Una domanda semplice: se domani mattina non potessi più accedere ai dati della tua azienda, quanto resisteresti?

Nella maggior parte delle PMI la risposta onesta è "non lo so". Ed è proprio questo il problema.

Per la nuova puntata della serie con San Marino Innovation ho invitato due persone che guardano la cyber security da lati opposti: Rino Micheloni di Avaneidi, che costruisce infrastrutture hardware per custodire i dati, e Luca Carettoni di Doyensec, che cerca le vulnerabilità nel software per conto di altre aziende, anche nella Silicon Valley.

Ne sono uscite cinque idee che ogni imprenditore dovrebbe avere chiare.

1. Non conta l'attacco. Conta quanto resti fermo.

Quasi tutte le aziende iniziano a occuparsi di sicurezza dopo il primo incidente. Ma il danno vero non è il virus: è il tempo che serve per ripartire. Con contratti e penali sul tavolo, qualche settimana di fermo può bastare a mettere in ginocchio un'impresa.

E chi attacca non è il ragazzino con la felpa dei film. Sono organizzazioni che lavorano per fare soldi, con attacchi automatizzati su larga scala. Non serve essere un bersaglio interessante: basta essere esposti. L'AI, almeno per ora, ha reso gli attaccanti più veloci di chi si difende, e il divario con le PMI si sta allargando.

2. Molte difese non costano nulla

Il paradosso è questo: si rimanda la sicurezza perché "costa", e intanto non si fanno le cose gratuite. Quelle che emergono più spesso:

• computer con sistemi operativi non più aggiornati;
• la stessa password usata ovunque;
• accessi a tutto per tutti: il commerciale che arriva al codice sorgente, il CEO amministratore di ogni sistema (nei CRM e nei Gestionali lo vedo di continuo);
• contratti dei fornitori software mai letti, dove a volte c'è scritto che i tuoi dati verranno usati per altro.

Prima di comprare qualunque soluzione, metti in ordine queste quattro.

3. Un backup mai provato è solo una speranza

È il punto su cui Rino insiste di più. Secondo i dati che cita, un ripristino da backup su due non funziona, semplicemente perché nessuno lo ha mai testato.

E c'è un rischio più sottile: se un ransomware entra nei sistemi, finisce anche nei backup, copiato giorno dopo giorno. Spesso resta silente per mesi prima di attivarsi. Ripristini, e ti ritrovi il problema in casa.

La regola è semplice: prova un ripristino adesso, non il giorno dell'emergenza.

4. Serve una persona in casa, ma non da sola

Una PMI non può delegare tutto a un consulente esterno, e nemmeno caricare tutto su un dipendente. Serve un referente interno con competenze tecniche, che conosca i processi aziendali, affiancato da partner esterni per tenere il passo con una tecnologia che corre troppo veloce per una persona sola.

Poi c'è il ruolo dell'imprenditore. La parte tecnica si delega, la gestione del rischio no: solo chi guida l'azienda sa quali sono i "gioielli della corona", quali contratti hanno penali, quanto si può restare fermi.

E smettiamola di dare la colpa al dipendente che ha cliccato. Chi seleziona personale i CV li deve aprire, chi vende gli allegati li deve aprire. Sono i sistemi che devono essere progettati per reggere l'errore.

5. Con gli agenti AI le regole valgono doppio

Presto non saranno solo le persone ad aprire file e mandare email, ma anche gli agenti AI. E un agente ha una caratteristica che un essere umano non ha: la velocità. Se sbaglia, sbaglia mille volte in un'ora.

Per questo le regole che valgono per le persone vanno applicate con ancora più rigore agli agenti, insieme a un principio chiaro: un essere umano nei passaggi critici. Un agente che gestisce pagamenti, per esempio, sopra una certa soglia deve fermarsi e chiedere.

Luca è ottimista: nel lungo periodo sistemi ben progettati e agenti confinati renderanno tutto più sicuro. Ma oggi siamo nella fase di transizione, ed è la più rischiosa.

Perché proprio San Marino

L'Europa consuma tecnologia ma progetta poco hardware, e in questo contesto geopolitico è un limite. Avaneidi sta lavorando a un piccolo data center sovrano a San Marino, vicino alle aziende del territorio. Luca ci ha portato Doyensec per qualità della vita, stabilità e flessibilità normativa.

Il quadro che ne esce è quello di un ecosistema piccolo ma concreto, adatto a imprese ad alta tecnologia con pochi dipendenti. La previsione dei miei ospiti per i prossimi cinque anni? Sul piano tecnico c'è da essere ottimisti. Sul piano delle aziende, molto meno: la tecnologia corre più veloce della loro capacità di proteggersi.

Da dove cominciare domani mattina

1. Fai l'elenco dei dati e dei processi senza cui l'azienda si ferma.
2. Stima quanti giorni di fermo puoi permetterti.
3. Aggiorna i sistemi vecchi e cambia le password riciclate.
4. Rivedi chi accede a cosa, a partire dagli amministratori.
5. Prova un ripristino da backup.
6. Individua un referente interno e i partner che lo affiancano.
7. Metti regole chiare all'uso dell'AI in azienda.

Guarda la puntata

La puntata completa è su YouTube: guarda Merita Business Podcast.

Se stai pensando di sviluppare un'impresa tecnologica a San Marino: contatta San Marino Innovation per una prima chiamata conoscitiva.

Le altre puntate della serie: San Marino per le startup e Esport in Italia. Su AI e regole in azienda: AI Act e CRM Email Privacy.