1. Il backup: verificarlo, non fidarsi
È il punto uno perché è quello che, se manca, rende irrilevanti tutti gli altri. E attenzione: "il backup c'è" non è una verifica, è una speranza. La domanda giusta non è gira? ma riparte?. Prima delle ferie, fai un ripristino di prova: prendi una cartella, una casella di posta, una macchina virtuale, e riportala su davvero. Se ci vogliono due ore quando l'ufficio è pieno, immagina quanto ci vorrebbe a ferragosto.
Controlla anche che la copia offline o immutabile esista e sia recente: è quella che ti salva da un ransomware, perché è l'unica che l'attaccante non può cifrare insieme al resto. È il "1" e lo "0" della regola 3-2-1-1-0, e agosto è esattamente il mese in cui serve. Ultimo dettaglio spesso dimenticato: verifica che gli alert dei backup arrivino a una casella che qualcuno leggerà. Se le notifiche di errore finiscono nella mail di chi è in ferie fino al 25, tanto vale non averle.
2. Chi risponde, se succede qualcosa
Serve una risposta scritta, non una intenzione. Chi si occupa dell'IT in azienda dal 1° al 31 agosto? Su quale numero è raggiungibile? E soprattutto: chi ha l'autorità di decidere — spegnere un server, autorizzare un intervento, chiamare il fornitore — se il titolare è irraggiungibile? Metti tre righe in un documento condiviso con nomi, numeri e limiti di spesa, e mandalo a tutti prima di chiudere.
Se hai un contratto di assistenza, controlla adesso cosa dice sul periodo estivo: copertura, orari, tempi di risposta garantiti. È il momento in cui uno SLA scritto vale davvero i soldi che costa — ne parlavamo tra le 10 domande da fare a un MSP. Se invece lavori "a chiamata", tieni presente che ad agosto il tecnico libero è una specie rara e la tariffa d'urgenza è al massimo: è la voce che gonfia il conto in quanto costa non avere un MSP.
3. Accessi e deleghe: le chiavi non partono in vacanza
Lo scenario classico: serve approvare un pagamento o recuperare un documento, e l'unico account che può farlo è quello di chi sta facendo il bagno. Prima di chiudere, sistema tre cose:
• Deleghe sulle caselle. Su Microsoft 365 puoi dare accesso delegato a una casella o a un calendario senza condividere la password: chi resta lavora, chi parte non viene disturbato.
• Almeno due metodi MFA per ogni utente critico. Il telefono che finisce in acqua o resta senza campo blocca l'accesso a tutto. Un secondo fattore di riserva registrato adesso vale un pomeriggio salvato dopo — vedi la guida all'MFA.
• Chi va via davvero. Se un collaboratore stagionale o un contratto scade a luglio, disattiva l'account alla data, non "a settembre quando ci pensiamo". Gli account dormienti sono la porta preferita di chi attacca.
4. Aggiornamenti: falli prima, non durante
C'è una tentazione comprensibile: "approfitto della chiusura per aggiornare tutto". È una pessima idea se non c'è nessuno che possa rimediare quando un aggiornamento rompe qualcosa — e ogni tanto succede. La regola sana è l'opposto: chiudi le patch di sicurezza nei giorni prima delle ferie, con l'ufficio ancora pieno e la possibilità di accorgersi che la stampante di rete non risponde più. Poi, durante la chiusura, congela: niente aggiornamenti maggiori, niente migrazioni, niente cambi di configurazione "tanto non c'è nessuno".
Con dispositivi gestiti (Microsoft Intune, Defender) puoi programmare le finestre e le esclusioni una volta sola e stare tranquillo. Se invece i PC si aggiornano quando gli pare, almeno assicurati che i portatili che partono in ferie con i dipendenti siano aggiornati oggi.
5. Il mondo fisico, che nessuno guarda ad agosto
Il rack non sa che sei in ferie. Prima di chiudere, un giro veloce: il condizionamento della sala server o dell'armadio resta acceso anche a uffici chiusi? (Agosto + porta chiusa + nessuno che senta la ventola urlare = hardware che muore in silenzio.) L'UPS ha le batterie ancora buone e regge abbastanza da spegnere le macchine in modo ordinato durante il temporale di ferragosto? I dispositivi che non servono — PC, monitor, stampanti — vanno spenti davvero, non lasciati in stand-by: consumo in meno e superficie d'attacco in meno.
Verifica anche gli allarmi e le telecamere: spesso passano dalla stessa rete che stai per lasciare incustodita, e un firewall (WatchGuard, nel nostro caso) con notifiche attive è ciò che ti avvisa se la connessione dell'ufficio cade e non torna.
6. La truffa che arriva proprio adesso
C'è un motivo se il "bonifico urgente richiesto dal capo" arriva sempre in agosto: chi attacca sa benissimo che l'azienda è a mezzo organico, che le persone che potrebbero verificare sono via, e che chi resta ha voglia di chiudere in fretta. La risposta d'agosto va decisa a luglio: nessun pagamento o cambio di IBAN viene autorizzato via sola email, mai, nemmeno se il messaggio sembra scritto dal titolare. Serve una seconda verifica su un canale diverso, con un numero che già avevi in rubrica.
Ripassa i 7 segnali del phishing con chi resta in ufficio, e chiarisci che rallentare un pagamento sospetto non è mai un errore: nessuno verrà rimproverato per aver chiesto conferma. Se il peggio dovesse succedere lo stesso, il piano dei primi 30 minuti dopo un data breach vale ancora — solo che ad agosto va stampato e lasciato dove chi resta lo trova.
In sintesi
Le ferie non mettono in pausa l'infrastruttura: tolgono soltanto gli occhi che di solito la guardano. La checklist serve a chiudere quel divario in mezza giornata di lavoro, non a rovinarti l'estate. Backup ripristinato per davvero, un nome e un numero per le emergenze, deleghe e secondi fattori sistemati, patch fatte prima e congelate dopo, un giro nella sala server e una regola chiara sui pagamenti. Cinque punti e mezzo che valgono un rientro sereno.
Se vuoi che a guardare l'infrastruttura ad agosto ci sia qualcuno anche quando in ufficio non c'è nessuno, parliamone: monitoraggio continuo, backup verificati e un numero che risponde anche a ferragosto.
Articoli collegati: La regola di backup 3-2-1-1-0 · Come scegliere un MSP: 10 domande · MFA senza far impazzire i dipendenti