Cybersecurity per studi legali e commercialisti: obblighi e soluzioni 2026

Nel 2024 lo studio di un avvocato milanese si è ritrovato con tutti i fascicoli dei propri clienti cifrati da un ransomware. Stessa cosa, qualche mese dopo, è successa a uno studio di commercialisti del Veneto. Nessuno dei due episodi è finito sui giornali — la riservatezza degli studi professionali italiani è una delle ragioni per cui questi casi restano sotto traccia — ma nel settore se ne parla sempre più spesso. Le compagnie assicurative che vendono polizze cyber agli studi professionali hanno registrato un’impennata di richieste di indennizzo, e i Consigli degli Ordini hanno iniziato a pubblicare linee guida specifiche.

Il punto è semplice: studi legali e commercialisti gestiscono dati di altissimo valore. Cause civili e penali, contenziosi, dichiarazioni dei redditi di centinaia di clienti, dati bancari, contratti riservati, documentazione fiscale. Sono dati che, finiti nelle mani sbagliate, valgono molto sul dark web e che, persi o pubblicati, espongono lo studio a richieste di risarcimento dei clienti, a procedimenti disciplinari dell’Ordine, a sanzioni del Garante Privacy. Eppure, nella maggior parte degli studi italiani, la protezione informatica si ferma a un antivirus e a un backup periodico.

In questa guida vediamo perché studi legali e commercialisti sono diventati un bersaglio così attraente per gli attaccanti, quali obblighi normativi si applicano allo studio professionale (GDPR, NIS2 indiretta, ordinamenti professionali), quali sono le misure di sicurezza realmente efficaci per un’attività di queste dimensioni, e come strutturare la protezione senza dover diventare esperti di cybersecurity. Una guida per titolari di studio, soci e responsabili IT — quando ci sono.

1. Perché gli studi professionali sono un bersaglio
2. Le tipologie di attacco più frequenti contro gli studi
3. Gli obblighi normativi: GDPR, NIS2, deontologia
4. Cosa succede a uno studio colpito da un attacco
5. Le misure di sicurezza essenziali per uno studio
6. Gli errori più comuni che vediamo negli studi italiani
7. Affidarsi a un partner specializzato: cosa cercare
8. Cosa fare adesso, in pratica

Perché gli studi professionali sono un bersaglio

Per capire perché studi legali e commercialisti sono finiti nel mirino, conviene mettersi per un momento nei panni di chi attacca. I gruppi criminali che gestiscono ransomware e furti di dati operano con logica industriale: investono tempo solo dove il rapporto tra valore atteso e difficoltà dell’attacco è favorevole. Gli studi professionali italiani sono un caso da manuale.

Il primo motivo è il valore dei dati. Lo studio di un commercialista contiene le dichiarazioni fiscali e i bilanci di centinaia, talvolta migliaia di clienti. Significa numeri di conto, dati bancari, fatturati reali, situazioni patrimoniali, partecipazioni societarie. Per uno studio legale civilista la dinamica è simile: cause con richieste milionarie, accordi transattivi riservati, dati su patrimoni di clienti privati, contratti con clausole sensibili. Per uno studio penalista, addirittura, c’è il rischio di esposizione di informazioni che riguardano procedimenti in corso. Sono dati che hanno valore intrinseco sul dark web e che, soprattutto, valgono come leva di estorsione: la pressione sul professionista a pagare per evitare la pubblicazione è enorme.

Il secondo motivo è la bassa difesa relativa. Una grande azienda industriale ha un IT manager, un budget di sicurezza, spesso un consulente esterno. Uno studio professionale di medie dimensioni — quattro, cinque, dieci professionisti — raramente ha qualcosa di simile. Il “responsabile IT” è di solito un fornitore esterno che gestisce la rete e i computer, ma che non si occupa di cybersecurity in senso stretto. Il software gestionale è scelto in base alle funzionalità di fatturazione o di gestione fascicoli, non sulla base della robustezza di sicurezza. Le password sono spesso condivise tra collaboratori, il backup avviene sul NAS dell’ufficio (raggiungibile da chiunque entri in rete), l’accesso da remoto è gestito con VPN minimali o, peggio, con software di controllo remoto pubblici. Per un attaccante, è uno scenario molto più semplice da gestire di una banca o di un’azienda strutturata.

