Sai chi può entrare nel pannello del sito, chi riceve gli avvisi e chi può ripristinarlo? Da queste domande comincia un confronto utile con chi lo gestisce. In questa guida mettiamo in ordine controlli, responsabilità e priorità, per arrivare a un piano di lavoro. La checklist aiuta a prepararlo; le verifiche di sicurezza richiedono poi riscontri tecnici.
Per un sito vetrina sono importanti contenuti, accessi e richieste di contatto. In un e-commerce o in un portale entrano anche ordini, account e permessi. Parti quindi dalle funzioni da mantenere disponibili e dai dati che devono essere protetti. Le prove tecniche richiedono un ambito autorizzato; qui raccogliamo domande e documenti con cui prepararlo, non procedure per testare sistemi di terzi.
Ricostruire il sito e i servizi collegati
Una richiesta di preventivo può attraversare pagina, modulo, server, servizio email e casella del destinatario, oppure finire in un CRM. Per ogni passaggio indica chi lo gestisce e quali dati riceve. Il dominio, il pannello di hosting e la posta non diventano automaticamente parte di una verifica solo perché sono collegati allo stesso sito.
Annota anche chi possiede gli account dei fornitori, chi riceve gli avvisi di rinnovo e chi può ripristinare l’accesso. L’inventario proposto dal NIST per le piccole imprese collega ogni servizio al suo responsabile, ai dati e alle conseguenze di un’interruzione: è un buon punto di partenza per questa ricognizione.
Un sito statico può non avere un CMS da aggiornare sul server, ma può comunque usare un modulo, servizi esterni e strumenti di pubblicazione. La domanda non è soltanto «quali plugin ci sono?»: è «quali componenti e account permettono a questo sito di funzionare?». Da questa mappa discendono i controlli e le persone da coinvolgere.
Accessi e aggiornamenti
Usa account personali e riconoscibili, con permessi adeguati al lavoro da svolgere. Chi pubblica articoli può non aver bisogno di modificare hosting o dominio. Quando termina una collaborazione, controlla gli accessi da rimuovere e i meccanismi di recupero rimasti associati a quella persona; non limitarti a cambiare la password del CMS.
Attiva l’autenticazione a più fattori dove disponibile, includendo gli account che governano hosting, dominio e posta. Conserva credenziali e metodi di recupero in strumenti riservati alle persone incaricate. Il NIST raccomanda MFA, permessi limitati e revoca degli accessi non più necessari: sono controlli da organizzare insieme, non caselle isolate da spuntare.
Per gli aggiornamenti serve un inventario dei componenti e una persona che ne segua le comunicazioni di sicurezza. Una manutenzione mensile non risolve un problema urgente che richiede una valutazione prima della scadenza prevista. Concorda come vengono decisi gli interventi, preparata una copia recuperabile e controllate le funzioni importanti dopo la modifica. Accesso, acquisto e invio dei moduli devono continuare a produrre il risultato atteso.
Backup e ripristino
Chiedi che cosa contiene ogni copia: file, database, configurazioni e materiali necessari a ricostruire il servizio. La posta e i dati conservati in un gestionale esterno possono seguire procedure diverse. Controlla dove sono custodite le copie, chi può eliminarle e se rimangono recuperabili quando l’ambiente principale non è disponibile.
La prova di ripristino, in un ambiente isolato, deve controllare anche le funzioni: caricare la home non basta se mancano ordini o configurazioni del modulo. Registra la copia usata, il tempo impiegato, ciò che è stato recuperato e le attività rimaste manuali. Il NIST raccomanda backup regolari, prove e verifica dell’integrità dei dati prima del recupero.
Confronta poi il risultato con due esigenze aziendali: quanto può durare il fermo e quante informazioni possono andare perse tra una copia e l’altra. Un backup giornaliero, per esempio, va valutato rispetto agli ordini arrivati dopo l’ultima copia, non soltanto rispetto allo spazio che occupa. Queste esigenze aiutano a scegliere frequenza, conservazione e modalità di recupero; non sono tempi di ripristino già garantiti dal fornitore.
Moduli, connessioni e monitoraggio
Il modulo va esaminato come un percorso completo. Le regole sui campi devono essere applicate dal server anche se il browser le controlla già, come chiarisce OWASP nella guida alla validazione degli input. HTTPS protegge la trasmissione; non decide chi può vedere i dati o se una richiesta è legittima.
Una verifica antispam limita una parte degli invii automatizzati, ma non autentica la persona né dimostra che il messaggio sia attendibile. Occorre anche gestire l’indisponibilità di un servizio collegato e mostrare un errore utile senza esporre informazioni riservate. Nell’ambiente e nelle modalità autorizzate, chi gestisce il modulo deve controllare sia l’invio valido sia gli errori previsti, con dati di prova e senza moltiplicare le email.
Per la consegna conserva un riscontro del destinatario effettivo, non soltanto la conferma visibile sulla pagina. Per gli avvisi stabilisci che cosa viene osservato, chi riceve la segnalazione e in quali orari la legge. Un controllo di disponibilità può rilevare un sito irraggiungibile, ma non prova che tutte le richieste vengano recapitate o che i permessi siano corretti.
Valutare un problema e verificare la correzione
Prima di incaricare qualcuno di una verifica, concorda domini e ambienti, funzioni, account di prova, dati utilizzabili e attività escluse. Coinvolgi chi ha titolo ad autorizzare il lavoro e, quando necessario, i fornitori esterni, perché i servizi collegati possono avere responsabili e condizioni d’uso diversi.
