Esempi di vulnerabilità aziendali: guida per le PMI

In breve:

• Le vulnerabilità aziendali sono debolezze nei sistemi, nei processi o nei comportamenti che espongono le organizzazioni a rischi informatici. La maggior parte delle PMI italiane ha problemi come software non aggiornato, credenziali compromesse e configurazioni di rete pericolose. Per proteggersi, devono adottare misure tecniche, organizzative e formative in modo coordinato e continuo.

Le vulnerabilità aziendali sono difetti o debolezze nei sistemi, nei processi o nei comportamenti che espongono un’organizzazione ad attacchi informatici e perdite di dati. Per le PMI italiane, riconoscere questi esempi di vulnerabilità aziendali non è un esercizio teorico: il phishing copre il 26–34% degli incidenti registrati nel primo semestre 2026, e il 45% delle PMI ha subito almeno un incidente nell’arco di dodici mesi. La terminologia tecnica di riferimento è «vulnerability management», ma il problema concreto riguarda scelte quotidiane: software non aggiornato, password condivise, account dimenticati. Questa guida analizza le categorie principali, fornisce casi reali e indica le contromisure più efficaci.

Quali sono le tipologie di vulnerabilità più comuni nelle PMI italiane

Le vulnerabilità informatiche si dividono in tre categorie principali: tecniche, organizzative e umane. Conoscere questa distinzione aiuta a pianificare interventi mirati anziché generici.

Vulnerabilità tecniche riguardano l’infrastruttura IT:

• Software e sistemi operativi non aggiornati o fuori supporto
• Configurazioni di default non modificate su firewall, router e server
• Protocolli obsoleti come SMB v1, NetBIOS o LDAP non cifrato
• Dispositivi mobili aziendali privi di cifratura
• VPN tradizionali con falle di sicurezza note

Vulnerabilità organizzative derivano da processi assenti o mal definiti:

• Assenza di politiche formali per la gestione degli accessi
• Account di ex-dipendenti ancora attivi
• Mancanza di inventario aggiornato degli asset IT
• Shadow IT, ovvero applicazioni usate senza approvazione del reparto IT

Vulnerabilità umane nascono dal comportamento delle persone:

• Scarsa consapevolezza del phishing e dell’ingegneria sociale
• Riutilizzo di password deboli su più sistemi
• Condivisione di credenziali tra colleghi
• Mancata segnalazione di incidenti sospetti

Queste tre categorie si sovrappongono spesso. Un dispositivo mobile non cifrato (tecnica) usato da un dipendente che non ha ricevuto formazione (umana) e non è censito nell’inventario aziendale (organizzativa) rappresenta un rischio triplo.

1. Software non aggiornato e sistemi fuori supporto

Il 29% dei computer aziendali nelle PMI italiane risulta fuori supporto o privo degli aggiornamenti di sicurezza più recenti. Un sistema operativo senza patch è una porta aperta: i criminali informatici conoscono le vulnerabilità pubblicate nei bollettini CVE e le sfruttano sistematicamente prima che le aziende intervengano.

Un esempio concreto: Windows 7 e Windows Server 2008, ancora presenti in molte PMI manifatturiere, non ricevono aggiornamenti di sicurezza da anni. Qualsiasi exploit pubblico per questi sistemi rimane sfruttabile a tempo indeterminato. La soluzione non è sempre sostituire l’hardware: segmentare la rete e isolare i sistemi legacy riduce l’esposizione senza costi immediati elevati.

Un consiglio: Verificare mensilmente l’elenco dei sistemi fuori supporto tramite il pannello di gestione degli endpoint. Ogni sistema non aggiornato va isolato o sostituito entro un termine definito.

2. VPN tradizionali con vulnerabilità crescenti

Le VPN di vecchia generazione hanno registrato un aumento delle vulnerabilità dell’82,5% nel 2025. Questo dato indica che le VPN tradizionali non sono più uno strumento affidabile per proteggere l’accesso remoto nelle PMI.

