Cripto e impresa: le 7 regole di sicurezza indispensabili

Con le cripto, in genere non esiste uno sportello a cui contestare un’operazione sbagliata: un errore o un furto sono spesso definitivi. La buona notizia è che la maggior parte dei rischi si riduce con alcune regole semplici, applicabili senza un reparto IT. Ecco le sette che riteniamo indispensabili.

Regola 1 – Separare rigorosamente professionale e personale

Utilizzi account, indirizzi e-mail e, se possibile, dispositivi dedicati all’attività dell’impresa. Un wallet o un account professionale non deve essere collegato alla Sua e-mail personale né usato per prove. Questa separazione limita i danni se uno dei due ambiti viene compromesso e facilita la contabilità.

Regola 2 – Attivare ovunque l’autenticazione a più fattori

Una password da sola non basta. L’ANSSI raccomanda di privilegiare l’autenticazione a più fattori e, tra i fattori, quelli basati sul possesso di un oggetto (ad esempio una chiave di sicurezza fisica)^[1]. Vi associ un gestore di password, come raccomandano l’ANSSI e la CNIL, per usare una password lunga e unica per ogni servizio^[1][2].

Regola 3 – Proteggere le chiavi e le frasi di recupero

Se gestisce personalmente un wallet, la frase di recupero (una sequenza di parole) dà accesso a tutti i fondi. Alcuni principi:

• Non la fotografi, non la inserisca in nessun sito, non la invii a nessuno, nemmeno a un presunto «supporto».
• La conservi offline, su un supporto durevole, in almeno due luoghi sicuri distinti.
• Stabilisca chi può accedervi se Lei non è disponibile, e a quali condizioni.

Regola 4 – Esigere una doppia approvazione

Nessun pagamento in uscita di rilievo dovrebbe dipendere da una sola persona. Fissi una soglia oltre la quale una seconda persona approva l’operazione, oppure utilizzi una soluzione che richiede più approvazioni. Questa regola protegge tanto dalla frode e dalla coercizione quanto da un semplice errore di digitazione.

Regola 5 – Verificare ogni indirizzo, fare una prova prima di grandi pagamenti

Gli indirizzi cripto sono lunghi e illeggibili: un errore o una sostituzione malevola durante un copia-incolla è possibile. Prima di ogni invio:

• Confronti l’inizio e la fine dell’indirizzo con una fonte affidabile, tramite un secondo canale (chiamata, messaggio verificato).
• Verifichi la rete (blockchain) prevista.
• Invii prima un piccolo importo di prova.
• Tenga un elenco di indirizzi approvati e ne limiti le modifiche.

Regola 6 – Restare vigili contro phishing e falsi supporti

Le truffe puntano spesso sull’urgenza: falsa e-mail del «servizio clienti», falso link, falso consulente che Le chiede di installare un software o di comunicare un codice. Adotti dei riflessi: non clicchi da un messaggio ricevuto, acceda ai servizi tramite i Suoi preferiti, non comunichi mai un codice di conferma e verifichi che un prestatore sia autorizzato tramite la lista bianca dell’AMF^[3]. In caso di dubbio, interrompa l’operazione e richiami il prestatore a un numero che ha trovato Lei stesso.

Regola 7 – Organizzare diritti di accesso, aggiornamenti e risposta agli incidenti

La sicurezza è anche una questione di organizzazione. In concreto:

• Limiti i diritti allo stretto necessario e revochi gli accessi a chi lascia l’impresa.
• Mantenga aggiornati i dispositivi e le applicazioni utilizzati.
• Rediga una pagina «cosa fare in caso di problema»: chi avvisare, quali accessi bloccare, quali prove conservare.

La guida all’igiene informatica dell’ANSSI, che presenta 42 misure di sicurezza, è una base utile per strutturare questo lavoro^[4].

Gli errori più frequenti

Nelle piccole realtà, gli incidenti raramente derivano da un attacco sofisticato. Nascono piuttosto da situazioni ordinarie: un solo collaboratore che detiene tutti gli accessi, una frase di recupero conservata in un’e-mail o in una foto, un pagamento approvato in fretta perché un messaggio sembrava urgente, oppure un ex dipendente il cui account non è mai stato chiuso. Ognuna di queste situazioni si corregge con una regola dell’elenco precedente. Lo rilegga una volta al trimestre, in team, come un controllo di routine: spesso è così che si individua ciò che è cambiato senza che nessuno se ne accorgesse.

Da dove iniziare?

Se questa settimana dovesse fare solo tre cose: attivare l’autenticazione a più fattori su tutti gli account legati alle cripto, introdurre una doppia approvazione per le uscite di fondi e mettere per iscritto dove e come sono conservate le chiavi di recupero. Il resto potrà seguire per gradi.

Autovalutazione rapida

• Account e dispositivi professionali separati
• Autenticazione a più fattori attivata e gestore di password in uso
• Frasi di recupero conservate offline, in due luoghi
• Soglia di doppia approvazione definita
• Procedura scritta di verifica degli indirizzi
• Team sensibilizzato sul phishing
• Diritti di accesso rivisti e piano di gestione degli incidenti redatto