“Tranquillo, siamo in cloud.”
Questa frase la sentiamo almeno una volta a settimana.
L’imprenditore la pronuncia con la sicurezza di chi pensa di aver risolto il problema. Ha spostato i dati “in cloud”, quindi sono al sicuro. Fine della storia.
Peccato che non funzioni così.
Il cloud non è una bacchetta magica. È un’infrastruttura potente, flessibile, spesso più sicura di un server in cantina — ma solo se configurata correttamente.
Un cloud mal configurato è più vulnerabile di un vecchio server Windows sotto la scrivania. E la maggior parte delle PMI italiane ha il cloud configurato male.
In questo articolo vedremo i 5 errori più comuni che trasformano il cloud da risorsa a rischio, e come evitarli.
Il mito del cloud sicuro
Prima di tutto, sfatiamo un mito: il cloud non è magicamente sicuro.
Quando i dati sono in cloud, sono su un server. Quel server è in un datacenter da qualche parte nel mondo.
È gestito da qualcuno — Microsoft, Amazon, Google, o un provider più piccolo. Ma la responsabilità della configurazione, degli accessi, dei backup è quasi sempre tua.
I grandi provider cloud lo chiamano “modello di responsabilità condivisa”. Loro si occupano della sicurezza del datacenter fisico, della rete, dell’hardware.
Tu ti occupi di chi accede ai tuoi dati, come sono configurati i servizi, se ci sono backup.
Se lasci la porta aperta, non è colpa di Microsoft se qualcuno entra.
Eppure la maggior parte delle PMI pensa che basti “andare in cloud” per essere protetti. Spoiler: non basta.
Errore 1: Backup non attivo o non testato
Il primo errore è il più comune e il più grave: pensare che il cloud faccia il backup automaticamente.
Alcuni servizi cloud hanno funzioni di backup integrate.
Altri no. Alcuni le hanno ma non sono attive di default. Alcuni le hanno attive ma non coprono tutto quello che pensi.
Caso reale: Un’azienda di servizi usava Microsoft 365 per mail e documenti.
Quando un dipendente ha cancellato per errore una cartella condivisa con anni di progetti, hanno scoperto che:
– OneDrive mantiene i file nel cestino per 93 giorni, poi li cancella
– Non avevano attivato alcun backup di terze parti
– Avevano perso 8 anni di documentazione
Il cloud non è backup. Il backup del cloud è backup.
Cosa fare:
– Verificare esattamente cosa è coperto dal backup nativo del servizio cloud
– Implementare un backup di terze parti per dati critici
– Testare il ripristino almeno una volta al trimestre
- Seguire la regola 3-2-1-1: 3 copie, 2 supporti, 1 offsite, 1 immutabile
Errore 2: Accessi non profilati
Secondo errore: tutti accedono a tutto.
Nel cloud è facile condividere. Troppo facile. Un click e la cartella è condivisa con tutto il team. Un altro click e il link è pubblico. In poco tempo, la struttura dei permessi diventa un caos ingestibile.
Caso reale: Un’azienda commerciale con 40 dipendenti usava Google Workspace. Analizzando i permessi, abbiamo scoperto che:
– Il 73% delle cartelle era accessibile a “chiunque abbia il link”
– 12 ex dipendenti avevano ancora accesso ai documenti aziendali
– Il magazziniere poteva vedere i margini di profitto dei clienti
– Le buste paga erano in una cartella accessibile a tutti
Il principio del minimo privilegio dice che ogni utente deve accedere solo a ciò che serve per il suo lavoro. Niente di più.
Cosa fare:
– Fare un audit completo dei permessi attuali
– Implementare una struttura di gruppi e ruoli (RBAC)
– Revocare gli accessi degli ex dipendenti immediatamente
– Rivedere i permessi almeno ogni 6 mesi
- Eliminare i link pubblici non necessari
Errore 3: Nessuna autenticazione a due fattori
Terzo errore: le password sono l’unica protezione.
Nel 2025, affidarsi solo alle password è un suicidio informatico. Le password vengono rubate, indovinate, riutilizzate.
Il 65% delle persone usa la stessa password per più servizi. Basta che uno di quei servizi venga compromesso e l’attaccante ha le chiavi di tutto.
L’autenticazione a due fattori (MFA) aggiunge un secondo livello: oltre alla password, serve un codice temporaneo generato dal telefono, o una notifica da approvare, o una chiavetta fisica. Anche se la password viene rubata, l’attaccante non può entrare.
Caso reale: Un commercialista usava Gmail per la posta dello studio. Nessun MFA. Un attacco di phishing ha rubato la password.
In poche ore, i criminali avevano:
– Letto tutte le mail dei clienti
– Scaricato dichiarazioni fiscali
- Inviato mail false ai clienti chiedendo pagamenti su IBAN fraudolenti
Con l’MFA attivo, niente di tutto questo sarebbe successo.
