Di recente è stato reso noto il Rapporto Clusit 2025, uno studio in merito alla sicurezza digitale focalizzato anche sul nostro Paese. Dal report è emerso che nel 2024 l’Italia ha subito il 10% degli attacchi gravi globali, pari all’1% del PIL mondiale.
Le piccole e medie imprese risulterebbero essere l’anello debole dell’ecosistema digitale italiano: meno protette e strutturate, spesso impreparate a rispondere a minacce sempre più sofisticate.
Il problema, in sostanza, è sia tecnico che culturale. Molte PMI ritengono che la cybersecurity riguardi solo le grandi aziende o i settori ad alto rischio, sottovalutando le conseguenze economiche e reputazionali anche di un singolo incidente. È per questo che si discute spesso di come rendere accessibile e scalabile questa esigenza, in modo da avvicinare anche le PMI, le quali sono sempre più spesso a contatto con aziende più grandi, divenendo quindi obbligate ad adeguarsi anche loro alla direttiva NIS2.
Un contesto fragile, dati alla mano
Il Rapporto Clusit è chiaro: il 79% degli attacchi nel 2024 ha avuto impatti gravi o critici. Il malware rappresenta il 40% dei casi, con una crescita del ransomware che ha colpito indistintamente aziende di ogni dimensione. I vettori principali restano phishing, vulnerabilità note e assenza di protezioni di base. A questo si aggiunge l’utilizzo sempre più aggressivo dell’intelligenza artificiale da parte dei cybercriminali per automatizzare attacchi su larga scala.
Le PMI italiane, pur essendo la spina dorsale dell’economia nazionale, faticano a investire in misure strutturate. E sempre secondo il Clusit, l’Italia destina solo lo 0,12% del PIL alla cybersecurity, contro lo 0,3% di Regno Unito e Stati Uniti. Il risultato è un divario crescente nella capacità di difendersi.
In molte realtà manca una figura responsabile della sicurezza informatica, non c’è formazione, e spesso si usano piattaforme o CMS senza aggiornamenti o controlli sistematici.
5 consigli preziosi anti hacker
Per capire meglio come affrontare queste sfide, abbiamo intervistato Stefano Contili, esperto in cybersicurezza e cofondatore di Sito Web Sicuro: ecco cosa abbiamo ricavato dalle informazioni che ci ha fornito.
Pensare di non essere un bersaglio è il primo errore. I dati mostrano che la maggior parte degli attacchi non è mirata, ma sfrutta automatismi che scansionano migliaia di siti alla ricerca di falle comuni. A farne le spese sono spesso realtà che non dispongono di competenze interne e non hanno implementato soluzioni base come configurazioni firewall, backup automatici o sistemi di rilevamento precoce.
Uno degli strumenti più efficaci in questo ambito è il monitoraggio proattivo dei CMS più diffusi. Ad esempio, molte PMI italiane usano WordPress senza sapere se i plugin possono essere vulnerabili o se il tema presenta falle note. Un valido aiuto, a tal proposito, è WordPress Scanner tool che permette di analizzare rapidamente lo stato di sicurezza segnalando criticità e suggerendo interventi.
La prevenzione, anche minima, riduce drasticamente la superficie di attacco. A volte basta disabilitare una funzione non necessaria, proteggere una directory o aggiornare una libreria per evitare conseguenze molto più gravi.
Per prevenire attacchi informatici in una piccola o media impresa il punto di partenza resta in ogni caso effettuare regolarmente un Vulnerability Assessment, ovvero una scansione approfondita di sistemi, reti e applicazioni per individuare tempestivamente eventuali punti deboli. Questo consente di intervenire subito con aggiornamenti, patch e modifiche alla configurazione, riducendo il rischio di intrusioni e assicurando la continuità operativa.
In parallelo, è importante adottare una protezione multi-livello e criptare le comunicazioni, integrando firewall, sistemi IDS/IPS e attivando protocolli sicuri come HTTPS e TLS per siti web, e-mail e API. Una rete difensiva stratificata protegge i dati in transito da attacchi man-in-the-middle e previene accessi non autorizzati.
Infine, occorre puntare sulla formazione sulla sicurezza e sulla sensibilizzazione del personale, organizzando corsi periodici per aiutare i dipendenti a riconoscere tentativi di phishing e ingegneria sociale, e a gestire correttamente password e autorizzazioni. Questi interventi contribuiscono a creare una cultura della sicurezza in azienda, trasformando ogni collaboratore in una prima linea di difesa e aumentando complessivamente la resilienza e la protezione delle informazioni aziendali.
Dalla consapevolezza all’azione
Il concetto di sicurezza deve uscire dalla logica del danno e diventare un fattore abilitante. Una PMI più sicura lavora meglio, è più affidabile per clienti e partner, ed è meno esposta a interruzioni o crisi reputazionali.
Le PMI non hanno bisogno di diventare esperte in sicurezza, ma di scegliere strumenti giusti e affidarsi a soluzioni semplici da capire e applicare, senza necessariamente sostenere dei costi elevati ma piuttosto utilizzando piani SaaS ricorrenti per mantenere il sito web aggiornato e adeguarsi alle più recenti normative vigenti in maniera automatizzata.