Il terzo motivo è la disponibilità a pagare. Quando uno studio professionale subisce un attacco e si trova con i dati cifrati o esfiltrati, le opzioni sono due: cercare di recuperare i dati e gestire la crisi accettando un periodo di blocco operativo, oppure pagare il riscatto. Per molti studi italiani, soprattutto quelli con clientela importante, l’idea di vedere pubblicati online i fascicoli dei propri clienti è inaccettabile. L’obbligo deontologico di riservatezza, la responsabilità civile verso i clienti, il rischio di procedimenti disciplinari: tutto spinge a pagare. I gruppi criminali lo sanno, e mirano gli attacchi anche in base a questo profilo psicologico.

C’è infine un elemento che pochi considerano: gli studi professionali sono porte di ingresso verso bersagli più grandi. Un commercialista che lavora per cento aziende è, di fatto, un punto di accesso alle informazioni finanziarie di quelle cento aziende. Uno studio legale che assiste un grande gruppo industriale ha sul proprio server documenti che varrebbero milioni se sottratti dall’azienda direttamente. Per gli attaccanti più sofisticati, lo studio professionale è il “tassello debole” della catena, e violarlo serve a colpire altri obiettivi a valle.

Le tipologie di attacco più frequenti contro gli studi

Non tutti gli attacchi colpiscono gli studi nello stesso modo. Le casistiche che ricorrono nei casi italiani documentati e nelle segnalazioni delle compagnie assicurative cyber sono cinque, con frequenze diverse, e vale la pena conoscerle perché ciascuna ha una contromisura specifica.

Il primo, il più diffuso, è il phishing mirato. Lo studio riceve un’email che sembra provenire da un cliente, dall’Agenzia delle Entrate, da una Cancelleria di Tribunale, da una compagnia di assicurazioni. L’email contiene un allegato (una “fattura”, una “comunicazione ufficiale”, un “documento da firmare”) oppure un link a una pagina che chiede di inserire le credenziali del gestionale o della casella PEC. Una volta che il collaboratore ha aperto l’allegato o ha inserito le credenziali, l’attaccante ha accesso al sistema. È un attacco statisticamente vincente perché lo studio è abituato a ricevere documenti per email, e distinguere il vero dal falso richiede attenzione che durante una giornata di lavoro intensa non sempre c’è.

Il secondo è il ransomware classico. Una volta entrato (spesso proprio attraverso un phishing andato a buon fine, o attraverso una vulnerabilità non patchata su un dispositivo di rete), l’attaccante esplora la rete dello studio, individua i server con i fascicoli e i dati gestionali, e lancia la cifratura. Il messaggio di riscatto compare sui monitor lunedì mattina, e lo studio si trova senza accesso a nulla: né ai fascicoli, né alla contabilità, né alle email se gestite localmente. Per uno studio che ha cinquanta scadenze fiscali la settimana, è una catastrofe operativa.

Il terzo è la frode del bonifico, tecnicamente chiamata Business Email Compromise. L’attaccante non chiede un riscatto, ma usa l’accesso alla casella email di un socio o del titolare dello studio per intercettare comunicazioni con clienti. Quando vede che sta per essere chiusa una transazione importante — pagamento di una causa, distribuzione di un patrimonio, saldo di una fattura significativa — invia al cliente un’email apparentemente identica a quella dello studio, con coordinate bancarie diverse. Il cliente paga, lo studio non vede arrivare il denaro, e quando ci si accorge della frode il bonifico è già stato distratto su conti esteri. È una truffa che ha colpito molti studi italiani negli ultimi anni, con perdite per i clienti che spesso si ripercuotono in responsabilità civile dello studio.