Il problema non è solo tecnico. Molte PMI hanno adottato VPN durante la pandemia senza mai aggiornarle o sostituirle. Queste soluzioni diventano il punto d’ingresso preferito per gli attaccanti, che sfruttano credenziali rubate o vulnerabilità note nel software del gateway. L’architettura Zero Trust Network Access (ZTNA) rappresenta l’alternativa raccomandata dagli standard attuali, incluso il framework ISO 27001.

3. Configurazioni errate su protocolli di rete

Nel 74% degli ambienti analizzati non è attiva la firma SMB, una misura di sicurezza che previene attacchi di tipo relay e man-in-the-middle. Questo dato evidenzia quanto le configurazioni di default siano pericolose se non modificate.

Protocolli come NetBIOS, LDAP non cifrato e SMB v1 sono abilitati per impostazione predefinita su molti sistemi Windows. Un attaccante che accede alla rete locale può intercettare traffico, raccogliere credenziali e muoversi lateralmente senza essere rilevato. L’attività di hardening, ovvero la disabilitazione di servizi non necessari e la modifica delle configurazioni di default, è una delle contromisure a costo zero più efficaci disponibili.

4. Dispositivi mobili non cifrati

L’81% delle PMI analizzate non cifra i dispositivi mobili aziendali. Un laptop o uno smartphone smarrito senza cifratura espone tutti i dati contenuti, incluse credenziali, documenti riservati e accessi a sistemi cloud.

La cifratura del disco è una funzione nativa su tutti i principali sistemi operativi moderni: BitLocker su Windows, FileVault su macOS, cifratura integrata su Android e iOS. Attivarla richiede pochi minuti e non impatta le prestazioni in modo significativo. Eppure la maggior parte delle PMI non la configura perché nessuno ha mai definito una policy formale che la renda obbligatoria.

5. Compromissione di credenziali e gestione degli accessi

L’85% degli allarmi di sicurezza riguarda la compromissione di credenziali e account cloud. Le password rubate rimangono lo strumento principale dei criminali informatici perché funzionano: molte PMI non adottano l’autenticazione a più fattori e permettono password deboli o riutilizzate.

Un caso tipico: un dipendente usa la stessa password per l’email aziendale e per un servizio online personale. Quando quel servizio subisce una violazione, le credenziali finiscono in vendita sul dark web. L’attaccante le prova sull’email aziendale e ottiene accesso. Questo attacco, chiamato credential stuffing, è automatizzato e non richiede competenze avanzate. L’autenticazione a più fattori blocca questa tecnica nella quasi totalità dei casi.

Un consiglio: Attivare l’autenticazione a più fattori su tutti i servizi cloud aziendali è la singola misura con il miglior rapporto tra costo e riduzione del rischio disponibile oggi.

6. Utenti inattivi e account non dismessi

Il 42% delle PMI presenta utenti e computer inattivi non dismessi correttamente. Ogni account attivo di un ex-dipendente è una vulnerabilità aperta: se le credenziali sono state compromesse, l’attaccante dispone di un accesso legittimo che nessuno monitora.

La gestione del ciclo di vita degli account è un processo spesso trascurato perché non ha un impatto visibile finché non si verifica un incidente. La procedura corretta prevede la disabilitazione immediata dell’account al momento della cessazione del rapporto di lavoro, la revoca dei token di accesso ai servizi cloud e il trasferimento dei dati a un responsabile designato. Questi passaggi vanno documentati e verificati periodicamente tramite una revisione degli accessi, come previsto dai controlli dell’Annex A della norma ISO 27001.

7. Shadow IT e perdita di controllo sugli accessi

Lo Shadow IT, ovvero l’uso di applicazioni e servizi non approvati dal reparto IT, crea rischi nascosti difficili da individuare. Credenziali e dati aziendali circolano in canali non sicuri, compromettendo le politiche di accesso e l’autenticazione a più fattori.

