Una policy di cybersecurity è un documento fondamentale che offre alla tua piccola azienda un modo chiaro per spiegare come i dipendenti devono proteggere i sistemi, gli account, i dispositivi aziendali e i dati digitali.

Trasforma la sicurezza da consigli sparsi in aspettative condivise rispondendo a domande quali quali pratiche sono consentite, cosa i dipendenti dovrebbero evitare, chi prende quali decisioni e cosa succede quando qualcosa va storto.

Questa guida ti offre un quadro pratico per scrivere o rivedere una Policy di sicurezza informatica per la tua piccola impresa. Puoi usarla come modello di partenza, adattare ogni sezione ai tuoi strumenti e rischi e connettere la Policy a controlli operativi che la rendono più facile da seguire.

Cos’è una Policy di sicurezza informatica?

Perché le piccole imprese hanno bisogno di una Policy di sicurezza informatica

Modello di Policy di sicurezza informatica: 9 sezioni principali

Perché le Policy di sicurezza IT per le aziende falliscono?

Come Proton Pass for Business supporta l’applicazione della Policy

Cos’è una Policy di sicurezza informatica?

Una Policy di sicurezza informatica è un documento scritto che definisce il modo in cui la tua azienda protegge informazioni, sistemi, dispositivi e account dalle minacce informatiche(nuova finestra). Dovrebbe spiegare cosa ci si aspetta che facciano i dipendenti e i collaboratori esterni, compresi manager e amministratori, nel lavoro quotidiano.

Una Policy efficace dovrebbe essere un punto di riferimento che le persone possano effettivamente utilizzare quando le decisioni non sono chiare. Dovrebbe rispondere a domande come:

  • Quali password e account necessitano di una protezione extra?
  • I dipendenti possono utilizzare dispositivi personali per il lavoro?
  • Dove devono essere archiviati i dati sensibili?
  • Chi può approvare l’accesso ai sistemi aziendali?
  • Cosa dovrebbe fare qualcuno se sospetta una violazione?
  • Ogni quanto tempo verrà rivista la Policy?
  • Cosa succede all’accesso quando qualcuno lascia l’azienda?

Per le PMI, la migliore Policy di sicurezza informatica è breve, chiara e sufficientemente specifica da eliminare ogni dubbio.

Perché le piccole imprese hanno bisogno di una Policy di sicurezza informatica

Una Policy di sicurezza informatica può aiutare la tua azienda in tre modi:

Stabilisce le aspettative: i dipendenti sanno cosa è consentito, cosa è richiesto e cosa necessita di approvazione.

Crea responsabilità: se l’accesso, i dispositivi, la gestione dei dati e la risposta agli incidenti hanno proprietari chiari, la sicurezza smette di dipendere dalla memoria dei singoli.

Supporta la conformità e la fiducia dei clienti: essere conformi alle normative sui dati come il GDPR richiede che la tua azienda elabori i dati personali in modo sicuro utilizzando misure tecniche e organizzative adeguate, tra cui l’analisi dei rischi, le politiche organizzative e le misure tecniche.

Una Policy scritta sulla sicurezza delle informazioni aiuta a mostrare che la tua azienda ha preso in considerazione tali responsabilità e ha creato controlli per ridurre i rischi.

Il report sulla sicurezza informatica delle PMI di Proton sottolinea perché questo sia importante per i team più piccoli: le PMI si trovano spesso ad affrontare reali rischi di sicurezza senza disporre delle stesse risorse delle grandi aziende. Una Policy pratica offre a questi team un modo per dare priorità alle nozioni di base e renderle ripetibili.

Modello di Policy di sicurezza informatica: 9 sezioni principali

Usa la seguente struttura come modello di Policy di sicurezza informatica. Non serve rendere ogni sezione eccessivamente lunga. L’obiettivo è definire la regola, assegnare la proprietà e spiegare come i dipendenti debbano applicarla.

1. Scopo e ambito della Policy

Inizia spiegando perché esiste la Policy e a chi si applica. Questa sezione previene un problema comune: il fatto che le persone pensino che la Policy si applichi solo ai “sistemi IT” o ai dipendenti a tempo pieno.

Testo del modello:

Questa Policy di sicurezza informatica definisce il modo in cui [Nome dell’azienda] protegge i sistemi, gli account, i dispositivi e i dati aziendali. Si applica a dipendenti, collaboratori esterni, lavoratori temporanei e terze parti che accedono alle informazioni o ai sistemi aziendali.

L’ambito di applicazione deve includere i dispositivi di proprietà dell’azienda, i servizi cloud approvati, gli account aziendali, gli ambienti di lavoro remoto, i dispositivi personali utilizzati per il lavoro e l’accesso dei fornitori.