Il quarto è il furto di credenziali tramite infostealer. Lo studio non subisce un attacco diretto: uno dei collaboratori, sul proprio PC personale o sul portatile di lavoro, ha scaricato per errore un malware (infostealer) che ruba in silenzio tutte le credenziali salvate nel browser. Da quel momento, l’attaccante ha le credenziali di accesso al gestionale dello studio, alla PEC, eventualmente all’home banking. Lo studio non si accorge di nulla finché qualcosa non va storto: un accesso anomalo, un’operazione non riconosciuta, un cliente che chiama dicendo di aver ricevuto un’email strana dallo studio.

Il quinto, meno frequente ma in crescita, è l’attacco mirato per furto di documenti. Quando uno studio gestisce dossier ad alto valore — operazioni straordinarie, fusioni, contenziosi miliardari, casi mediatici — può diventare bersaglio di attacchi commissionati da parti interessate al contenuto dei fascicoli. È un livello di minaccia diverso, normalmente associato a gruppi APT (Advanced Persistent Threat), che richiede difese di livello enterprise. Capita raramente, ma quando capita ha conseguenze devastanti per lo studio coinvolto.

In tutti questi scenari, il denominatore comune è semplice: nessuno di questi attacchi richiede capacità tecniche sofisticate da parte dell’attaccante. Sono attacchi industrializzati, eseguiti con strumenti pronti, automatizzati dove possibile. Il fatto che siano “banali” tecnicamente non li rende meno pericolosi: anzi, li rende ubiqui, e li mette alla portata di una platea molto ampia di criminali informatici.

Gli obblighi normativi: GDPR, NIS2, deontologia

Una domanda che molti titolari di studio si pongono è se ci siano obblighi normativi specifici in materia di cybersecurity, oltre alle indicazioni generali del GDPR. La risposta è articolata e merita di essere capita bene, perché la combinazione di più fonti normative rende la posizione degli studi professionali più esposta di quanto sembri a una lettura superficiale.

Il primo riferimento è il GDPR (Regolamento UE 2016/679). Studi legali e commercialisti sono titolari del trattamento dei dati personali dei propri clienti, e in questa veste hanno una serie di obblighi precisi: implementare misure tecniche e organizzative adeguate alla tutela dei dati, valutare e gestire i rischi, notificare al Garante eventuali violazioni entro 72 ore dall’identificazione, comunicare la violazione agli interessati quando il rischio per i loro diritti è elevato. Lo studio che subisce un attacco ransomware con esfiltrazione di dati dei clienti è, sotto GDPR, formalmente in una situazione di data breach, con tutti gli obblighi che ne conseguono. Le sanzioni del Garante per violazioni gravi del GDPR arrivano fino a 20 milioni di euro o al 4% del fatturato globale, e anche se per la maggior parte degli studi italiani le cifre concrete sono molto più basse, il dato pubblico delle decisioni del Garante mostra sanzioni a sei zeri per casi che riguardano professionisti.

Il secondo è la NIS2 indiretta. Gli studi professionali in sé non rientrano direttamente nel perimetro NIS2: la direttiva si applica a soggetti essenziali e importanti definiti per settore. Ma c’è un meccanismo che molti studi non hanno ancora capito. Le aziende che rientrano nel perimetro NIS2 hanno l’obbligo di garantire la sicurezza della propria catena di fornitura: significa che chiedono ai propri fornitori — e uno studio legale o un commercialista che lavora per un’azienda NIS2-obbligata è un fornitore — di dimostrare misure di sicurezza adeguate. In pratica, lo studio che assiste aziende del manifatturiero, della sanità, dell’energia o della pubblica amministrazione si trova sempre più spesso a ricevere richieste di audit, questionari di sicurezza, clausole contrattuali che impongono livelli di protezione specifici. Chi non risponde adeguatamente rischia di perdere il cliente.