Un esempio frequente nelle PMI: i dipendenti condividono file tramite account personali su servizi di storage cloud gratuiti, oppure usano applicazioni di messaggistica personali per comunicare informazioni riservate. Questi canali non sono sotto il controllo dell’azienda e non rispettano le policy di sicurezza. Rilevare lo Shadow IT richiede strumenti di monitoraggio del traffico di rete e una cultura aziendale che incoraggi la segnalazione anziché la sanzione.

8. Phishing e ingegneria sociale

Il phishing è il vettore d’attacco più prevalente nelle PMI, con una quota compresa tra il 26% e il 34% degli incidenti registrati. La formazione da sola non basta: serve abbinarla a controlli tecnici come il filtraggio delle email, l’autenticazione DMARC/DKIM/SPF e simulazioni periodiche di phishing.

Il fattore umano rimane il punto di accesso preferito perché è il più difficile da proteggere con soli strumenti tecnici. Un dipendente che riceve un’email apparentemente proveniente dal proprio responsabile e che chiede un bonifico urgente non ha strumenti tecnici per verificarla in tempo reale. La procedura di verifica fuori banda, ovvero una telefonata di conferma su un numero noto, è la contromisura più efficace contro il Business Email Compromise. Per approfondire gli errori più diffusi nelle PMI, Securityhub ha documentato i casi più ricorrenti con le relative soluzioni.

9. Tempi di rilevamento degli attacchi e impatto economico

Gli attacchi nelle PMI restano invisibili per una media di 181 giorni prima della scoperta. Questo intervallo, chiamato «dwell time», permette agli attaccanti di raccogliere dati, installare backdoor e preparare attacchi ransomware con calma.

Un dwell time così lungo indica l’assenza di monitoraggio continuo. Le PMI che non dispongono di un sistema di rilevamento degli eventi di sicurezza (SIEM) o di un servizio di monitoraggio gestito non hanno visibilità su ciò che accade nella propria rete. La gestione della sicurezza IT nelle PMI richiede controlli attivi, non solo misure passive. Gli incidenti ransomware dimostrano che il danno maggiore non deriva dall’attacco iniziale, ma dal tempo trascorso senza rilevamento.

10. Mancanza di politiche di sicurezza strutturate e NIS2

Circa un terzo delle PMI dispone solo di misure di sicurezza di base, senza organizzazione strutturata o responsabilità chiare. L’assenza di policy formali significa che ogni decisione di sicurezza dipende dalla discrezionalità individuale anziché da regole condivise.

La direttiva NIS2 impone alle PMI che rientrano nel suo perimetro di adottare gestione del rischio documentata, reportistica degli incidenti e responsabilità direzionali esplicite. Questo trasforma la sicurezza da attività tecnica a responsabilità del management. Le PMI che si adeguano alla NIS2 costruiscono una base solida per la conformità ISO 27001, che richiede esattamente questo tipo di approccio strutturato. Per avviare una analisi dei rischi informatici conforme agli standard, Securityhub ha sviluppato una guida pratica in cinque passi.

Tabella comparativa: categorie di vulnerabilità e contromisure

Le vulnerabilità aziendali si affrontano con misure specifiche per ciascuna categoria. La tabella seguente sintetizza le priorità di intervento per le PMI.

Ogni contromisura richiede un responsabile designato e una verifica periodica. Senza assegnazione di responsabilità, anche le misure tecnicamente corrette rimangono inapplicate.

Punti chiave

La gestione delle vulnerabilità aziendali nelle PMI richiede interventi tecnici, organizzativi e formativi coordinati, non misure isolate.

