Il cloud computing e la sicurezza aziendale sono oggi due temi inseparabili per le PMI italiane. Nel 2026, il 68% delle PMI italiane utilizza almeno un servizio cloud, secondo i dati dell’Osservatorio Cloud Transformation del Politecnico di Milano 2026. Ma solo il 25% ha completato una migrazione strutturata dei sistemi IT critici.
Il resto ha cloud a metà: email su Microsoft 365, storage su Google Drive, tutto il resto ancora su server fisici in azienda spesso obsoleti e poco protetti. Non è una critica, è la fotografia di un percorso che molte PMI stanno affrontando proprio adesso, con pressioni che arrivano da più parti: la NIS2, i requisiti delle polizze cyber, le richieste dei clienti più grandi e la fine del supporto di sistemi che non possono aspettare ancora.
In questo articolo parliamo di cosa significa migrare al cloud in modo sicuro, quali sono i rischi reali da considerare e quali strumenti avete a disposizione anche sul fronte degli incentivi.
Perché il cloud computing non risolve automaticamente i problemi di sicurezza
C’è un equivoco diffuso che vale la pena chiarire subito: migrare al cloud non significa automaticamente essere più sicuri. Significa spostare la responsabilità della sicurezza dell’infrastruttura fisica al provider, ma mantenere la responsabilità di tutto il resto.
Il modello di responsabilità condivisa è il concetto chiave da capire prima di qualsiasi migrazione. Il provider cloud (AWS, Azure, Google Cloud) si occupa della sicurezza dell’infrastruttura: data center, hardware, rete fisica, disponibilità dei servizi. Tu ti occupi della sicurezza di quello che ci metti dentro: dati, applicazioni, identità degli utenti, configurazioni di accesso.
In pratica: un server mal configurato nel cloud è vulnerabile esattamente come un server mal configurato in azienda. Un account senza autenticazione a due fattori nel cloud è un rischio esattamente come in qualsiasi altro sistema. La sicurezza perimetrale tradizionale non esiste più nel cloud, e chi migra senza ripensare l’approccio alla gestione degli accessi e delle identità spesso si ritrova con una superficie di attacco più ampia di prima, non più piccola.
I rischi principali di una migrazione mal pianificata
Ogni migrazione porta con sé rischi che è meglio conoscere prima di iniziare.
Configurazioni errate. È la causa numero uno di violazioni in ambiente cloud. Bucket S3 pubblici per errore, permessi troppo permissivi, log di accesso non abilitati: sono errori comuni che espongono dati senza che nessuno se ne accorga per settimane o mesi. Secondo i dati Clusit 2025, il 78% delle PMI colpite da ransomware senza un secondo sito di backup ha subito un fermo operativo superiore a 10 giorni lavorativi, con perdite medie superiori a 100.000 euro.
Vendor lock-in. Più dipendi da servizi proprietari di un singolo provider (funzioni serverless, database gestiti, strumenti di AI integrati), più diventa costoso e complesso uscire. Utilizzare tecnologie standard come container Docker e formati di dati aperti riduce questo rischio in modo significativo.
Connettività sottodimensionata. Uno degli errori più comuni nelle PMI italiane: la fibra FTTC da 100 Mbps che bastava per le email diventa un collo di bottiglia quando 25 dipendenti accedono a un gestionale cloud in contemporanea. La progettazione corretta di una migrazione inizia sempre dall’audit della connettività.
Identità e accessi non ripensati. Nel cloud, l’identità è il nuovo perimetro. Credenziali condivise, account di servizio con privilegi eccessivi, utenti che hanno lasciato l’azienda con accessi ancora attivi: tutti rischi che si amplificano in ambiente cloud perché l’accesso non è più limitato alla rete fisica aziendale.
Compliance GDPR e residenza dei dati. Prima di scegliere il provider, verifica che offra Data Processing Agreement (DPA), che i dati siano ospitati in data center UE e che la configurazione rispetti i requisiti GDPR. Non tutti i provider lo garantiscono automaticamente.
Cosa configurare prima di migrare: la checklist di sicurezza
Prima di spostare un singolo sistema nel cloud, queste configurazioni devono essere pianificate, non posticipate.
Identity and Access Management (IAM). Implementa il principio del minimo privilegio: ogni utente e ogni servizio deve avere solo i permessi strettamente necessari. Configura il Single Sign-On (SSO) per centralizzare la gestione delle identità tra cloud e sistemi on-premise, se ne hai ancora.
Autenticazione a due fattori obbligatoria. Su tutti gli account cloud, senza eccezioni. Priorità assoluta per gli account con privilegi amministrativi.