Il terzo è la deontologia professionale. I codici deontologici di avvocati e commercialisti impongono l’obbligo di riservatezza sui dati dei clienti come obbligo fondamentale della professione. Una violazione di dati che esponga informazioni dei clienti non è solo una questione tecnica: può tradursi in un procedimento disciplinare davanti al Consiglio dell’Ordine, con sanzioni che vanno dall’avvertimento alla sospensione, fino alla radiazione nei casi più gravi. La giurisprudenza disciplinare in materia di sicurezza informatica è ancora limitata in Italia, ma i Consigli degli Ordini hanno iniziato a pubblicare raccomandazioni esplicite, e nei prossimi anni è prevedibile un irrigidimento.

C’è poi un quarto profilo, spesso ignorato: la responsabilità civile professionale. Un cliente i cui dati siano stati esfiltrati e pubblicati a causa di un attacco subito dallo studio può rivalersi sullo studio per i danni subiti — danno reputazionale, danno patrimoniale se l’esposizione ha danneggiato la sua attività, danno non patrimoniale per la violazione della privacy. Le polizze di responsabilità civile professionale dei professionisti italiani non sempre coprono questo tipo di danni in modo automatico, e i rinnovi delle polizze stanno iniziando a richiedere requisiti minimi di cybersecurity per accordare la copertura.

Sommando i quattro profili — GDPR, NIS2 indiretta, deontologia, responsabilità civile — emerge un quadro che pochi studi italiani hanno ancora messo a fuoco: la sicurezza informatica non è più un tema discrezionale, è un obbligo professionale a tutti gli effetti. Lo studio che oggi non ha implementato misure adeguate sta accumulando rischio su quattro fronti diversi contemporaneamente, e il primo incidente serio attiva tutti e quattro insieme.

Cosa succede a uno studio colpito da un attacco

La teoria delle conseguenze è una cosa. La realtà di quello che accade a uno studio colpito è un’altra. Ricostruendo i casi italiani documentati e le esperienze raccontate dalle compagnie assicurative, lo schema tipico delle prime settimane dopo un attacco a uno studio professionale è abbastanza riconoscibile.

Le prime 24-48 ore sono dominate dal panico e dall’improvvisazione. La mattina i collaboratori arrivano in studio e i computer non funzionano, oppure c’è un messaggio di riscatto, oppure il software gestionale non apre i fascicoli. Il titolare chiama il fornitore IT che ha sempre seguito lo studio, e che spesso non ha mai gestito un incidente di questa portata. Si tenta di “spegnere e riaccendere”, si peggiora la situazione, si scopre che i backup non funzionano o sono cifrati anche loro. A questo punto, in genere intorno al primo pomeriggio del primo giorno, si chiama qualcuno che si occupa specificamente di incident response. Spesso si scopre che il preventivo per l’intervento d’urgenza è di alcune decine di migliaia di euro, da pagare subito.

La prima settimana è la settimana del blocco operativo. Lo studio non può svolgere il proprio lavoro normale: non si possono aprire fascicoli, non si possono preparare atti, non si possono inviare comunicazioni ai clienti, non si possono pagare gli F24. Le scadenze in corso — per uno studio di commercialisti questo è particolarmente critico nei periodi di chiusura fiscale — devono essere gestite “a memoria” o rimandate. I clienti che chiamano per chiedere lo stato delle proprie pratiche non possono ricevere risposta. Lo studio perde immediatamente in produttività, e ogni giorno che passa peggiora la situazione.

In parallelo, va aperto il fronte legale e normativo. Va valutata la notifica al Garante entro 72 ore, decisione che richiede una valutazione formale del breach e che difficilmente lo studio può fare in autonomia. Vanno informati i clienti i cui dati sono stati esposti, una comunicazione delicatissima da preparare in modo da non amplificare il danno reputazionale. Va valutata la posizione verso l’Ordine professionale e verso l’assicurazione di responsabilità professionale. Sono attività che richiedono un avvocato esperto in materia di privacy e cybersecurity — costo aggiuntivo significativo.