Cosa fare:
– Attivare MFA su tutti i servizi cloud (mail, gestionale, CRM, tutto)
– Usare app di autenticazione (Google Authenticator, Microsoft Authenticator) invece degli SMS quando possibile
– Non fare eccezioni per nessuno, neanche per il titolare
- Conservare i codici di backup in un luogo sicuro
Errore 4: Dati fuori dall’Unione Europea
Quarto errore: non sapere dove sono fisicamente i dati.
“Sono in cloud” non è una risposta. In quale datacenter? In quale paese? Sotto quale giurisdizione legale?
Se i dati sono su server negli Stati Uniti, sono soggetti al Cloud Act americano, che permette alle autorità USA di accedervi anche senza il tuo consenso. Questo crea problemi di conformità GDPR e potenziali rischi legali.
Caso reale: Un’azienda manifatturiera italiana forniva componenti a clienti tedeschi. Durante un audit, il cliente ha chiesto dove fossero conservati i dati dei progetti.
L’azienda ha scoperto che il suo gestionale cloud risiedeva su server a Singapore. Il cliente tedesco ha minacciato di interrompere la fornitura per non conformità GDPR.
Cosa fare:
– Verificare la geolocalizzazione dei dati per ogni servizio cloud
– Preferire provider con datacenter in Italia o almeno nell’UE
– Leggere i contratti: cercare clausole su trasferimenti dati extra-UE
- Per dati sensibili, considerare un cloud privato su datacenter nazionale
Errore 5: Nessun monitoraggio
Quinto errore: non sapere cosa succede nel cloud.
Chi ha fatto login alle 3 di notte? Chi ha scaricato 5GB di dati ieri? Quali dispositivi accedono ai servizi aziendali? Se non hai risposte a queste domande, non hai visibilità.
Senza monitoraggio, un attaccante può essere dentro i tuoi sistemi per settimane, mesi, senza che tu te ne accorga. Il tempo medio per rilevare una violazione è di 207 giorni. Sette mesi in cui i criminali hanno accesso ai tuoi dati.
Caso reale: Un’agenzia di comunicazione ha scoperto una violazione solo quando i clienti hanno iniziato a ricevere mail sospette dai loro account. Analizzando i log, hanno scoperto che un attaccante aveva avuto accesso per 4 mesi, leggendo tutte le mail, scaricando progetti, rubando contatti.
Cosa fare:
– Attivare i log di accesso su tutti i servizi cloud
– Implementare alert per comportamenti anomali (login da paesi insoliti, download massivi, accessi notturni)
– Rivedere i log regolarmente, non solo dopo un incidente
- Considerare un servizio SOC per monitoraggio H24
Cloud pubblico vs cloud privato: quale scegliere
Non tutti i cloud sono uguali.
– Cloud pubblico (AWS, Azure, Google Cloud)
Vantaggi: Scalabilità infinita, costi variabili, aggiornamenti automatici
Svantaggi: Responsabilità della configurazione tua, dati potenzialmente fuori UE, meno controllo
– Cloud privato (datacenter dedicato)
Vantaggi: Controllo totale, dati in Italia, configurazione su misura
Svantaggi: Costi fissi, meno scalabilità automatica
La scelta dipende dalle esigenze:
– Per dati non critici e workload variabili: cloud pubblico ben configurato
– Per dati sensibili, esigenze di compliance, controllo totale: cloud privato
Molte PMI scelgono un approccio ibrido: workload standard in cloud pubblico, dati critici in cloud privato italiano.
Checklist: il tuo cloud è sicuro?
Verifica la tua situazione:
✅ So esattamente in quale paese risiedono i miei dati
✅ Ho un backup di terze parti per i dati in cloud
✅ Il backup è stato testato negli ultimi 90 giorni
✅ L’MFA è attivo su tutti i servizi cloud
✅ Gli accessi sono profilati per ruolo (non tutti vedono tutto)
✅ Gli ex dipendenti vengono rimossi immediatamente
✅ I log di accesso sono attivi e vengono monitorati
✅So cosa è coperto dalla responsabilità del provider e cosa no
Meno di 5 spunte? Il tuo cloud ha buchi che un attaccante può sfruttare.
Il cloud è uno strumento potente, ma non è una soluzione magica.
“Siamo in cloud” non significa “siamo sicuri”. Significa che hai spostato la responsabilità della sicurezza fisica a qualcun altro, ma la responsabilità della configurazione, degli accessi, dei backup resta tua.
Un cloud ben configurato è più sicuro di qualsiasi server aziendale. Un cloud mal configurato è una porta aperta sul mondo.
La domanda non è “sei in cloud?”. La domanda è “il tuo cloud è configurato correttamente?”
Vuoi sapere se il tuo cloud è davvero sicuro?
Exasys offre un Cloud Security Assessment gratuito: analizziamo la configurazione dei tuoi servizi cloud, identifichiamo le vulnerabilità, e ti forniamo un piano di remediation prioritizzato.
Richiedi una consulenza personalizzata cliccando su https://exasys.it/prenotazione-consulenza/
Vuoi scoprire il livello di sicurezza della tua azienda? Contatta il team di Exasys per una consulenza personalizzata.