Una valutazione identifica problemi e controlli da approfondire; una correzione modifica codice, configurazioni o procedure. Nel rapporto devono comparire il problema osservato, la funzione interessata, le condizioni e le conseguenze confermate, separandole da quelle ancora ipotizzate. Per le applicazioni web, OWASP ASVS offre requisiti con cui concordare controlli verificabili.
Assegna poi ogni intervento a una persona o a un fornitore e stabilisci come verificarlo. Dopo una modifica al modulo, per esempio, si controllano il blocco degli invii che non rispettano i requisiti e il recapito della richiesta valida. Registra versione ed esiti prima di chiudere l’intervento: la modifica deve raggiungere entrambi i risultati concordati.
Una checklist da usare nel confronto con il gestore
Per ogni riga raccogli un riscontro datato, indica un responsabile e assegna lo stato «da chiarire», «da intervenire» o «verificato nell’ambito concordato». Se manca la documentazione, il controllo resta da chiarire: non va trattato né come guasto confermato né come protezione presente. Le priorità si decidono sulle funzioni, sui dati e sulle conseguenze effettive, senza sommare risposte per ottenere un punteggio di sicurezza.
| Area | Riscontro da raccogliere |
|---|---|
| Servizi e fornitori | Mappa del percorso di contatto o acquisto, account intestati e referente per ogni servizio. |
| Accessi | Elenco delle persone autorizzate, permessi, MFA e gestione degli accessi dopo una cessazione. |
| Componenti | Inventario, versioni, responsabile degli aggiornamenti e gestione delle segnalazioni urgenti. |
| Backup | Contenuto, frequenza, conservazione e resoconto di una prova di ripristino. |
| Moduli e integrazioni | Esiti validi ed errori concordati, con riscontro nel sistema destinatario. |
| Avvisi | Eventi osservati, destinatari, orari di lettura e persona che può intervenire. |
| Correzioni | Problema confermato, incaricato, versione modificata, verifica finale e limiti rimasti. |
Esempio illustrativo: molte email indesiderate, poche richieste valide
Supponiamo che la home sia disponibile, la casella riceva spam e il commerciale segnali una richiesta non arrivata. Sono tre osservazioni da separare: lo spam non dimostra una compromissione e la pagina visibile non dimostra che il modulo consegni ogni invio. È un esempio di metodo, non il resoconto di un incidente cliente.
Il gestore concorda un controllo del percorso con un messaggio tecnico riconoscibile e registra l’esito sulla pagina e nella casella destinataria. Se il messaggio arriva nello spam, si esamina la consegna email; se il server registra un errore, si segue quel passaggio; se emergono accessi o modifiche inattesi, si coinvolge il referente di sicurezza. La protezione antispam viene valutata separatamente dal problema di recapito.
Il piano risultante può quindi avere interventi distinti: migliorare il recapito e gestire gli invii automatizzati. Per ciascuno si assegna un incaricato e si conserva il riscontro finale. Se emergono anche problemi sugli accessi, la loro priorità si valuta sulle conseguenze confermate per i dati e per il servizio.
Cosa preparare per un incidente
Tieni disponibili, anche quando il sito o la posta non funzionano, i riferimenti di chi gestisce hosting, dominio, sviluppo e trattamento dei dati. Decidi chi può autorizzare un intervento, chi coordina le comunicazioni e a chi spettano le valutazioni sui dati personali. Concorda anche orari e tempi di presa in carico, includendo la gestione delle segnalazioni fuori dalle normali ore di lavoro.
Quando emerge un’anomalia, conserva orari, avvisi e informazioni disponibili in modo riservato e coinvolgi il referente tecnico prima di cancellare materiali utili all’analisi. Contenimento, correzione e ripristino vanno coordinati, così da non rimettere online una copia che conserva la causa del problema. Al termine, documenta quali funzioni sono riprese e quali interventi restano aperti.
Se Google rileva contenuti ingannevoli, Chrome può mostrare un avviso. La documentazione Google sui siti ingannevoli indica il rapporto Problemi di sicurezza di Search Console e la richiesta di revisione dopo la rimozione: un normale errore del modulo non comporta automaticamente quell’avviso.
Se sono coinvolti dati personali
Una violazione può comportare accessi non consentiti, alterazioni, perdita o indisponibilità di dati personali. Il Garante per la protezione dei dati personali distingue l’obbligo di documentare ogni violazione dalla notifica all’Autorità. Quest’ultima è esclusa quando è improbabile che la violazione metta a rischio i diritti e le libertà delle persone. Negli altri casi il titolare deve procedere senza ritardi ingiustificati, possibilmente entro 72 ore da quando ne ha avuto conoscenza. Quando il rischio è elevato, si valuta anche la comunicazione agli interessati secondo le condizioni applicabili.
Per il singolo caso, il titolare e i responsabili competenti valutano i fatti, i dati coinvolti e le conseguenze: queste informazioni determinano quali obblighi si applicano. La guida offre un primo orientamento, non un parere sul tuo incidente. Le fonti sono state ricontrollate il 9 ottobre 2026.
Per discutere un intervento, porta la mappa dei servizi, gli elementi già verificati e le domande rimaste aperte: l’area Sicurezza digitale spiega come definire l’ambito e distinguere le attività. Se stai progettando un nuovo strumento, accessi, dati e gestione successiva entrano già nel brief di sviluppo. Nel primo contatto descrivi il bisogno senza inviare password, chiavi o dati dei clienti.