1. Password e chiavi scritte nel codice
È l'errore più comune: la password del database o la chiave di un servizio a pagamento finiscono dentro il programma, magari pubblicato online. Chi la trova può leggere i tuoi dati o spendere al posto tuo. Le chiavi vanno in un file di configurazione protetto, mai nel codice.
2. Chi può fare cosa
Prova a entrare con un utente normale in una pagina da amministratore, o a cambiare un numero nell'indirizzo per vedere i dati di un altro cliente. Se funziona, il software controlla l'accesso solo nell'interfaccia e non sul server.
3. Dati inseriti dagli utenti
Moduli, ricerche e caricamenti di file sono la porta d'ingresso degli attacchi più noti (SQL injection, script malevoli, file travestiti). Il server deve controllare tutto quello che riceve, non fidarsi del browser.
4. Backup che si possono davvero ripristinare
Un backup mai provato non è un backup. Serve una copia automatica, fuori dal server principale, non modificabile dal ransomware, e una prova di ripristino almeno ogni qualche mese.
5. Dati personali e GDPR
Se il programma tratta dati di clienti, dipendenti o pazienti, devi poter dimostrare misure di sicurezza adeguate: cifratura, accessi tracciati, conservazione limitata. In caso di violazione hai 72 ore per notificarla al Garante (art. 33 GDPR).
6. Librerie e licenze
L'AI usa volentieri librerie esterne: alcune sono abbandonate, altre hanno vulnerabilità note, altre ancora licenze che non permettono l'uso commerciale. Serve un elenco delle dipendenze e un controllo periodico.
7. Chi lo mantiene domani
Se nessuno capisce come è fatto il codice, il primo aggiornamento del sistema operativo può bloccarlo. Documentazione minima, codice sorgente in un posto sicuro e qualcuno che sappia rimetterci mano: altrimenti il risparmio di oggi diventa il fermo di domani.
Guida informativa aggiornata al 03/11/2026: non sostituisce una consulenza legale o fiscale sul tuo caso.