Le prime settimane successive sono dedicate al recupero operativo e alla gestione del danno. Se il riscatto non è stato pagato (e nella maggior parte dei casi seri non andrebbe pagato), bisogna ricostruire i dati da backup parziali, ricostruire le configurazioni dei software, reinstallare i sistemi compromessi. Se i dati sono stati pubblicati sul dark web, lo studio deve gestire la comunicazione con i clienti che si trovano con le proprie informazioni online, una conversazione che incrina inevitabilmente il rapporto fiduciario. Alcuni clienti cambiano studio, soprattutto quelli più strutturati che hanno politiche interne sulla scelta dei fornitori in base alla sicurezza dei dati.

I mesi successivi sono dedicati al recupero della reputazione. Se l’episodio diventa pubblico — e nel mondo professionale italiano le voci girano molto — lo studio si trova in una situazione difficile per acquisire nuovi clienti. Le compagnie assicurative che vendono polizze cyber richiedono il versamento del premio aumentato o, in alcuni casi, rifiutano il rinnovo. I clienti business che lavorano con grandi aziende possono ricevere richieste di sostituzione del consulente da parte dei loro propri clienti.

Sommando tutto, il costo complessivo di un attacco serio a uno studio professionale italiano si colloca facilmente tra i 50.000 e i 500.000 euro, e in alcuni casi documentati ha superato il milione. È una cifra che molti studi non riescono ad assorbire, e che nei casi più gravi si traduce nello scioglimento dello studio o nell’uscita di qualche socio.

Le misure di sicurezza essenziali per uno studio

A questo punto la domanda diventa operativa: cosa serve davvero per proteggere uno studio professionale? La buona notizia è che, per uno studio di dimensioni medio-piccole, le misure realmente efficaci sono poche, mirate e gestibili. Non serve diventare una banca: servono i fondamentali, fatti bene.

La prima misura è l’autenticazione a più fattori su tutti gli account critici: PEC, gestionale dello studio, home banking, accesso alla casella email, accesso da remoto al server dello studio. È la singola misura che, da sola, blocca la maggior parte degli attacchi basati su credenziali rubate, ed è praticamente gratuita da implementare. Eppure, in molti studi italiani, l’MFA è attiva solo sull’home banking perché lo impone la banca, mentre tutto il resto resta con la sola password.

La seconda è il backup strutturato e testato. Non basta avere “un backup”: serve un backup che sia conservato offline (cioè non raggiungibile dalla rete dello studio in modo continuativo), che venga testato regolarmente per verificare che i dati siano effettivamente recuperabili, e che copra tutti gli ambienti critici (gestionale, fascicoli, posta elettronica, configurazioni). Un backup che vive sul NAS della stanza accanto, accessibile da chiunque sia connesso alla rete, in caso di ransomware viene cifrato esattamente come tutto il resto.

La terza è una protezione degli endpoint moderna. L’antivirus tradizionale, che riconosce i malware sulla base di firme conosciute, è ormai inadeguato contro le minacce attuali. Serve un sistema di EDR (Endpoint Detection and Response) che rilevi i comportamenti anomali — un processo che cifra centinaia di file in pochi secondi, una connessione verso un IP sconosciuto, un’esecuzione di comandi PowerShell strani — e blocchi l’attacco prima che si propaghi. Per uno studio è un servizio che costa relativamente poco e che cambia drasticamente il livello di protezione.

La quarta è la gestione della posta elettronica. La maggior parte degli attacchi entra dall’email, quindi serve un filtro antispam e antiphishing robusto, idealmente con scansione degli allegati e dei link, e con protezione contro lo spoofing del dominio dello studio (per evitare frodi del bonifico via BEC). Per gli studi che hanno la PEC come canale operativo principale verso i clienti, va valutata anche la protezione specifica della PEC.

La quinta è la formazione del personale. Le persone restano l’anello determinante: nessuna tecnologia compensa un collaboratore che apre un allegato sospetto o clicca su un link malevolo. Una formazione strutturata sulla riconoscibilità di phishing e social engineering, idealmente accompagnata da simulazioni periodiche, riduce in modo significativo il rischio. Non serve un corso da otto ore una volta l’anno: meglio sessioni brevi e ricorrenti, con esempi concreti tratti da casi italiani.