Crittografia dei dati. Dati cifrati at-rest e in-transit. I principali provider lo offrono, ma va abilitato e configurato correttamente. Verifica che le chiavi di cifratura siano gestite da te, non solo dal provider.
Backup e disaster recovery. La regola del 3-2-1 vale anche nel cloud: tre copie dei dati, su due supporti diversi, di cui uno geograficamente separato. Testa il ripristino regolarmente, non solo il backup. Un backup non testato è un backup di cui non puoi fidarti.
Logging e monitoraggio. Abilita i log di accesso e configura alert per attività anomale. Nel cloud è facile farlo, ma non viene fatto automaticamente: devi configurarlo tu. Un accesso da una geografia insolita o a un orario non abituale deve generare una notifica, non essere scoperto a posteriori.
Segmentazione della rete. Anche nel cloud, isola i sistemi critici dal resto dell’infrastruttura. Un’architettura di rete piatta nel cloud è un rischio: se un sistema viene compromesso, l’accesso si propaga a tutto il resto.
Cloud pubblico, privato o ibrido: quale ha senso per una PMI
Non esiste una risposta valida per tutte le aziende, ma ci sono alcune indicazioni pratiche.
Il cloud pubblico (AWS, Azure, Google Cloud) è la scelta giusta per la maggior parte delle PMI per email, collaboration, backup e applicazioni SaaS. Scalabile, economico, con sicurezza fisica garantita dal provider.
Il cloud ibrido (sistemi critici on-premise, resto nel cloud) è la scelta più comune per le PMI con applicativi legacy che non conviene migrare, dati particolarmente sensibili o requisiti normativi specifici. I rischi principali dell’ibrido sono tre: la sicurezza del canale di connessione tra azienda e cloud, la gestione delle identità tra i due ambienti, e la governance dei dati distribuiti su sistemi diversi.
Il cloud privato (infrastruttura cloud gestita internamente) raramente ha senso per una PMI: i costi sono simili a quelli dell’on-premise senza i vantaggi di scalabilità e continuità del cloud pubblico.
Per la maggior parte delle PMI italiane, la strategia più sensata è un mix di SaaS per le applicazioni standard e IaaS per i sistemi custom, con un approccio ibrido per i sistemi legacy critici che non conviene migrare.
Il Voucher Cloud & Cybersecurity 2026: un’opportunità concreta
C’è una novità importante che ogni responsabile IT dovrebbe conoscere in questo momento. Il Ministero delle Imprese e del Made in Italy ha stanziato 150 milioni di euro per il Voucher Cloud & Cybersecurity 2026, introdotto con il decreto ministeriale del 18 luglio 2025: un contributo a fondo perduto che copre il 50% delle spese ammissibili per PMI e lavoratori autonomi, fino a un massimo di 20.000 euro per azienda.
Le spese ammissibili includono servizi cloud infrastrutturali (IaaS, PaaS), soluzioni SaaS aziendali, hardware e software per la cybersecurity (firewall, sistemi SIEM, antimalware, soluzioni di crittografia), e servizi di configurazione, monitoraggio e supporto continuativo fino al 30% del piano di spesa totale.
Lo sportello per le domande delle imprese aprirà nella seconda metà del 2026, dopo la pubblicazione dell’elenco ufficiale dei fornitori qualificati. L’assegnazione seguirà l’ordine cronologico di arrivo: prepararsi ora significa avere la precedenza.
Se hai in piano una migrazione cloud o un upgrade della sicurezza informatica, questo è il momento giusto per pianificarla in modo da accedere all’incentivo. Un progetto ben strutturato (migrazione cloud + firewall di nuova generazione + backup geograficamente separato) può coprire una quota significativa dell’investimento.
Quanto tempo richiede una migrazione
Per orientarti nella pianificazione: una migrazione tipica per una PMI da 5 a 30 dipendenti richiede dalle due alle otto settimane, a seconda del numero di applicativi coinvolti, della qualità degli archivi esistenti e dell’eventuale adeguamento della connettività. Email e archivi condivisi possono essere attivi in pochi giorni. I sistemi gestionali e i dati critici richiedono più tempo e attenzione.
La pianificazione è la fase più importante: una migrazione affrettata o mal pianificata crea più problemi di quanti ne risolva.
Stai valutando una migrazione cloud o vuoi capire come rendere più sicura l’infrastruttura esistente?
Prenota una call gratuita di 30 minuti con il nostro team. Analizziamo insieme la tua situazione attuale e ti diciamo, senza impegno, da dove conviene partire.