Blog

Ottobre è anche nel 2026 il Mese europeo della cybersicurezza, l’iniziativa con cui Unione Europea ed ENISA promuovono maggiore consapevolezza sui rischi digitali tra cittadini e organizzazioni.

Quest’anno l’attenzione torna in modo particolare sul luogo di lavoro e sulle competenze delle persone. È un tema che riguarda direttamente le PMI: più aumentano software, web application, e-commerce, aree riservate e accessi digitali, più aumenta anche il numero di punti nei quali dati e processi devono essere protetti.

La cybersecurity, quindi, non riguarda soltanto antivirus, firewall o interventi del reparto IT. Riguarda come vengono progettati e utilizzati i sistemi attraverso cui l’azienda lavora ogni giorno.

Digitalizzare significa anche aumentare i punti da proteggere

La trasformazione digitale porta con sé un vantaggio evidente: informazioni e attività diventano accessibili più rapidamente e possono attraversare reparti, applicazioni e organizzazioni diverse.

Ma ogni nuova connessione introduce anche una nuova dipendenza.

Un gestionale dialoga con l’e-commerce, un’area clienti recupera informazioni amministrative, una web app viene utilizzata da dipendenti e partner, una piattaforma formativa contiene utenti e dati provenienti da altri sistemi.

È uno dei fenomeni evidenziati anche dall’ultimo ENISA Threat Landscape 2026, pubblicato a settembre: l’aumento delle dipendenze digitali amplia la superficie di attacco e rende necessaria una maggiore capacità di prevenire e limitare gli incidenti. Il rapporto analizza oltre 8.000 eventi e incidenti osservati nel corso del 2025.

Questo non significa che digitalizzare renda automaticamente un’azienda meno sicura. Significa che la sicurezza deve crescere insieme alla complessità dell’ecosistema digitale.

Il fattore umano continua a essere parte del problema

Una parte importante degli attacchi continua inoltre a passare dalle persone.

Social engineering, phishing e furto delle credenziali sfruttano soprattutto comportamenti quotidiani: un link aperto senza verificarlo, una richiesta apparentemente urgente, credenziali riutilizzate o accessi mantenuti anche quando non sono più necessari.

Proprio in occasione del Cybersecurity Month 2026, ENISA ha richiamato l’attenzione sulle competenze dei dipendenti e sulla necessità di rendere la sicurezza parte del lavoro quotidiano, non un tema confinato agli specialisti IT.

La formazione rimane quindi essenziale, ma da sola non può compensare processi progettati male.

Se ogni dipendente utilizza numerose password, se gli account vengono creati e disattivati manualmente su applicazioni diverse o se le autorizzazioni non vengono riviste quando cambiano ruoli e responsabilità, una parte del rischio nasce dall’organizzazione del sistema stesso.

Gli accessi sono un buon punto da cui partire

Più applicazioni utilizza un’azienda, più diventa importante capire chi può accedere a cosa.

Un collaboratore può utilizzare il gestionale, il portale interno e una web application. Un cliente può accedere contemporaneamente a e-commerce, area riservata e piattaforma formativa. Un partner potrebbe avere accesso soltanto a una parte dei servizi.

Quando ogni sistema gestisce separatamente utenti e credenziali, controllare l’intero ciclo di vita dell’accesso diventa più complesso.

È anche uno dei motivi per cui lavoriamo su sistemi di gestione centralizzata delle identità e degli accessi: non semplicemente per ridurre il numero di password, ma per rendere più governabile un ecosistema composto da applicazioni differenti.

La cybersecurity entra quindi direttamente nella progettazione della user experience e dei processi.

La sicurezza dovrebbe essere progettata prima, non aggiunta dopo

Un altro concetto che sta assumendo sempre più importanza è quello di Secure by Design: considerare la sicurezza già mentre si progetta un prodotto o un servizio digitale.

Nel luglio 2026 ENISA ha pubblicato proprio per le PMI un Secure by Design and Default Playbook, con indicazioni pensate per inserire principi di sicurezza all’interno dell’intero ciclo di vita di prodotti e sistemi digitali.

Il principio è semplice: è più efficace progettare correttamente accessi, permessi, gestione delle informazioni, aggiornamenti e protezioni fin dall’inizio che cercare di correggere tutte queste criticità quando il sistema è già diventato complesso.

Per una PMI significa anche fare scelte molto pratiche: limitare gli accessi a ciò che serve realmente, evitare account condivisi, mantenere aggiornate applicazioni e componenti, definire responsabilità chiare e prevedere cosa deve accadere quando un utente cambia ruolo o lascia l’organizzazione.

La cybersecurity non è separata dalla digitalizzazione

Qui c’è il punto che, per noi, merita maggiormente attenzione.

Quando progettiamo una web application, un e-commerce, un’area riservata la sicurezza non può essere trattata come una funzione da aggiungere alla fine.

Dipende dal modo in cui vengono gestiti utenti, dati, sistemi esterni e processi.

Se un’informazione viene copiata manualmente tra più piattaforme, se lo stesso utente esiste con account differenti o se un’applicazione espone dati che non sono necessari a chi la utilizza, il problema riguarda contemporaneamente efficienza e sicurezza.

Per questo digitalizzazione e cybersecurity dovrebbero procedere insieme.

Il Cybersecurity Month può diventare un buon momento per fare il punto

Ottobre non deve servire soltanto a ricordare alle persone di scegliere password più sicure.

Per una PMI può essere l’occasione per chiedersi come è cambiato il proprio ecosistema digitale negli ultimi anni: quante applicazioni utilizziamo oggi? Chi può accedervi? Gli account vengono disattivati correttamente? Quali sistemi condividono dati? Come gestiamo aggiornamenti e vulnerabilità? Quanto dipendiamo ancora da procedure manuali?

Non serve risolvere tutto contemporaneamente. Anche ENISA, nei propri strumenti dedicati alle PMI, propone un approccio progressivo alla cyber resilienza, basato sulla valutazione del livello attuale e sull’individuazione delle priorità.

La sicurezza digitale non è quindi soltanto una questione di difesa dagli attacchi. È anche la capacità di costruire processi e applicazioni che rimangano controllabili mentre l’azienda cresce e si digitalizza.

Quando lavoriamo su nuovi ecosistemi digitali partiamo anche da questo: capire quali utenti, dati e sistemi devono comunicare e progettare l’architettura in modo coerente con il loro utilizzo.

Se la tua azienda ha aggiunto nel tempo nuovi software, portali, web application o servizi online e vuoi capire se l’ecosistema è ancora organizzato in modo coerente e sicuro, possiamo partire dai processi e dagli accessi che utilizzi oggi. Fissa subito la tua consulenza.