La sesta è il controllo degli accessi. In molti studi, tutti i collaboratori hanno accesso a tutto: una segretaria può aprire i fascicoli più riservati, un praticante ha le stesse credenziali di un socio, gli account di chi ha lasciato lo studio mesi prima sono ancora attivi. Una pulizia periodica degli account, una segmentazione degli accessi in base al ruolo, e la disattivazione immediata degli account di chi non lavora più nello studio sono operazioni banali ma decisive.

Tutte queste misure, messe insieme, costituiscono quello che in gergo si chiama un livello di sicurezza “di base ma serio”. Per uno studio di medie dimensioni il costo annuale, gestito tramite un fornitore specializzato, è significativamente inferiore al costo medio di una sola giornata di lavoro persa dopo un attacco. È un calcolo che ogni titolare di studio dovrebbe fare almeno una volta.

Gli errori più comuni che vediamo negli studi italiani

Quando entriamo nello studio di un avvocato o di un commercialista per fare una valutazione di sicurezza, ci sono alcuni errori che ricorrono con frequenza imbarazzante. Non sono colpe dei professionisti — è semplicemente l’effetto del fatto che la cybersecurity non rientra nella formazione né nei controlli professionali di queste categorie. Vale la pena nominarli, per riconoscerli.

Il primo errore è pensare di essere troppo piccoli per essere attaccati. È convinzione diffusissima negli studi italiani: “perché mai dovrebbero attaccare noi, siamo solo uno studio di tre avvocati”. La risposta è che gli attacchi sono in larga parte automatizzati e non mirati: i criminali scansionano la rete a tappeto, individuano i sistemi vulnerabili, e attaccano chi capita. La dimensione dello studio non conta. E i pochi attacchi mirati, paradossalmente, sono attratti proprio dagli studi piccoli perché sono i più indifesi.

Il secondo è delegare tutto al fornitore IT senza verificare cosa fa davvero. Il fornitore che ha installato la rete dello studio cinque anni fa e che viene chiamato quando “il computer non funziona” non è automaticamente un fornitore di cybersecurity. Sono mestieri diversi. Molti studi pagano “un canone IT” all’anno convinti che includa la sicurezza, quando in realtà copre solo l’assistenza ordinaria. Verificare cosa contiene effettivamente il contratto con il proprio fornitore è il primo passo, e spesso la sorpresa non è piacevole.

Il terzo è il backup mai testato. Quasi tutti gli studi dicono di avere un backup. La maggior parte non lo ha mai testato. Il giorno dell’attacco si scopre che il backup era cifrato anche lui, oppure che mancava da settimane perché si era rotto silenziosamente, oppure che recuperare i dati richiede formati incompatibili. Un backup non testato è statisticamente un backup che non funziona. La verifica periodica è banale ma quasi nessuno la fa.

Il quarto è l’accesso da remoto improvvisato. Dopo il 2020, tutti gli studi hanno aperto l’accesso remoto ai propri sistemi: lavoro da casa, telematico, accesso ai gestionali da qualunque luogo. Il problema è che spesso quell’accesso è stato configurato in fretta, con strumenti generici (TeamViewer, AnyDesk, RDP esposto su internet), senza le protezioni necessarie. Un accesso remoto mal configurato è oggi il vettore d’attacco più sfruttato contro le piccole organizzazioni italiane, studi professionali in testa.

Il quinto è l’uso promiscuo dei dispositivi. Il portatile dello studio viene usato dai figli per i compiti, il PC personale del titolare viene collegato alla rete dello studio per scaricare un documento, le chiavette USB girano tra ufficio e casa. Sono pratiche che, in un’organizzazione strutturata, sarebbero impensabili. Negli studi sono la norma. Ogni dispositivo che entra in rete è un potenziale punto di ingresso, e ogni dispositivo che esce dallo studio è una potenziale via di esfiltrazione di dati.

