Cosa valutare prima di scegliere
Dominio autenticato e mittente riconoscibile
Un fornitore di sicurezza che spedisce da un dominio non autenticato fa il gioco dei truffatori. Pretendi la configurazione guidata di SPF, DKIM e DMARC sul tuo dominio, un mittente sempre uguale e link che puntano solo a indirizzi tuoi, senza accorciatori. Controlla anche che i collegamenti tracciati non vengano riscritti su un dominio estraneo: a un cliente prudente quell’indirizzo sembra esattamente un phishing.
Canali separati per avvisi e promozioni
Il bollettino su una falla attiva non deve essere accodato a un invito a un evento. Cerca la possibilità di usare flussi, domini o account distinti, con reputazioni indipendenti, e di decidere chi riceve gli avvisi senza passare dalla lista promozionale. Se un cliente si cancella dalle newsletter ma continua ad avere un contratto, gli avvisi legati al servizio devono comunque raggiungerlo: verifica con il DPO come lo documenti.
Destinatari diversi nello stesso cliente
Il titolare di un’impresa, il referente IT interno e il fornitore che gestisce i sistemi hanno bisogni opposti. Serve un campo ruolo per ogni contatto e la possibilità di mandare lo stesso avviso con due livelli di dettaglio: due righe senza gergo per chi decide, i passi tecnici per chi interviene. Se lo strumento non permette contenuti condizionali, sei costretto a duplicare ogni campagna a mano.
Registro di consegna conservato
Dopo un incidente può servire dimostrare a chi hai scritto, quando e con quale testo. Chiedi per quanto tempo lo strumento conserva i log di consegna e di rimbalzo (nei piani gratuiti spesso è molto poco), se puoi esportarli e se la cronologia resta consultabile dopo la chiusura dell’account. Conserva tu una copia dei testi inviati: un registro che scade dopo pochi giorni non basta a un cliente che chiede conto.
L’account email come bersaglio
Chi vende sicurezza è un obiettivo appetibile, e l’archivio dei contatti con i ruoli dei clienti vale oro per chi prepara un attacco. Verifica autenticazione a due fattori sull’account, permessi per utente, durata e rotazione delle chiavi di accesso e il registro delle esportazioni. Evita di condividere un unico accesso tra colleghi e consulenti esterni, e togli subito le chiavi di chi lascia il progetto.
Preparare l’avviso prima dell’incidente
Se l’incidente è tuo, il tempo si perde a decidere chi scrive e a chi. Tieni pronti modelli approvati, un elenco di referenti di emergenza esportato fuori dallo strumento e un canale alternativo se la posta fosse compromessa. Per i tempi e i contenuti di una comunicazione di violazione dei dati personali, confrontati in anticipo con il tuo DPO e con le indicazioni del Garante.
Domande frequenti
Come scrivo un bollettino su una vulnerabilità senza che sembri una réclame?
Struttura fissa in quattro blocchi: che cosa è successo, quali versioni o servizi sono coinvolti, che cosa deve fare il cliente oggi, dove verificare l’autenticità sul tuo sito. Niente aggettivi allarmistici e niente promessa di prodotto in coda: se hai un servizio che aiuta, citalo in una riga a fondo pagina e solo dopo la correzione. Se la gravità non è ancora certa, dillo, perché una smentita successiva costa più di un messaggio prudente.
Come faccio capire che una mail è davvero mia?
Dillo ai clienti in anticipo, con una pagina «come ti scriviamo» che spieghi mittente, dominio e link che userai, e che non chiederai mai password o codici per posta. Metti lo stesso testo in firma e nel messaggio di benvenuto. Quando un cliente ha un dubbio, deve poter scrivere a un indirizzo che risponde a un umano. Un indirizzo «no-reply» è proprio ciò che fa un truffatore, e non ispira fiducia.
Posso mandare un avviso di sicurezza a chi ha disdetto la newsletter?
