Cybersecurity: quanto può costarti un lunedì senza sistemi informatici?

Immagina un lunedì mattina: il gestionale non risponde, l’ufficio commerciale non vede gli ordini e il magazzino aspetta le indicazioni. È uno scenario illustrativo. La causa potrebbe essere un guasto, un errore o un incidente informatico. Per il cliente che attende una consegna, però, la prima conseguenza è la stessa: l’azienda non riesce a mantenere il ritmo abituale.

La conversazione sulla cybersecurity parte spesso dagli strumenti di protezione. Sono importanti, ma non esauriscono la domanda di chi guida l’impresa: cosa possiamo continuare a fare mentre i sistemi non sono disponibili?

Il costo si distribuisce tra più reparti

Un’interruzione produce attese, operazioni rinviate, lavoro da recuperare e comunicazioni straordinarie. Non tutte queste voci sono perdite definitive. Un ordine posticipato non equivale automaticamente a un ordine cancellato, e il fatturato giornaliero non coincide con il danno economico del fermo.

Per stimare l’impatto, direzione, amministrazione, responsabili operativi e IT devono condividere le ipotesi. Se ogni reparto usa una definizione diversa di ripartenza, il progetto rischia di risolvere un problema tecnico senza riportare il lavoro a una condizione accettabile.

La domanda non è soltanto: abbiamo un backup?

Una copia dei dati può essere disponibile mentre l’applicazione, gli accessi o una connessione necessaria restano fuori servizio. Per riprendere le operazioni occorre capire quali componenti devono tornare disponibili insieme e in quale ordine. Anche le credenziali e le persone autorizzate a usarle fanno parte del percorso.

Le indicazioni del NIST sulla pianificazione della continuità collegano la valutazione dei sistemi alle esigenze di ripristino. Un’altra guida del NIST NCCoE richiama la necessità di eseguire, mantenere e provare i backup. Sono riferimenti tecnici di metodo: non attestano la conformità normativa di una specifica impresa italiana.

La conseguenza pratica è semplice: chiedere una prova che rappresenti il servizio da recuperare. Recuperare un file è utile, ma non dimostra da solo che il reparto possa completare un ordine o rispondere al cliente. La verifica va concordata con gli specialisti, evitando test improvvisati sui sistemi di produzione.

Stabilisci cosa deve ripartire prima

Una struttura ricettiva può dover gestire arrivi e informazioni sugli ospiti. Un produttore può aver bisogno di ordini, istruzioni e documenti di spedizione. Un’impresa di servizi può dipendere dagli appuntamenti e dalle pratiche. Sono esempi di priorità diverse, non classifiche valide per tutti.

Per ogni attività critica, descrivi quanto può attendere, quali dati servono, chi prende la decisione di sospenderla e quale procedura alternativa è praticabile. Un’alternativa manuale va verificata anche per capacità, sicurezza e aggiornamento successivo: avere un modulo cartaceo non basta se nessuno sa come usarlo.

Chiarisci chi decide quando le informazioni sono incomplete

Durante un problema non serve soltanto qualcuno che lavori al ripristino. Occorre sapere chi coordina, chi aggiorna dipendenti e clienti e chi approva le scelte operative. Questi ruoli non possono essere dedotti dal nome del fornitore o dalla presenza di un antivirus.

Hai già un referente IT di fiducia? Il suo coinvolgimento è essenziale. La direzione porta le conseguenze sul lavoro; gli specialisti aiutano a verificare dipendenze, protezioni e possibilità di recupero. Il valore del confronto sta nell’unire queste prospettive, non nel sostituire automaticamente chi segue i sistemi.

Una verifica circoscritta, prima di un progetto esteso

Individua un’attività che non può restare indisponibile a lungo. Organizza un confronto con chi la gestisce e chi cura l’IT. Ricostruite uno scenario di fermo, gli accessi necessari, l’ordine di recupero e la comunicazione ai clienti. Annotate cosa sapete e cosa è soltanto supposto.

Il risultato iniziale può essere una lista breve di verifiche, con responsabile e data. Una prova pianificata potrà poi confermare o correggere le aspettative. Non è una certificazione e non elimina il rischio; aiuta a evitare che le prime domande importanti emergano soltanto durante l’emergenza.

Se domattina mancasse il sistema più importante, quale promessa al cliente riusciresti comunque a mantenere? Da questa risposta può iniziare un confronto sulla continuità utile anche a chi non si occupa di tecnologia.