Il punto di vista di chi lavora sul campo

Sicurezza come processo, non come progetto

Ho visto molte PMI italiane investire in un vulnerability assessment una volta sola, ricevere il report, archiviarlo e non fare nulla per dodici mesi. Questo approccio non funziona. Le vulnerabilità cambiano ogni settimana: nuovi CVE vengono pubblicati, le configurazioni vengono modificate, i dipendenti cambiano. Un’analisi statica diventa obsoleta in pochi mesi.

Quello che distingue le PMI che gestiscono bene la sicurezza da quelle che la subiscono è la continuità. Non si tratta di avere il firewall più costoso o il software più recente. Si tratta di avere processi ripetibili: chi controlla gli aggiornamenti ogni settimana, chi verifica gli account ogni trimestre, chi testa i backup ogni mese.

La NIS2 ha fatto qualcosa di utile: ha reso il management responsabile. Quando l’amministratore delegato sa che risponde personalmente di un incidente non segnalato, la sicurezza smette di essere un problema del reparto IT e diventa una priorità aziendale. Ho visto questa trasformazione accadere in tempi brevi quando la responsabilità è chiara.

Il consiglio che do sempre è questo: iniziate dalle vulnerabilità più semplici. Software non aggiornato, account inattivi, autenticazione a più fattori assente. Questi tre interventi, applicati con rigore, eliminano la maggior parte dei vettori d’attacco reali che colpiscono le PMI italiane oggi. Le minacce sofisticate esistono, ma arrivano dopo che le basi sono già state compromesse.

— Valerio

Securityhub supporta le PMI nella gestione delle vulnerabilità

Le PMI che vogliono passare da una sicurezza improvvisata a una gestione strutturata del rischio hanno bisogno di un metodo, non solo di strumenti. Securityhub affianca le aziende italiane nell’implementazione di un sistema di gestione della sicurezza conforme agli standard ISO 27001, ISO 27017 e ISO 27018, con documentazione personalizzata e supporto continuativo.

L’approccio di Securityhub parte dall’analisi delle vulnerabilità esistenti, definisce le policy mancanti e guida il management verso la conformità normativa, inclusa la NIS2. Per le PMI che vogliono ottenere la certificazione ISO 27001, Securityhub offre un percorso strutturato con tempi e costi definiti fin dal primo incontro.

Domande frequenti

Cos’è una vulnerabilità aziendale?

Una vulnerabilità aziendale è un difetto o una debolezza in un sistema, processo o comportamento che un attaccante può sfruttare per accedere a dati o sistemi senza autorizzazione. Può essere tecnica, organizzativa o legata al comportamento umano.

Quali sono gli esempi di vulnerabilità più frequenti nelle PMI?

Le vulnerabilità più frequenti nelle PMI italiane sono software non aggiornato, account di ex-dipendenti attivi, assenza di autenticazione a più fattori e configurazioni di rete non sicure come la firma SMB disattivata.

Come si identifica una vulnerabilità aziendale?

La gestione delle vulnerabilità si avvia con un’analisi strutturata che include scansioni tecniche, revisione degli accessi e verifica delle policy. Lo standard ISO 27001 fornisce il framework di riferimento per questo processo.

Quanto tempo impiega un attaccante a essere scoperto nelle PMI?

La media del «dwell time» nelle PMI è di 181 giorni. Questo intervallo si riduce significativamente con l’adozione di strumenti di monitoraggio attivo e procedure di risposta agli incidenti documentate.

La NIS2 si applica alle PMI italiane?

La NIS2 si applica alle PMI che operano in settori considerati critici o importanti dalla direttiva europea. Le aziende coinvolte devono adottare gestione del rischio documentata, reportistica degli incidenti e responsabilità direzionali esplicite.

Raccomandati

• Tipi di vulnerabilità cloud: guida per le PMI italiane – Security Hub
• Gestione delle vulnerabilità: perché è strategica per PMI italiane – Security Hub
• 7 principali rischi sicurezza PMI e come evitarli facilmente – Security Hub
• Come analizzare rischi informatici per PMI in 5 passi chiave – Security Hub