta a evitare due estremi: proteggere tutto allo stesso modo, con costi eccessivi, oppure sottovalutare archivi che sembrano ordinari ma sono decisivi per l'impresa o per le persone interessate.
I fornitori sono parte del perimetro quando ospitano dati, amministrano sistemi o sostengono un processo critico. Contratti, livelli di servizio, accessi remoti, responsabilità, copie dei dati e possibilità di esportazione o migrazione influenzano il rischio quanto le tecnologie interne. Un servizio esterno non trasferisce automaticamente all'esterno la responsabilità delle decisioni aziendali.
Costruire scenari di rischio credibili
Un rischio diventa più facile da valutare quando è espresso come scenario: una minaccia sfrutta una debolezza e produce una conseguenza su un servizio o un'informazione importante.
“Ransomware” da solo è troppo generico. Uno scenario più utile potrebbe essere: un allegato malevolo compromette un account con privilegi elevati, cifra le cartelle condivise e rende indisponibili ordini e documenti per un periodo incompatibile con le esigenze operative. Lo scenario rende visibili accessi, segmentazione, copie di sicurezza, tempi di ripristino e procedure di risposta.
Le minacce da considerare non sono soltanto attacchi intenzionali. Errori umani, guasti, configurazioni sbagliate, perdita di dispositivi, cancellazioni accidentali, indisponibilità di un fornitore e credenziali non revocate possono generare impatti rilevanti. Anche la dipendenza da una sola persona o da una procedura non documentata può aggravare l'incidente.
Per evitare una lista infinita, conviene concentrarsi su scenari plausibili e collegati al perimetro. Fonti istituzionali, incidenti già avvenuti, segnalazioni dei fornitori, log, ticket di assistenza e interviste interne aiutano a distinguere i rischi concreti dalle ipotesi remote.
Valutare probabilità e impatto senza falsa precisione
Molte valutazioni usano una matrice con livelli bassi, medi e alti. È uno strumento utile se i criteri sono definiti prima e applicati in modo coerente. Diventa fuorviante quando numeri apparentemente precisi nascondono giudizi non documentati.
La probabilità può essere stimata considerando esposizione, facilità di sfruttamento, frequenza osservata, presenza di minacce attive e qualità dei controlli. L'impatto, invece, dovrebbe includere almeno operatività, conseguenze economiche, clienti, reputazione, obblighi contrattuali e possibili effetti sui dati personali.
La valutazione deve distinguere il rischio inerente dal rischio residuo. Il primo descrive lo scenario prima dei controlli; il secondo tiene conto delle misure esistenti e della loro efficacia. Dire “abbiamo il backup” non basta: occorre verificare se le copie sono separate, protette e realmente ripristinabili nei tempi necessari.
Quando si trattano dati personali, il GDPR richiede misure tecniche e organizzative adeguate al rischio e un processo regolare di verifica della loro efficacia. Questo rischio riguarda i diritti e le libertà delle persone e non coincide automaticamente con il solo danno economico per l'impresa. La valutazione privacy e quella cyber devono quindi dialogare, mantenendo chiari i rispettivi obiettivi.
Ogni giudizio dovrebbe riportare motivazione, fonti e incertezze. Se mancano log, inventari o prove di ripristino, l'assenza di evidenza non va trasformata in un livello di sicurezza presunto: diventa essa stessa un'azione da pianificare.
Trasformare la valutazione in un piano di priorità
La fase decisiva comincia dopo la classificazione. Per ogni rischio si può scegliere di ridurlo, evitarlo, trasferirne una parte oppure accettarlo consapevolmente. La scelta spetta a chi ha responsabilità sul processo e sul rischio aziendale, non soltanto al fornitore IT.
Le priorità non dipendono solo dal livello teorico. Un intervento relativamente semplice può ridurre rapidamente più rischi: attivare l'autenticazione multifattore sugli account critici, rimuovere accessi non più necessari, correggere una configurazione esposta o provare il ripristino di un backup. Altri interventi richiedono progetti più lunghi, per esempio segmentare la rete, sostituire sistemi non supportati o ridurre una dipendenza tecnologica.
Per ogni azione è opportuno indicare:
- rischio collegato e risultato atteso;
- responsabile della decisione e responsabile operativo;
- risorse necessarie;
- scadenza e passaggi intermedi;
- modalità di verifica;
- eventuali dipendenze da fornitori;
- rischio residuo dopo l'intervento.
Un piano efficace combina correzioni urgenti, miglioramenti strutturali e attività ricorrenti. Acquistare uno strumento senza definire configurazione, responsabilità e controllo nel tempo può spostare il problema senza risolverlo.
La direzione dovrebbe approvare le priorità e le eventuali accettazioni del rischio. Questo passaggio rende la cybersecurity una decisione aziendale, chiarisce i compromessi tra operatività, costi e protezione e impedisce che rischi importanti rimangano implicitamente a carico dell'IT.
