Una piccola associazione può non avere un reparto informatico, ma gestisce comunque dati, donazioni, documenti e comunicazioni. La sicurezza deve quindi essere semplice, assegnata e ripetibile.
Inventario minimo
Il primo passo è elencare account, dispositivi e servizi essenziali con il relativo responsabile. L’inventario non deve contenere password, ma indicare chi amministra e come si recupera l’accesso.
Anche i servizi gratuiti vanno inclusi: una casella condivisa o un account social possono essere canali critici.
Accessi individuali
Le credenziali condivise rendono difficile capire chi ha compiuto un’azione e come revocare un accesso. Account individuali e MFA offrono una base più solida.
Quando una persona lascia il ruolo, la procedura di uscita deve revocare accessi e trasferire la proprietà dei documenti senza copiare dati su account personali.
Backup e fornitori
Chiedi al fornitore cosa copia, per quanto tempo e come avviene il ripristino. Una promessa generica di cloud non risponde a queste domande.
L’associazione deve conservare una copia appropriata dei documenti essenziali e provare a recuperarla, verificando anche i tempi.
Un incidente, una procedura
Definisci chi riceve la segnalazione, chi può isolare un dispositivo e chi comunica all’esterno. Il primo messaggio non deve diffondere dati personali o attribuzioni non verificate.
Dopo la ripresa, una breve revisione aiuta a correggere la causa e a non trasformare l’incidente in un segreto organizzativo.
Piano essenziale in 30 giorni
- Giorni 1-5: inventario di account amministrativi, dispositivi, dati e fornitori.
- Giorni 6-10: MFA, ruoli minimi, rimozione account inutilizzati e protezione del recupero.
- Giorni 11-15: aggiornamenti e backup separato con ripristino campione.
- Giorni 16-20: contatti per incidenti, doppia verifica dei pagamenti e procedura senza Internet.
- Giorni 21-30: esercitazione a tavolino, correzioni e calendario di manutenzione.
Questo percorso è una buona pratica proporzionata, non una dichiarazione di conformità NIS o GDPR. Gli obblighi dipendono dal soggetto e dal trattamento. Per i soggetti NIS il riferimento nazionale è il D.Lgs. 138/2024 (si apre in una nuova scheda) e gli atti pubblicati da ACN.
La prima ora dopo un sospetto incidente
- Annotare ora, dispositivo e segnali osservati. Non rilanciare il messaggio sospetto e non cancellare subito tracce utili.
- Avvisare il referente incaricato con un canale noto. Se l’account di posta è compromesso, non usarlo per coordinare la risposta.
- Isolare il dispositivo se la procedura lo prevede. Spegnere o resettare senza criterio può ostacolare l’analisi e il recupero.
- Proteggere gli accessi da un dispositivo ritenuto affidabile. Revocare sessioni e token quando necessario, conservando un registro delle azioni.
- Valutare dati, servizi e persone coinvolte. Notifiche privacy o segnalazioni alle autorità dipendono dal caso e non vanno né simulate né automaticamente escluse.
Prima dell’incidente servono un referente, un contatto tecnico esterno, copie offline dei recapiti e una procedura per fornitori ed ex volontari. All’uscita di una persona si revocano account, gruppi, chiavi e accessi condivisi, senza cancellare documenti che l’associazione deve conservare.
Fonti e riferimenti
- NIST — Cybersecurity Framework 2.0 (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale. - ACN — Direttiva NIS2 e recepimento nazionale (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale. - Garante per la protezione dei dati personali — Data breach (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale.
Nota editoriale
Questo approfondimento è un’analisi originale basata sulle fonti indicate. Non è un reportage dal luogo di un evento né una previsione di eventi futuri.
Versione semplice A2 · Sicurezza digitale per una piccola associazione
Una ODV può avere elenchi di volontari, fotografie, documenti e account social. Deve proteggerli con regole semplici e persone responsabili.
La sicurezza non è soltanto comprare un programma. Serve sapere quali dati ci sono, chi può vederli e cosa fare se qualcosa non funziona.
Le prime regole
- Usa un account personale per ogni volontario, quando il servizio lo permette.
- Attiva la verifica in più passaggi sugli account importanti.
- Installa gli aggiornamenti.
- Fai copie separate dei documenti e prova a recuperarle.
- Dai a ogni persona soltanto gli accessi che le servono.
Un esempio
Un volontario lascia l’associazione. Il referente toglie i suoi accessi a posta, gruppi e archivi. Controlla anche telefoni condivisi, chiavi e codici di recupero. I documenti che devono restare all’associazione non vengono cancellati.
Se sospetti un attacco
- Scrivi l’ora e ciò che hai visto.
- Avvisa il referente con un canale sicuro.
- Non inoltrare il messaggio sospetto.
- Segui la procedura per isolare il dispositivo. Non cancellare tutto subito.
- Valuta con persone competenti quali dati e servizi sono coinvolti.
Se l’account email è compromesso, non usarlo per organizzare la risposta. Le notifiche privacy dipendono dal caso: vanno valutate, non ignorate.
Controlla una volta al mese
Verifica amministratori, dispositivi, backup e recapiti del referente tecnico. Una prova di recupero vale più di una cartella che sembra completa.
Fonti e riferimenti
- NIST — Cybersecurity Framework 2.0 (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale. - ACN — Direttiva NIS2 e recepimento nazionale (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale. - Garante per la protezione dei dati personali — Data breach (si apre in una nuova scheda)
Fonte esterna ufficiale o istituzionale.
Nota sulla versione A2
Questo testo usa frasi più semplici. Mantiene le precauzioni essenziali ma non sostituisce l’analisi completa, le fonti o le procedure ufficiali.