Il sesto, infine, è la procrastinazione dell’aggiornamento dei sistemi. Sistemi operativi non più supportati (Windows 7, talvolta Windows XP ancora in giro su qualche PC), software gestionali in versione vecchia che “non si può aggiornare perché funziona così”, server con anni di patch arretrate. Ogni vulnerabilità non patchata è una porta aperta documentata pubblicamente, sfruttabile da chiunque con strumenti automatizzati. Mantenere i sistemi aggiornati è laborioso ma è una delle attività con il miglior rapporto costo-beneficio in assoluto.

Affidarsi a un partner specializzato: cosa cercare

Per la maggior parte degli studi italiani di dimensioni medio-piccole, gestire la cybersecurity internamente non è realistico. Le competenze richieste sono specialistiche, in continua evoluzione, e non rientrano nella formazione professionale né di un avvocato né di un commercialista. La scelta sensata è affidarsi a un partner specializzato che si occupi della parte tecnica, lasciando allo studio il proprio mestiere. Però non tutti i fornitori sono uguali, e scegliere il partner sbagliato è quasi peggio che non averne nessuno: dà un falso senso di sicurezza.

Il primo elemento da verificare è la specializzazione. C’è una differenza enorme tra un fornitore IT generalista — quello che installa le stampanti, configura le email, gestisce il NAS — e un fornitore di cybersecurity vero. Il primo lavora con un orizzonte di “far funzionare le cose”; il secondo lavora con un orizzonte di “proteggere dalle minacce”. Sono mestieri diversi che richiedono competenze, strumenti e processi diversi. Uno studio che si affida a un fornitore IT generalista per la sicurezza, pensando di aver coperto il tema, è in realtà esposto. Va chiesto esplicitamente cosa fa il fornitore in materia di sicurezza, quali certificazioni ha, quali strumenti utilizza, come gestisce gli incidenti.

Il secondo elemento è la presenza di un SOC.

Il Security Operations Center è la struttura che monitora i sistemi 24 ore su 24, rileva le anomalie, blocca gli attacchi nelle fasi iniziali. Per uno studio professionale, avere un SOC alle spalle significa che quando un attaccante si insedia nei sistemi (lo abbiamo visto: gli attacchi non sono istantanei, hanno fasi lunghe), qualcuno se ne accorge prima che il danno diventi irreversibile. Senza un SOC, gli strumenti di sicurezza generano allarmi che nessuno guarda, e l’attacco viene scoperto solo quando esplode. Va chiesto al potenziale partner se ha un SOC interno o se si appoggia a terzi, e in che modalità.

Il terzo elemento sono le certificazioni e l’esperienza documentata. Le certificazioni ISO 9001 e ISO 27001 sono la base per un fornitore che si occupa di sicurezza informatica: la prima certifica i processi di gestione della qualità, la seconda specificamente la gestione della sicurezza delle informazioni. Un fornitore che non ha queste certificazioni opera senza un framework di garanzia formale. A queste va aggiunta l’esperienza: quanti anni di attività, quanti clienti, quale tipologia di clienti (un fornitore che lavora solo con piccoli artigiani avrà difficoltà a gestire le specificità di uno studio professionale).

Il quarto è la presenza in Italia e la conoscenza del contesto normativo italiano. La cybersecurity per studi italiani non è solo tecnica: è normativa, deontologica, e in alcuni casi specifica del settore. Un fornitore italiano che conosce il Garante Privacy, l’ACN, gli ordini professionali e le dinamiche italiane di gestione degli incidenti è oggettivamente più adatto di un grande vendor internazionale che vende lo stesso prodotto in cinquanta paesi senza capire le specificità di ciascuno.

