10 errori IT che fanno chiudere (o quasi) una PMI in Tuscia
Lavoriamo con PMI della Tuscia da anni e abbiamo visto pattern ricorrenti: errori IT apparentemente piccoli che, quando si combinano con l'evento sbagliato (un ransomware, un disco fulminato, un dipendente che lascia male), diventano esistenziali per l'azienda. Statistiche FEMA e ENISA dicono che il 40-60% delle PMI colpite da disastro IT senza piano chiude entro 6 mesi. Ecco i 10 errori più comuni con casi reali e soluzioni.
1. Backup mai testati
Il backup esiste. Forse. Funziona? Boh. Quando serve davvero (ransomware, disco fulminato, errore utente irreversibile), scopri che non è ripristinabile o è vecchio di mesi. Caso reale Civita Castellana 2024: studio commercialisti, backup giornaliero che sembrava ok, dopo ransomware si scopre che gli ultimi 6 mesi erano corrotti. Recovery limitato, 3 settimane di lavoro perse. Soluzione: test ripristino trimestrali documentati, regola 3-2-1 (3 copie, 2 supporti, 1 offsite).
2. MFA non attiva sugli account critici
Email amministrativa, gestionale, banking, cloud — basta che una password venga compromessa (data breach LinkedIn, riuso password, phishing) e l'attaccante entra. Caso tipico studio dentistico Viterbo 2025: email titolare compromessa, attaccante invia fattura falsa di € 18K a fornitore, fornitore paga, soldi su conto estero. Soluzione: MFA obbligatoria ovunque, FIDO2 keys per ruoli sensibili.
3. Aggiornamenti software ignorati per mesi
Windows che dice "ripianifica aggiornamento" da 4 mesi, applicativi non più supportati dal vendor, browser obsoleti. Ogni patch saltata è una vulnerabilità nota agli attaccanti. Quando l'attacco riesce, il vendor ti dice "c'era una patch da 6 mesi fa, dovevate installarla". Soluzione: patch management automatico gestito, finestre di manutenzione concordate.
4. Antivirus consumer "perché tanto basta"
Windows Defender base + adware gratis. Funzionano per virus generici 2010, non bloccano ransomware moderno comportamentale. Caso reale ristorante Tarquinia 2024: ransomware attraverso allegato email, encryption completa in 18 minuti, fermo 9 giorni in alta stagione, € 22K stimati di mancato fatturato. Soluzione: EDR enterprise gestito (€ 6,90/PC/mese).
5. "Il tecnico amico" non disponibile quando serve
Modello "tecnico-amico-cugino" funziona finché funziona. Poi: il tecnico cambia lavoro, va in pensione, si ammala, è in ferie. Tu sei fermo e non sai a chi chiamare. La documentazione (password, configurazioni, contratti software) è solo nella sua testa. Caso tipico studio legale Vetralla 2025: tecnico storico va in malattia per 4 mesi, nessun handover, ricostruzione completa dell'infrastruttura da zero costata € 12K e 2 mesi di disagi. Soluzione: MSP strutturato con team + documentazione cliente.
6. Password riusate ovunque dal personale
Stessa password per email aziendale, gestionale, banking personale, Netflix, Amazon. Uno solo di questi servizi viene bucato (succede ogni anno a qualcuno) e l'attaccante prova le credenziali ovunque. Soluzione: password manager aziendale (1Password Business, Bitwarden) + MFA + formazione personale.
7. Smart working senza VPN + senza MDM
Dipendente lavora da casa sul portatile aziendale, connesso al Wi-Fi del vicino, scarica film da torrent, apre la stessa macchina la mattina dopo in ufficio. O peggio: si licenzia, va dal competitor con il PC pieno di file aziendali. Soluzione: VPN aziendale + MDM (Mobile Device Management) + crittografia disco + remote wipe.
8. Dati cliente in chiaro nelle email
Codici fiscali, IBAN, dati sensibili (sanitari, finanziari) sparati nelle email "tanto è veloce". Quando un account email viene compromesso, l'attaccante ha un tesoro di dati personali pronto per ricatti, frodi, vendita sul dark web. Sanzione GDPR per data breach: ~€ 20K minimi per PMI. Soluzione: email criptate per dati sensibili o portale di scambio file sicuro.
9. Server "sotto la scrivania" senza condizionatore
Il server è nella sala riunioni / sgabuzzino / scrivania del titolare. Estate, climatizzatore aziendale spento weekend, server raggiunge 60°C, dischi rigidi falliscono in sequenza, RAID non basta perché tutti i dischi sono dello stesso lotto. Soluzione: colocation cloud (sposta tutto possibile su servizi gestiti) + monitoring temperatura per ciò che resta on-premise.
10. Procedura offboarding zero
Il dipendente se ne va. Le sue credenziali email/cloud/gestionale restano attive "tanto chi vuoi che entri". Sei mesi dopo qualcuno usa l'account ex-dipendente per accedere ai dati aziendali. Nessun audit log, nessuna notifica, nessuna evidenza. Soluzione: procedura offboarding entro 1h dalla notifica: revoca accessi + export mailbox + reset password account condivisi + audit log conservato.
Il pattern comune
Se rileggi i 10 errori, noti un filo conduttore: non sono problemi tecnici complicati. Sono mancanza di processo, di documentazione, di test periodici. La cybersecurity moderna non è "comprare il prodotto più costoso" ma fare regolarmente le cose noiose: testare backup, ruotare credenziali, aggiornare sistemi, formare il personale.
Un buon MSP esiste proprio per fare al tuo posto queste attività ricorrenti che da soli "non si trovava mai tempo di fare". Costa molto meno di un singolo evento catastrofico.
Vuoi sapere a che punto sei tu sui 10 errori?
Fai il nostro audit sicurezza rapido (5 domande, 2 minuti, gratis). In 2 minuti hai un semaforo e 3 priorità su cui intervenire subito. Niente lead generation insistente.
Conclusione onesta
Nessuna azienda è "sicura al 100%". L'obiettivo realistico è ridurre la probabilità dei rischi più comuni e limitare l'impatto quando qualcosa va storto comunque. I 10 errori sopra rappresentano l'80% dei casi che vediamo. Sistemarli copre la maggior parte delle situazioni che fanno davvero male.
Se vuoi parlarne nella tua situazione specifica, prenota una call gratuita 30 minuti — niente venditori pressanti, solo un tecnico che ti dice cosa ha senso fare prima.