Sicurezza cripto in azienda: proteggere chiavi, accessi e pagamenti

Perché le cripto richiedono una sicurezza a sé

Un bonifico bancario fraudolento può talvolta essere contestato. Un trasferimento di cripto-attività, invece, è in genere irreversibile: se un attaccante ottiene i Suoi accessi, o se sbaglia indirizzo, non c’è nessun servizio clienti da chiamare. La sicurezza si basa quindi sulle Sue procedure, non su un ricorso a posteriori.

Le fondamenta

• Separare professionale e personale. Account, wallet e dispositivi distinti, mai una chiave dell’impresa in un account personale.
• Autenticazione a più fattori ovunque, preferibilmente con una chiave fisica o un’app dedicata anziché via SMS.
• Proteggere le chiavi e la frase di recupero. Offline, in più copie, in luoghi distinti, senza foto né copie nel cloud.
• Verificare ogni indirizzo ed effettuare un pagamento di prova prima di un importo rilevante.

Queste regole sono illustrate nel dettaglio nella nostra scheda le 7 regole di sicurezza cripto per l’impresa.

Multisig e doppia approvazione: non dipendere da una sola persona

Un wallet multisig (multifirma) richiede più approvazioni per convalidare un’operazione: ad esempio due firme su tre persone designate. Per una PMI è l’equivalente digitale di un assegno a doppia firma. I vantaggi sono concreti:

• un solo dispositivo compromesso non basta a svuotare il wallet;
• l’assenza o la partenza di una persona non blocca l’attività;
• ogni operazione lascia traccia di chi ha approvato cosa.

Il multisig non è adatto a tutti i casi: aggiunge complessità e va testato prima di collocarvi importi significativi. In una realtà molto piccola, può bastare una doppia approvazione organizzativa (una persona prepara, un’altra approva) con un prestatore di custodia autorizzato. La aiutiamo a scegliere in base alle Sue dimensioni, ai Suoi importi e ai Suoi utilizzi.

Diritti di accesso, aggiornamenti e piano di risposta

• Chi può fare cosa. Preparare, approvare ed eseguire sono ruoli distinti. I diritti vengono rivisti a ogni ingresso o uscita.
• Dispositivi e software aggiornati, senza estensioni del browser inutili sulle postazioni che gestiscono fondi.
• Phishing e falsi supporti. Nessuno del supporto ufficiale Le chiederà mai la Sua frase di recupero. Una regola scritta e nota a tutti evita errori sotto pressione.
• Un piano di risposta. Cosa fare, entro un’ora, se un accesso è compromesso: chi avvisare, cosa bloccare, chi contattare.

Da dove iniziare: cinque domande

1. Chi, nell’impresa, può spostare fondi oggi?
2. Dove sono conservate le chiavi e le frasi di recupero, e chi vi ha accesso?
3. Una sola persona può approvare da sola un’operazione importante?
4. Cosa succede se quella persona è assente, lascia l’impresa o vede il proprio accesso compromesso?
5. I Suoi team sanno riconoscere un falso supporto o un falso fornitore?

Se è incerto su più di una risposta, una diagnosi permette di fissare le priorità prima che un incidente La costringa a farlo.

Cosa fa Si0x

Partiamo dalla Sua situazione reale: cosa detiene o riceve, chi vi accede, quali strumenti utilizza. Individuiamo i punti deboli, proponiamo regole proporzionate e le mettiamo per iscritto, poi formiamo i Suoi team affinché le applichino. Si0x non custodisce le Sue chiavi e non gestisce i Suoi fondi.

Queste regole completano quelle di un utilizzo conforme: veda il nostro affiancamento pagamento in cripto in azienda e la formazione cripto in azienda per sensibilizzare il Suo team.