L'email e il vettore di attacco numero uno. Il 91% degli attacchi informatici inizia con un'email: phishing, malware allegato, BEC (Business Email Compromise), pretexting. Proteggere la posta elettronica aziendale non e un optional — e la prima linea di difesa della tua organizzazione.
La NIS2 richiede misure di sicurezza adeguate per tutti i canali di comunicazione. L'email, come canale piu vulnerabile, merita un'attenzione particolare. Vediamo le misure tecniche e organizzative fondamentali.
SPF, DKIM e DMARC: il trittico fondamentale
Questi tre protocolli proteggono il tuo dominio dallo spoofing — impediscono che qualcuno invii email spacciandosi per la tua organizzazione.
- SPF (Sender Policy Framework) — dichiara quali server sono autorizzati a inviare email per il tuo dominio
- DKIM (DomainKeys Identified Mail) — firma digitalmente ogni email, permettendo al destinatario di verificarne l'autenticita
- DMARC (Domain-based Message Authentication, Reporting & Conformance) — definisce la policy: cosa fare con le email che non passano SPF/DKIM (quarantena, rifiuto, nessuna azione)
Email gateway e filtro anti-phishing
Un email gateway avanzato analizza ogni email in arrivo alla ricerca di minacce. Le funzionalita chiave: sandboxing degli allegati (esecuzione in ambiente isolato per rilevare malware zero-day), rewriting degli URL (i link vengono riscritti per passare attraverso un proxy che li verifica al momento del click), analisi del contenuto con AI (rilevamento di tentativi di BEC e social engineering), banner di avviso per email esterne.
Cifratura delle email
Per le comunicazioni sensibili, la cifratura email protegge il contenuto dall'intercettazione. S/MIME e PGP sono gli standard piu diffusi, ma la loro adozione e ancora bassa per la complessita d'uso. Alternative piu pratiche: portali di email sicura (il destinatario accede via link), Microsoft 365 Message Encryption, gateway di cifratura automatica basati su policy.
Best practice per la sicurezza email
- MFA su tutti gli account email — senza eccezioni, specialmente per gli account admin
- Policy di gestione allegati — bloccare gli allegati eseguibili, limitare le macro
- Formazione anti-phishing — simulazioni periodiche e micro-learning
- Monitoraggio accessi anomali — alert su login da posizioni o dispositivi insoliti
- Backup della posta — i dati email sono un asset critico, servono backup dedicati
- Revoca accessi tempestiva — quando un dipendente lascia l'azienda, l'account email va disabilitato immediatamente