Checklist sicurezza informatica per la partita IVA

Sei un libero professionista, hai un piccolo negozio o un'attività con pochi collaboratori. Non hai un reparto IT e nemmeno il tempo di leggere un manuale. Questa checklist di sicurezza informatica per la partita IVA raccoglie venti controlli concreti, divisi per area, che puoi spuntare in circa un'ora e ripetere ogni tanto. Non è un elenco esaustivo né una certificazione: è un punto di partenza onesto per ridurre i rischi più comuni.

Informazioni generali, non costituiscono parere legale o tecnico. VINDICIS è un software di autovalutazione e non può garantire che non subirai attacchi.

Come usare la checklist di sicurezza informatica per la partita IVA

Stampala o copiala. Per ogni voce rispondi sì/no. I "no" sono la tua lista di cose da fare, in ordine di priorità: le aree 1 e 2 contano più delle altre. Per un quadro più ampio leggi anche sicurezza informatica per PMI.

Area 1: accessi e password

• 1. Ogni persona ha il proprio account, senza utenti condivisi per posta, gestionale o banca.
• 2. Le password sono uniche e lunghe, generate da un gestore di password. Se non sai come costruirle, leggi come creare una password sicura.
• 3. La verifica in due passaggi è attiva su posta, banca, gestionale e cloud: ecco come attivarla.
• 4. I codici di recupero sono salvati su carta, fuori dal telefono.
• 5. Quando un collaboratore se ne va, gli accessi vengono disattivati lo stesso giorno.

Area 2: posta e truffe

• 6. Ogni cambio di IBAN o coordinate bancarie si verifica per telefono, a un numero già noto, mai rispondendo alla mail. È la regola raccomandata dalla Polizia Postale: vedi la truffa della fattura falsa.
• 7. Il dominio ha SPF, DKIM e DMARC: li verifichi con lo strumento di controllo del dominio e li spieghiamo in SPF, DKIM e DMARC spiegati semplice.
• 8. Le regole di inoltro e i filtri della casella principale sono stati controllati di recente.
• 9. Tutti sanno che SMS e telefonate "della banca" non si assecondano: leggi il finto operatore della banca e gli SMS truffa.

Area 3: dispositivi

• 10. Aggiornamenti automatici attivi su PC, telefoni, router e gestionale.
• 11. Blocco schermo con PIN o password su ogni dispositivo.
• 12. Utenti senza diritti di amministratore per l'uso quotidiano.
• 13. Nessun software piratato o scaricato da fonti non ufficiali. È una delle vie principali dei malware che rubano le password: vedi infostealer in azienda.
• 14. Un antivirus aggiornato (anche quello integrato in Windows) e controlli periodici.

Area 4: dati e backup

• 15. Backup regolare dei dati importanti su un supporto separato dalla rete.
• 16. Hai provato a ripristinare una copia almeno una volta.
• 17. Sai quali dati personali tratti (clienti, dipendenti, fornitori) e dove sono conservati.
• 18. Hai un'informativa privacy per clienti e sito web, aggiornata con un professionista di fiducia.

Area 5: esposizione e controllo periodico

• 19. Sai se i tuoi indirizzi email di lavoro compaiono in violazioni di dati o in registri di infostealer, e ripeti il controllo con regolarità.
• 20. Hai un piano per le prime ore di un incidente: chi chiami, quali password cambi per prime, chi avvisi (banca, Polizia Postale, professionista privacy).

Per la voce 19 puoi partire subito con tre strumenti gratuiti:

• il controllo password, che confronta una password con quelle note senza inviarla;
• il controllo della connessione, che lavora nel browser senza chiamare servizi di terzi;
• la scansione gratuita di un indirizzo email, per sapere se risulta in violazioni o in casi di infezione.

Sono strumenti di autovalutazione: ti dicono cosa è visibile dall'esterno, non sostituiscono antivirus, backup e buon senso.

Cosa fare per le voci in cui hai risposto no

Una priorità consigliata:

1. Voci 2 e 3 (password uniche e verifica in due passaggi) su posta e banca.
2. Voce 6 (procedura per i pagamenti).
3. Voci 10 e 15 (aggiornamenti e backup).
4. Voce 7 (dominio).
5. Le altre, nell'ordine che preferisci.

Due esempi: freelance e negozio

Un grafico freelance con due clienti fissi e un portatile, in un'ora, può fare questo: attivare la verifica in due passaggi su posta e banca (voce 3), importare le password nel gestore e cambiare le tre più importanti (voce 2), accendere gli aggiornamenti automatici (voce 10), copiare i progetti su un disco esterno scollegato (voce 15) e controllare il dominio del suo sito con lo strumento gratuito (voce 7). Non ha toccato altro, ma ha chiuso le porte più usate.

Un negozio con una cassa connessa e due dipendenti farà qualcosa di diverso: account separati per ogni persona (voce 1), accessi disattivati per chi lascia il lavoro (voce 5) e una regola, concordata con il commercialista, su chi può cambiare gli IBAN dei fornitori (voce 6). La checklist è la stessa, cambia l'ordine delle priorità.

Una nota sulla NIS2

La normativa NIS2, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, include le imprese medie e grandi di molti settori e, secondo l'ACN, anche le piccole e micro imprese "in alcuni casi". Se lavori per clienti soggetti alla norma, potrebbero chiederti requisiti di sicurezza nei contratti. Questa checklist non costituisce un percorso di conformità alla NIS2 e VINDICIS non rende conforme la tua attività: per capire se e come ti riguarda, verifica sul sito dell'ACN o rivolgiti a un professionista.

La parte che si dimentica: il controllo periodico

Le voci 1-18 sono azioni che fai una volta e poi mantieni. La voce 19 è diversa: il rischio cambia nel tempo, perché escono nuove violazioni e nuove infezioni. Ripetere il controllo ogni mese costa pochi minuti se è automatico.

Il piano mensile di VINDICIS per le attività (14,99 € al mese) ricontrolla fino a 10 indirizzi email aziendali verificati rispetto ai data breach noti e ai registri degli infostealer, valuta SPF, DKIM, DMARC e MTA-STS del dominio, include il controllo password e il toolkit GDPR. Ogni mese un report ti dice quali problemi risultano ancora aperti; se emerge qualcosa di grave e nuovo, ti avvisiamo subito. Il punteggio conta solo ciò che è ancora aperto: quando sistemi un problema e lo segni come risolto, scende. Dettagli nella pagina per PMI e partite IVA.

Domande frequenti

Quanto tempo serve per completare la checklist?

Circa un'ora per un primo giro, più il tempo per sistemare i "no". Poi basta un controllo breve ogni tanto, e il controllo mensile degli indirizzi email.

Questa checklist basta per essere a norma con il GDPR?

No. Riguarda soprattutto la sicurezza tecnica di base. Gli adempimenti GDPR (registro dei trattamenti, informative, nomine, ecc.) richiedono un professionista che conosca la tua attività.

Devo fare tutto subito?

No. Parti dalle voci su password, verifica in due passaggi e procedura per i pagamenti: sono quelle con il miglior rapporto tra impegno e protezione.

Vale anche per chi lavora da casa con il proprio PC?

Sì. Valgono le stesse regole, con attenzione extra a separare uso personale e di lavoro, ad aggiornare il router e a non condividere il dispositivo con altri.

Come tengo traccia di ciò che ho sistemato?

Segnati data e voce di ogni modifica. Con un controllo ricorrente puoi anche segnare come risolti i problemi già sistemati, in modo da vedere solo ciò che resta aperto.