Cosa ha pubblicato il NIST per chi lavora da solo?
Il 2 novembre 2026 il NIST, l'ente americano che scrive gli standard tecnici, ha pubblicato una guida alla sicurezza informatica per chi lavora senza dipendenti. Si chiama Small Business Cybersecurity: Non-Employer Firms, in sigla CSWP 50. Secondo il NIST, negli Stati Uniti le imprese di questo tipo sono più di 28 milioni.
La guida parte da zero. Per ogni azione spiega perché farla, come cominciare e cosa cambiare quando l'attività cresce. «Molte di queste azioni si possono fare da soli, con poche conoscenze tecniche o una spesa minima», ha detto Daniel Eliot, uno degli autori.
La nostra lettura: è un documento americano e in Italia non obbliga nessuno. Le azioni però valgono per un commercialista, un geometra o un artigiano che lavora da solo, e un capitolo parla degli strumenti AI.
Quali azioni puoi copiare subito?
Nell'introduzione il NIST mette le azioni che, da sole, riducono di molto il rischio. Queste sono le più facili da portare in un piccolo studio.
- Attiva la verifica in due passaggi su posta, banca, archivio dei file, gestore delle password e servizi cloud. Il NIST preferisce i metodi che resistono alle truffe via email, come le passkey.
- Usa password diverse per ogni account, lunghe almeno 15 caratteri, e conservale in un gestore di password.
- Cambia le password di fabbrica del router e degli altri dispositivi collegati alla rete.
- Lavora con un utente normale e usa l'account amministratore solo quando serve.
- Fai copie dei dati, almeno una su un disco scollegato dal computer, e prova ogni tanto a ripristinarle.
- Attiva gli aggiornamenti automatici e controlla almeno una volta al mese che siano installati.
- Tieni anche su carta l'elenco di chi chiamare se subisci un attacco.
Cosa dice la guida sugli strumenti AI?
Un dettaglio curioso. Il documento non scrive «intelligenza artificiale» ma «Super Intelligence», perché un ordine esecutivo americano di settembre ha cambiato il nome nei testi delle agenzie federali. Le precauzioni restano molto pratiche.
- Fai l'elenco degli strumenti AI che usi e delle funzioni AI già accese nei programmi che hai.
- Prima di incollare dati riservati, controlla le impostazioni su conservazione dei dati, addestramento e accessi.
- Rileggi ogni testo prodotto dall'AI prima di mandarlo a un cliente o di usarlo per una decisione.
- Chiedi ai fornitori se i loro sistemi AI accedono ai tuoi dati, e in che modo.
Il NIST avverte anche che l'AI rende le email truffa più convincenti. Pensa alla mail di un fornitore che chiede di pagare una fattura su un nuovo IBAN. La guida dice di verificarla con un contatto che conosci già, per esempio una telefonata al numero di sempre, e mai rispondendo al messaggio.
Perché conta prima di collegare un agente AI?
Un agente AI che legge la posta o prepara i preventivi lavora con le tue credenziali. Se la casella non ha la verifica in due passaggi, chi ruba la password vede tutto quello che vede l'agente. Se le copie dei dati non si ripristinano, un errore dell'agente diventa un danno vero.
Come capire se sei pronto?
- Se la posta non ha la verifica in due passaggi, attivala prima di collegarla a qualsiasi assistente AI.
- Se non sai dire quali strumenti AI usi e cosa vedono, fai l'elenco prima di aggiungerne un altro.
- Se non hai mai ripristinato una copia dei dati, provalo una volta prima di dare a un agente il permesso di scrivere.
E noi?
Nella nostra pagina Sicurezza scriviamo come lavorano i sistemi che costruiamo. Ogni agente accede solo ai moduli che gli servono, con permessi revocabili. Le azioni sensibili aspettano una persona, e i segreti restano fuori dai prompt e dai registri.
Ecco come lo faremmo con chi lavora da solo. Partiremmo dall'elenco dei suoi account e degli strumenti AI che usa. Poi collegheremmo un agente solo agli account protetti, all'inizio in sola lettura.
“Prima di dare a un agente le chiavi della tua posta, controlla chi altro potrebbe averle.”
DBrothers — sulla sicurezza di chi lavora da solo
Domande frequenti
La guida del NIST vale anche in Italia?
Non è una norma italiana né europea, quindi non crea obblighi. È un documento gratuito che puoi usare come lista di controllo. Gli obblighi restano quelli delle norme che riguardano la tua attività.
Serve un tecnico per applicarla?
Per le azioni di base no. Secondo gli autori molte si fanno da soli, con poche conoscenze e una spesa minima. Un tecnico serve quando l'attività cresce e i sistemi diventano di più.
Dove la trovo?
Sul sito del NIST, gratis e in inglese. C'è anche un file di fogli di lavoro con tre esempi inventati dagli autori, tra cui un avvocato e un consulente.
Scegli tre azioni dell'elenco e falle questa settimana, partendo dalla posta. Se poi vuoi collegare un agente AI ai tuoi account, ne parliamo in 30 minuti.
