Aziende piccole, spesso senza nessuno che si occupi di informatica, sull'asse che porta a Padova. Il problema qui non è la tecnologia: è che non c'è un titolare del problema.
Camposampiero e i comuni della cintura nord di Padova hanno un tessuto fatto in gran parte di imprese piccole: artigianato specializzato, lavorazioni meccaniche, logistica, commercio all'ingrosso, studi professionali. Realtà da dieci, venti, trenta persone, dove l'informatica la segue "quello bravo con i computer", che è quasi sempre un dipendente con un altro mestiere.
Funziona finché funziona. Il momento in cui smette di funzionare è sempre lo stesso: qualcosa si rompe mentre quella persona è in ferie, oppure quella persona va via e nessuno sa dove stiano le password.
Nessuno sa con precisione quanti sistemi ci sono, cosa ci gira sopra e chi ha accesso a cosa. Senza quello, qualunque discorso su sicurezza o continuità è teoria.
Il backup di solito esiste. Quasi mai è stato ripristinato per prova, e spesso non comprende il gestionale o la posta.
Quando si ferma tutto, serve sapere chi chiama chi e in che ordine. Nelle aziende piccole questa catena non è mai stata scritta.
Un'azienda di quindici persone non ha bisogno dello stesso contratto di una da duecento, e proporglielo è il modo più veloce per farla scappare. Su queste realtà partiamo dal minimo che regge: inventario, backup verificato, protezione degli endpoint, accessi in ordine e un riferimento a cui telefonare. Il monitoraggio continuo e la sorveglianza degli allarmi si aggiungono quando l'azienda cresce o quando i dati che tratta lo richiedono.
Da Cittadella a Camposampiero sono una quindicina di chilometri, e buona parte del lavoro quotidiano si fa comunque da remoto.
No, ma il contratto va dimensionato. Le cose che contano davvero per un'azienda di dieci persone sono poche: che i dati si ripristinino, che i computer non prendano ransomware, che ci sia qualcuno da chiamare. E costano molto meno di un servizio completo di monitoraggio continuo, che a quella scala spesso non serve.
Il rischio, alla vostra dimensione, non è di spendere troppo in informatica. È di scoprire troppo tardi che l'unica copia dei dati stava sul computer che si è rotto.
Il commercialista o il consulente guardano la parte documentale: informative, registro dei trattamenti, nomine. È necessaria e va fatta, ma riguarda la carta.
Il GDPR chiede anche misure tecniche adeguate e la capacità di ripristinare tempestivamente i dati dopo un incidente. Se nessuno ha mai provato un ripristino, quella parte è scoperta indipendentemente da quanto è ordinato il raccoglitore.
Dipende dai sistemi, e capita più spesso di quanto si creda. Su alcuni si recupera l'accesso con procedure di ripristino a livello di dominio o di provider, dimostrando la titolarità dell'azienda; su altri, in particolare apparati di rete e servizi intestati a un indirizzo personale, può servire un ripristino di fabbrica e una riconfigurazione. È la situazione in cui vale la pena chiamare prima di provare da soli: alcuni tentativi di recupero, se fatti male, chiudono definitivamente le strade più semplici.
Inventario, backup che si ripristina, computer protetti e un numero da chiamare. L'assessment gratuito serve a capire quale di queste quattro cose oggi vi manca.