Verificare i controlli e aggiornare il risk assessment
Il cyber risk assessment non è una fotografia valida per sempre. Cambiano applicazioni, persone, fornitori, sedi, processi e modalità di attacco. La valutazione va riesaminata con una frequenza definita e quando avvengono cambiamenti rilevanti.
Un nuovo gestionale, una migrazione cloud, un'acquisizione, l'apertura di una sede, l'ingresso di un fornitore critico o un incidente sono motivi concreti per aggiornare perimetro e scenari. Anche una modifica apparentemente piccola può introdurre nuove identità, integrazioni o copie di dati.
Il riesame deve basarsi su evidenze. Test di ripristino, revisioni degli accessi, esercitazioni di risposta, analisi dei log, scansioni tecniche e controlli sui fornitori mostrano se le misure funzionano davvero. Gli indicatori dovrebbero misurare risultati utili, non soltanto attività completate.
È importante conservare le decisioni: che cosa è stato corretto, che cosa è stato rinviato, quale rischio è stato accettato e da chi. Questa traccia aiuta la continuità gestionale, facilita i confronti nel tempo e rende più solide le verifiche interne o richieste da clienti e partner.
Come impostare un primo cyber risk assessment in una PMI
Un primo ciclo può restare contenuto, purché arrivi a decisioni concrete. Si parte scegliendo uno o due servizi aziendali critici e nominando un referente. Si raccolgono poi le persone che conoscono processo, tecnologia, dati e fornitori, evitando di delegare l'intero lavoro a una sola funzione.
Il gruppo mappa dipendenze e informazioni essenziali, costruisce un numero gestibile di scenari, valuta i controlli con evidenze disponibili e segnala ciò che non è ancora verificabile. Da qui nasce un registro breve, ordinato per priorità, con azioni, responsabili e date.
Il primo risultato non deve essere perfetto. Deve rendere visibili le decisioni più urgenti e creare un metodo ripetibile. Nei cicli successivi il perimetro può allargarsi e le valutazioni possono diventare più dettagliate.
Zanettistudios presenta la Gestione Servizi IT come un'area che integra infrastrutture, cybersecurity e protezione dei dati, continuità operativa e supporto proattivo. In questo contesto, una valutazione iniziale può aiutare a collegare le misure tecniche alle dipendenze operative dell'impresa e a definire un percorso proporzionato. La panoramica completa è disponibile nella pagina Servizi; per esaminare esigenze e perimetro specifici è disponibile il modulo Contatti.
Domande frequenti
Quanto deve essere dettagliato un cyber risk assessment per una PMI? Deve essere abbastanza dettagliato da collegare scenari, servizi critici, controlli e decisioni. Il livello dipende da dimensione, complessità, dati trattati, dipendenze e obblighi applicabili. È preferibile iniziare con un perimetro chiaro e aggiornabile.
Chi deve partecipare alla valutazione? Almeno un rappresentante della direzione, chi gestisce i processi compresi nel perimetro, il referente IT interno o esterno e, quando necessario, chi presidia privacy, aspetti legali e fornitori. La composizione varia in base al caso.
Un vulnerability assessment può sostituire il risk assessment? No. Il vulnerability assessment individua debolezze tecniche; il risk assessment le collega a minacce, processi, impatti e priorità aziendali. I risultati tecnici sono un input importante, non l'intera valutazione.
Serve un software dedicato? Non necessariamente nel primo ciclo. Un registro controllato può essere sufficiente se ruoli, criteri, evidenze e aggiornamenti sono gestiti con disciplina. Uno strumento diventa utile quando crescono perimetro, frequenza, responsabilità e necessità di tracciamento.
Ogni quanto va aggiornato? La frequenza deve essere definita in base al rischio e al ritmo dei cambiamenti. Il riesame va comunque anticipato dopo incidenti, trasformazioni dei sistemi, nuovi fornitori critici, cambi organizzativi o modifiche normative rilevanti.
Cyber risk assessment e valutazione d'impatto privacy sono la stessa cosa? No. Il risk assessment cyber considera la sicurezza e la continuità dell'organizzazione; una valutazione privacy considera anche gli effetti sui diritti e sulle libertà delle persone. Possono condividere informazioni, ma hanno scopi e requisiti distinti.
Fonti
- Zanettistudios - Gestione Servizi IT
- Zanettistudios - Servizi
- NIST - Cybersecurity Framework 2.0: Small Business Quick-Start Guide
- ENISA - Cybersecurity for SMEs: Challenges and Recommendations
- ENISA - SME Cyber Resilience Maturity Assessment Model
- EDPB - Data protection guide for small business
- EUR-Lex - Regolamento (UE) 2016/679, articolo 32