2. Policy di utilizzo accettabile

La sezione sull’utilizzo accettabile spiega come i dipendenti possono utilizzare i sistemi e gli account aziendali.

Dovrebbe coprire:

  • Software e servizi aziendali approvati
  • Restrizioni su app o estensioni del browser non autorizzate
  • Regole per scaricare file e software
  • Utilizzo della email aziendale e della messaggistica
  • Uso personale dei dispositivi aziendali
  • Attività vietate, come la condivisione di account senza approvazione o l’elusione dei controlli di sicurezza

Mantieni questa sezione pratica. I dipendenti dovrebbero capire quali scelte quotidiane sono accettabili senza dover interpretare un linguaggio tecnico.

Testo del modello:

I dipendenti devono utilizzare sistemi aziendali approvati per il lavoro della società. Applicazioni non approvate, account di archiviazione personali ed estensioni del browser non autorizzate non devono essere utilizzati per archiviare, elaborare o condividere dati aziendali a meno che non siano approvati da [ruolo/team].

3. Requisiti di gestione delle password e degli accessi

È importante prendere in considerazione i controlli dell’amministratore. Una Policy può definire chi deve avere accesso, quando è richiesta l’autenticazione a due fattori (2FA) e come deve funzionare l’offboarding, ma i team hanno comunque bisogno di un modo operativo per applicare queste regole. Un gestore di password aziendale come Proton Pass for Business supporta questo aspetto attraverso il suo pannello di amministrazione, dove il tuo team può gestire l’accesso, applicare le Policy, rivedere le attività e ridurre la dipendenza dalla gestione informale delle password.

La tua Policy dovrebbe stabilire che:

  • Le password di lavoro devono essere uniche e complesse.
  • Le password non devono essere riutilizzate tra account aziendali e personali.
  • Le credenziali condivise non devono essere inviate tramite canali non approvati come email, chat, screenshot, ticket o documenti.
  • La 2FA dovrebbe essere attivata ovunque, a partire dagli account ad alto rischio.
  • L’accesso deve essere concesso in base al ruolo e alle esigenze aziendali.
  • L’accesso deve essere rimosso quando qualcuno cambia ruolo o lascia l’azienda.
  • Le eccezioni devono essere documentate, compresi i casi in cui non è ancora possibile attivare la 2FA, un account condiviso sia temporaneamente inevitabile, un fornitore necessiti di un accesso con privilegi elevati limitato nel tempo o un sistema legacy non possa soddisfare i requisiti standard di password o di accesso.

La guida di Proton alla creazione di una Policy sulle password può supportare questa sezione con maggiori dettagli sulle regole delle password, sulla condivisione, sulla gestione degli accessi e sull’autenticazione a due fattori.

Questo è anche il punto in cui la Policy ha bisogno di supporto operativo. Una regola che dice “usa password uniche” è debole se i dipendenti devono comunque creare e ricordare ogni password manualmente.

Un gestore di password aziendale come Proton Pass for Business aiuta i team a trasformare i requisiti delle password in pratica quotidiana: i dipendenti possono generare password complesse e uniche, memorizzarle in casseforti crittografate, utilizzare il riempimento automatico e condividere le password in modo sicuro invece di utilizzare canali non sicuri, il tutto in un’unica app.

Testo del modello:

Le password di lavoro devono essere uniche, complesse e archiviate nel gestore di password aziendale approvato. Le password non devono essere riutilizzate tra account personali e aziendali o condivise tramite email, chat, screenshot, ticket o documenti. L’autenticazione a più fattori deve essere attivata per gli account ad alto rischio e l’accesso deve essere concesso in base al ruolo e alle esigenze aziendali. Quando un dipendente, un collaboratore esterno o un fornitore non ha più bisogno di accedere, le autorizzazioni devono essere riviste e rimosse.

4. Classificazione e gestione dei dati

Una Policy di sicurezza informatica dovrebbe definire i tipi di informazioni gestiti dalla tua azienda e come ciascun tipo di informazioni debba essere protetto. Ecco tre livelli che una piccola impresa può utilizzare senza complicare le cose:

Pubblico: informazioni approvate per l’uso pubblico

Interno: informazioni aziendali destinate a dipendenti e collaboratori autorizzati che non sarebbe opportuno condividere all’esterno

Riservato: dati dei clienti, dati finanziari, credenziali, contratti, dati dei dipendenti o informazioni operative sensibili, qualsiasi cosa che possa causare danni in caso di perdita

Testo del modello:

Le informazioni riservate devono essere archiviate solo in sistemi approvati, condivise con persone autorizzate e protette da accessi non autorizzati. I dipendenti non devono archiviare dati aziendali riservati in account personali, documenti non gestiti o dispositivi non approvati.