Una cosa è la newsletter commerciale, un’altra l’avviso legato al servizio che il cliente ha sottoscritto, e di solito le due cose seguono regole e basi giuridiche diverse. Per la parte promozionale vale l’articolo 130 del Codice Privacy (D.Lgs. 196/2003) con consenso o con l’eccezione del cosiddetto soft spam verso i clienti. Per tutto il resto fai verificare dal tuo DPO come classificare l’avviso e come scrivere l’informativa, e tieni due liste distinte.
Come tratto i contatti raccolti con una scansione gratuita del dominio?
Se offri un controllo gratuito e in cambio ottieni un indirizzo, nell’informativa deve essere chiaro a che cosa lo userai, e la casella per ricevere la newsletter va lasciata libera, non preselezionata. L’esito del controllo contiene informazioni sensibili sul cliente: non va mai inviato in chiaro nel corpo del messaggio ma tramite un link protetto. Se il controllo riguarda anche gli indirizzi dei dipendenti di un’azienda, confrontati con il DPO prima di partire.
Come costruisco un percorso per una PMI che ha appena subito un attacco?
Prima che venderle qualcosa, aiutala: una mail breve con un elenco di controlli da fare nelle prime ore e un recapito per parlare con una persona. Dopo qualche settimana, quando l’emergenza è passata, arriva la proposta di un incontro per rivedere backup, accessi e formazione. Non citare mai il nome di un’altra azienda colpita come esempio e non usare cifre che non puoi documentare: chi ha appena subito un danno riconosce subito un tono opportunista.
Cosa c’è nel calendario di una società di sicurezza?
Il ritmo è guidato dalle notizie, ma alcuni appuntamenti sono prevedibili: l’aggiornamento mensile dei sistemi Microsoft del secondo martedì, il mese europeo della sicurezza informatica a ottobre, i periodi di acquisto a fine anno e a settembre quando le aziende pianificano i budget, e i picchi di truffe attorno a saldi e festività. Prepara per ognuno un bollettino già impostato, da adattare in poche ore invece di ricominciare da capo.
Che risposte arrivano a un avviso e chi le gestisce?
Dopo un bollettino arrivano risposte di tre tipi: «è vero?», «mi aiutate a correggere?» e «ho già un problema». Decidi prima chi guarda la casella di risposta, entro quante ore, e con quale modulo di inoltro all’assistenza tecnica. Imposta un indirizzo di risposta presidiato, anche fuori dall’orario d’ufficio per le segnalazioni più gravi, e prepara tre risposte-tipo da personalizzare, in modo che nessun cliente resti senza una persona dall’altra parte.
Posso mettere nella mail i dettagli del sistema di un cliente?
È meglio di no: la posta elettronica non è un canale riservato. Indirizzi IP, nomi dei server, versioni esatte e risultati di test dovrebbero stare in un portale con accesso protetto, mentre nel messaggio compaiono solo una frase neutra e un link. Se il cliente chiede di ricevere il rapporto per posta, usa un allegato cifrato e invia la password per un’altra via. Questo vale ancora di più se la lista ha rivenditori in copia.
Come gestisco i rivenditori e gli integratori che inoltrano i miei avvisi?
In Italia molte PMI acquistano sicurezza tramite un integratore o un consulente informatico di fiducia. Decidi a chi spetta scrivere al cliente finale e con quale marchio, e metti nel contratto con il partner chi è titolare dei dati di contatto e chi risponde dell’informativa. Per gli avvisi urgenti scrivi sia al partner sia al referente, perché un integratore in ferie può lasciare un cliente scoperto per giorni.
Come evito di sembrare uno che fa leva sulla paura?
Dai informazioni verificabili e un’azione concreta in ogni messaggio, e lascia fuori statistiche prese da fonti che non puoi citare. Se non hai nulla di nuovo da dire, non scrivere: un avviso al mese che aiuta vale più di dieci titoli drammatici. Fai leggere le bozze a una persona che non lavora nel settore e chiedile se capisce che cosa fare. Evita immagini di teschi o hacker incappucciati, che i clienti di una PMI percepiscono come pressione commerciale.