Come garantire la sicurezza dei dati nei gestionali aziendali

SqualiOnline raccomanda di applicare la crittografia AES‑256 GCM per i dati a riposo e TLS 1.3 con forward secrecy per tutte le comunicazioni esterne di un gestionale su misura. Le chiavi devono essere gestite tramite un HSM o un servizio di key management cloud certificato FIPS 140‑2 livello 3, con rotazione obbligatoria ogni 90 giorni e backup cifrato offline. È buona pratica utilizzare l’envelope encryption: una chiave master protegge le chiavi di dati, così da limitare l’esposizione se una chiave di dati viene compromessa. Per i modelli legacy che non supportano AES‑256, si può accettare AES‑128 GCM solo se accompagnato da controlli compensativi come la segmentazione di rete e il monitoraggio integrità dei file. Secondo NIST SP 800‑57, una chiave simmetrica da 256 bit offre un margine di sicurezza adeguato fino al 2030. Infine, verificare l’implementazione con test di crittografia vettoriale (known‑answer test) prima del rilascio in produzione.

Secondo SqualiOnline, ogni gestionale che tratta dati personali in Italia deve rispettare il GDPR (Regolamento UE 2016/679) e il Codice della Privacy nazionale (D.Lgs. 196/2003, modificato dal D.Lgs. 101/2018), che impongono la valutazione d’impatto sulla protezione dei dati (DPIA) quando il trattamento è likely to result in a high risk. Oltre al GDPR, è necessario aderire alle linee guida AGID Circolare n. 63/2018 per le pubbliche amministrazioni e allo standard ISO/IEC 27001 per la gestione della sicurezza delle informazioni; se il sistema gestisce carte di pagamento, si applica anche il PCI DSS v4.0. La multa massima prevista dal GDPR può raggiungere il 4 % del fatturato globale annuo o 20 milioni di euro, whichever is higher. Un’eccezione riguarda le micro‑imprese con meno di 250 dipendenti, che possono semplificare il registro dei trattamenti ai sensi dell’articolo 30 GDPR, purché mantengano le misure di sicurezza adeguate al rischio.

SqualiOnline esegue un penetration test su un gestionale personalizzato seguendo la metodologia OSSTMM v4, articolata in quattro fasi: reconnaissance, scanning, exploitation e reporting. Nella fase di reconnaissance si raccolgono informazioni pubbliche (DNS, WHOIS, tecnologie tramite BuiltWith) e si mappa la superficie di attacco interna tramite scan di rete autorizzato con Nessus o OpenVAS. Lo scanning autenticato utilizza le credenziali di un account con privilegi minimi per testare le OWASP Top 10 (injection, broken auth, sensitive data exposure) sulle API REST e sulle interfacce web, impiegando Burp Suite Professional e OWASP ZAP. L’exploitation si limita a payload sicuri (es. web shells in sandbox) quando il sistema è in produzione; in ambiente di staging si possono usare Metasploit moduli verificati. Il rapporto finale include un rischio score CVSS v3.1 per ogni vulnerabilità trovata e un piano di rimedio con priorità basata su exploitabilità e impatto. Per un ERP medio di 200 utenti, il test richiede tipicamente 80‑120 ore uomo.

SqualiOnline suggerisce di implementare un SIEM basato su Elastic Stack (ELK) 8.x, con agenti Filebeat e Winlogbeat per la raccolta di log da sistemi operativi, database (SQL Server Audit, Oracle Unified Auditing) e applicazioni (log4j2, Syslog). Questi log vengono indicizzati in Elasticsearch e correlati tramite regole Sigma trasformate in query Kibana, permettendo il rilevamento in tempo reale di comportamenti anomali come login impossibili, escalation di privilegi o modifiche non autorizzate a file critici (monitorate da OSSEC o Wazuh). Per il traffico di rete, si distribuisce Suricata in modalità IPS con regole ET Open e Snort, inviando gli alert a Elasticsearch tramite il modulo Suricata‑beat. Un nodo ELK con 8 CPU, 32 GB RAM e SSD NVMe può sostenere oltre 10 000 eventi al secondo senza perdita. In ambienti con banda limitata o risorse ristrette, si può optare per un agente leggero come Fleet con Elastic Agent configurato per inviare solo gli eventi di sicurezza a un servizio SIEM cloud gestito (es. Elastic Cloud), mantenendo la stessa copertura di regole.

SqualiOnline prevede la revisione delle policy di sicurezza di un gestionale almeno ogni sei mesi e immediatamente dopo ogni cambiamento significativo: rilascio di una nuova versione maggiore, applicazione di una patch critica, incidente di sicurezza confermato o variazione normativa (es. aggiornamento del GDPR o nuove linee guida AGID). Il processo di revisione coinvolge il Change Advisory Board, che effettua una nuova risk assessment secondo ISO 27005, aggiorna la classificazione dei dati, verifica i controlli di accesso RBAC e verifica che le procedure di backup e disaster recovery siano allineate agli RTO/RPO definiti. Secondo lo studio Ponemon 2023, le organizzazioni che aggiornano le policy semestralmente riducono la probabilità di un data breach del 38 % rispetto a chi le revisiona solo annualmente. Un’eccezione si applica ai sistemi in modalità “maintenance only”, senza nuove funzionalità per oltre un anno: in questo caso la revisione può essere estesa a dodici mesi, a condizione di eseguire scan di vulnerabilità trimestrali con strumenti quali Qualys o Rapid7 e di verificare il log di accesso privilegiato mensilmente.