5. Segnalazione degli incidenti e prima risposta

La tua Policy dovrebbe spiegare cosa devono fare i dipendenti quando identificano o sospettano una vulnerabilità. Non deve essere necessariamente un piano d’azione completo per gli incidenti, ma deve definire le prime azioni e le responsabilità.

Includi esempi come:

  • Avvisi di login sospetti
  • Dispositivi smarriti o rubati
  • Email di phishing
  • Condivisione accidentale di dati
  • Avvisi di malware
  • Attività insolite dell’account
  • Accesso non autorizzato a documenti o sistemi

Usa la guida di Proton alla prevenzione delle violazioni dei dati per le aziende per ulteriori indicazioni su come ridurre il rischio di violazione prima che si verifichi un incidente.

Testo del modello:

I dipendenti devono segnalare immediatamente i sospetti incidenti di sicurezza a [ruolo/team/contatto]. I dipendenti non devono eliminare le prove, reimpostare i sistemi interessati o comunicare all’esterno in merito a un incidente, a meno che non sia stato loro istruito dal responsabile dell’incidente.

6. Lavoro remoto e regole BYOD (Bring Your Own Device)

Il lavoro remoto e i dispositivi personali all’interno della tua rete aziendale possono creare rischi non necessari se non gestiti correttamente. La tua Policy di sicurezza informatica dovrebbe spiegare se i dipendenti possono utilizzare dispositivi personali, quali requisiti di sicurezza si applicano (como la sicurezza BYOD) e cosa succede se un dispositivo viene smarrito o qualcuno lascia l’azienda.

Includi:

Le guide di Proton sulla Policy di lavoro remoto e sulla Policy BYOD possono supportare questa sezione con regole più dettagliate per i team distribuiti e i dispositivi di proprietà dei dipendenti.

Testo del modello:

I dipendenti possono accedere ai sistemi aziendali solo da dispositivi approvati che soddisfano i requisiti di sicurezza. I dispositivi smarriti o rubati devono essere segnalati immediatamente. I dati aziendali non devono essere archiviati in account cloud personali o in applicazioni non gestite.

7. Accesso dei fornitori di terze parti

Le piccole imprese si affidano spesso ad agenzie, collaboratori esterni, fornitori di software, commercialisti, consulenti e fornitori di servizi gestiti. L’accesso dei fornitori non dovrebbe mai essere trattato con leggerezza, poiché può creare una backdoor che la tua azienda non controlla del tutto.€

Un gestore di password aziendale può contribuire a rendere tale controllo più pratico, aiutando i team a mantenere le credenziali dei fornitori delimitate, monitorate e facili da revocare al termine di una collaborazione.

La tua Policy dovrebbe definire:

  • Chi può approvare l’accesso dei fornitori
  • A quali sistemi possono accedere i fornitori
  • Se gli account dei fornitori devono essere individuali o condivisi
  • Quanto dura l’accesso
  • Ogni quanto tempo viene controllato l’accesso dei fornitori
  • Come vengono determinate le autorizzazioni minime per ciascun fornitore
  • Cosa succede al termine di un contratto

Questa sezione supporta anche la sicurezza della catena di approvvigionamento. I 10 passaggi dell’NCSC(nuova finestra) la includono come area chiave per la gestione del rischio informatico, il che è particolarmente rilevante per le piccole imprese che esternalizzano parti dell’IT, della finanza, del marketing o delle operazioni.

Testo del modello:

L’accesso di terze parti deve essere approvato da [ruolo/team], limitato ai sistemi necessari per il lavoro e rivisto al termine della collaborazione. L’accesso del fornitore deve essere rimosso quando non è più necessario.

8. Requisiti di formazione dei dipendenti

Una Policy di sicurezza informatica non funzionerà se le persone la vedono solo durante l’onboarding. Una regolare formazione sulla sensibilizzazione alla sicurezza garantisce che la tua Policy sia sempre seguita.€

La tua Policy dovrebbe spiegare:

  • Quando i dipendenti ricevono formazione sulla sicurezza
  • Quali argomenti copre la formazione
  • Ogni quanto tempo avvengono i corsi di aggiornamento
  • Chi deve completare la formazione
  • Come vengono comunicati i nuovi rischi o le modifiche alla Policy

Gli argomenti della formazione possono includere il phishing, la gestione delle password, la 2FA, la condivisione sicura dei file, la gestione dei dati, il lavoro remoto, la sicurezza dei dispositivi e la segnalazione degli incidenti.

Mantieni la formazione breve e pratica. Una Policy sintetica di cinque pagine con una checklist supportata da brevi esempi è solitamente più utile di un documento prolisso e sovraccarico di 40 pagine.

Testo del modello:

I dipendenti devono completare la formazione sulla sicurezza informatica durante l’onboarding e almeno [annualmente/due volte l’anno]. La formazione coprirà la sicurezza delle password, il phishing, la gestione dei dati, la sicurezza dei dispositivi e la segnalazione degli incidenti.