Onorato Informatica opera da oltre 20 anni nel mercato italiano della sicurezza informatica, con un SOC attivo 24 ore su 24 dalla sede di Mantova, certificazioni ISO 9001 e ISO 27001, e oltre 5.000 clienti tra cui numerosi studi professionali italiani. L’approccio che adottiamo con gli studi è quello consulenziale: prima un’analisi della situazione reale (infrastruttura, modalità di lavoro, livello di esposizione), poi un piano di intervento proporzionato alle dimensioni e alle esigenze dello studio, poi l’implementazione e il monitoraggio continuo. Non vendiamo “pacchetti standard” perché ogni studio ha caratteristiche diverse: il numero di postazioni, il tipo di gestionale, l’organizzazione del lavoro da remoto, la presenza di clienti aziendali con requisiti specifici.

Cosa fare adesso, in pratica

Se sei arrivato fino a qui, probabilmente stai facendo una valutazione: il mio studio è esposto, e in che misura? La risposta onesta è che, statisticamente, la stragrande maggioranza degli studi italiani è esposta più di quanto pensi. Non è un giudizio: è il dato che emerge sistematicamente quando si fanno analisi serie sul livello di protezione di studi medio-piccoli. La buona notizia è che mettersi in regola non è impossibile e non costa quanto si teme. Va però fatto con metodo.

Il primo passo è fare il punto. Senza un’analisi reale della situazione attuale — quali sistemi ci sono, come sono configurati, dove sono i dati, chi vi accede, come funziona il backup, quali sono le vulnerabilità note — qualunque intervento è alla cieca. L’analisi iniziale è un’attività breve (qualche giorno di lavoro) ma produce un quadro chiaro su cui costruire le decisioni successive. Molti studi che pensavano di essere “abbastanza protetti” scoprono in questa fase di avere vulnerabilità critiche di cui non erano consapevoli.

Il secondo passo è prioritizzare gli interventi. Non tutto va fatto insieme, e non tutto ha la stessa urgenza. L’autenticazione a più fattori sugli account critici e la verifica del backup vanno fatte entro pochi giorni: sono interventi che costano poco e che chiudono i rischi più grandi. La sostituzione dell’antivirus con un EDR moderno, la riconfigurazione dell’accesso remoto, la formazione del personale possono essere pianificati nelle settimane successive. Interventi più strutturali — segmentazione di rete, monitoraggio SOC, aggiornamento di sistemi obsoleti — possono entrare in un piano a 6-12 mesi.

Il terzo passo è formalizzare la postura. Significa avere documentazione scritta delle misure adottate, dei contratti con i fornitori, delle procedure di risposta agli incidenti, della formazione fatta. Per uno studio professionale questa documentazione è importante per tre motivi: dimostra la diligenza al Garante in caso di data breach, è richiesta dai clienti aziendali strutturati, e protegge il titolare dello studio in caso di responsabilità civile o disciplinare. Non serve un manuale di 200 pagine: serve un documento ordinato, coerente, aggiornato annualmente.

Il quarto passo, infine, è scegliere un partner di lungo periodo. La sicurezza informatica non è un progetto con una data di fine. Le minacce cambiano continuamente, i sistemi vanno aggiornati, le configurazioni vanno riviste, le persone vanno formate. Un partner stabile, che conosca lo studio e che lavori in continuità, è infinitamente più efficace di una serie di interventi puntuali fatti da fornitori diversi nel tempo. Per uno studio che voglia davvero proteggersi, la scelta del partner è una decisione strategica, non operativa.

Una considerazione finale. Negli ultimi anni, gli studi professionali italiani che si sono mossi prima — quelli che hanno strutturato la propria sicurezza prima di subire un incidente — non solo hanno evitato il danno, ma hanno iniziato a usarlo come vantaggio competitivo. Quando un cliente azienda chiede al proprio commercialista o al proprio avvocato come gestisce la sicurezza dei dati di studio, poter rispondere con un quadro strutturato — partner specializzato, SOC, certificazioni del fornitore, documentazione formale — è un differenziale concreto. Soprattutto verso clienti business di una certa dimensione, sta diventando un requisito di scelta. È un cambio di paradigma silenzioso ma molto reale.