9. Frequenza di revisione della Policy

Una Policy di sicurezza informatica dovrebbe cambiare con il mutare dell’azienda. Nuovi sistemi, modelli di lavoro remoto, fornitori, normative e incidenti possono rendere incomplete le vecchie regole.

Definisci:

  • Ogni quanto tempo viene rivista la Policy
  • Un responsabile per la revisione della Policy di sicurezza informatica
  • Come vengono approvate le modifiche
  • Come vengono comunicati gli aggiornamenti
  • Cosa innesca una revisione straordinaria

Testo del modello:

Questa Policy sarà rivista ogni [sei o 12 mesi] da [responsabile]. Deve essere rivista anche a seguito di un grave incidente di sicurezza, di modifiche significative del sistema, di aggiornamenti normativi o di variazioni sostanziali delle operazioni aziendali

Perché le Policy di sicurezza IT per le aziende falliscono?

La maggior parte delle Policy di sicurezza informatica fallisce per motivi pratici:

La Policy è troppo lunga: una Policy di sicurezza informatica per piccole imprese non dovrebbe cercare di coprire ogni possibile scenario. Se diventa troppo lunga, i dipendenti smettono di usarla. Mantienila concisa e inserisci link a procedure più approfondite laddove necessario.

Il linguaggio è troppo tecnico: i dipendenti non dovrebbero avere un background in sicurezza per seguire le linee guida sulla sicurezza informatica aziendale. Usa un linguaggio semplice e sostituisci i termini tecnici con spiegazioni quotidiane, ove possibile.

La Policy viene presentata solo durante l’onboarding: se la Policy viene menzionata solo una volta durante l’onboarding, non influenzerà il comportamento quotidiano. Rafforzala attraverso corsi di formazione, promemoria, guide di riferimento rapido e aggiornamenti quando i processi cambiano.

La Policy non viene mai rivista: una Policy scritta due anni fa potrebbe non riflettere i sistemi attuali, le pratiche di lavoro remoto, l’accesso dei fornitori o le aspettative normative. Rivedila regolarmente.

La Policy non viene applicata: questo è il motivo più comune di fallimento. Una Policy può stabilire che le password debbano essere archiviate in modo sicuro, che la 2FA debba essere attivata o che l’accesso dei fornitori debba essere rimosso, ma queste regole non contano se nessuno le monitora. Applicazione significa assegnare dei responsabili, utilizzare i controlli dell’amministratore laddove disponibili, rivedere le eccezioni e rendere il comportamento sicuro più semplice della scorciatoia.

Per la gestione delle password e degli accessi, Proton Pass for Business può aiutare a supportare l’applicazione della Policy a livello operativo. Offre ai team casseforti crittografate, condivisione sicura, generazione di password e visibilità per l’amministratore, in modo che la tua azienda non si affidi solo alla teoria. Gli amministratori possono anche monitorare lo stato di integrità della password, il riutilizzo delle credenziali e l’esposizione alle violazioni del dark web in tutta l’organizzazione in modo sicuro, senza conoscere le password dei dipendenti.

Come Proton Pass for Business supporta l’applicazione della Policy

Una Policy di sicurezza informatica è utile solo se l’azienda può metterla in pratica. Le regole relative a password e accessi sono un buon esempio. Puoi scrivere che le password devono essere uniche, condivise in modo sicuro e rimosse quando le persone lasciano l’azienda. Ma se i dipendenti utilizzano ancora browser, fogli di calcolo, messaggi di chat o note personali, la Policy è facile da ignorare.

Proton Pass for Business offre ai dipendenti un modo sicuro per generare, archiviare, compilare automaticamente e condividere credenziali, offrendo al contempo agli amministratori una migliore visibilità su come viene gestito l’accesso. Ciò rende più facile seguire la sezione relativa alla gestione delle password e degli accessi della tua Policy.

Per le piccole imprese, il vantaggio è pratico. Non ti serve un grande team di sicurezza per iniziare a migliorare l’igiene delle credenziali. Un gestore di password aziendale offre al tuo team un luogo centrale per le credenziali di lavoro, supporta una collaborazione più sicura e aiuta a ridurre il rischio di riutilizzo delle password o di condivisione non controllata.

Il controllo degli accessi è uno dei punti più pratici per tradurre la Policy in azione. Quando le credenziali sono più facili da generare, archiviare, condividere e revocare in modo sicuro, è meno probabile che i dipendenti si affidino a scappatoie non sicure. Inoltre, i manager ottengono un modo più chiaro per supportare i requisiti di password e accessi nelle operazioni quotidiane.

Fai rispettare la tua Policy di sicurezza informatica con un gestore di password aziendale sicuro come Proton Pass for Business.