Il nostro CEO Fabrizio Bottacchiari ha rivelato a OrizzonteScuola scenari allarmanti: 8.593 attacchi informatici settimanali per scuola, sanzioni GDPR che possono compromettere interi bilanci d’istituto, e una transizione digitale che rischia di creare nuove esclusioni sociali. Ma dall’analisi emergono anche cinque azioni concrete che ogni Dirigente Scolastico può implementare nei prossimi 30 giorni per trasformare la propria scuola da bersaglio vulnerabile a presidio di sicurezza. Ecco come passare dall’emergenza alla prevenzione strategica.
Il tempo delle illusioni è finito
“Non abbiamo niente di importante.” Quante volte Fabrizio Bottacchiari, esperto di cybersecurity e GDPR per il settore scolastico e CEO di Maiora Labs, ha sentito pronunciare questa frase dai Dirigenti Scolastici italiani? Centinaia, forse migliaia. Eppure i dati del 2025 raccontano una realtà brutalmente diversa: le scuole italiane sono diventate il bersaglio numero uno mondiale per i cybercriminali, con oltre 1.200 tentativi di attacco al giorno per ogni singolo istituto.
L’intervista rilasciata dal nostro CEO alla rivista OrizzonteScuola ha sollevato il velo su una situazione che molti dirigenti ancora sottovalutano. Non si tratta più di allarmi teorici o statistiche lontane dalla realtà quotidiana delle aule: parliamo di 8 milioni di studenti italiani la cui continuità didattica è messa a rischio ogni giorno, di sanzioni del Garante Privacy che possono raggiungere i 10.000 euro per un singolo errore, di gruppi criminali organizzati che considerano gli istituti scolastici italiani come “bancomat digitali”.
Ma c’è un aspetto ancora più inquietante…
Le cinque vulnerabilità che nessuno racconta
Quello che emerge dall’intervista non è solo l’entità della minaccia, ma la sistematica sottovalutazione di vulnerabilità ormai documentate. L’Italia supera del 53,2% la media globale negli attacchi al settore education. Non siamo vittime casuali: siamo target specifici. I cybercriminali hanno identificato una combinazione letale nelle nostre scuole: infrastrutture IT obsolete, dati sensibili di altissimo valore, e capacità di risposta praticamente inesistenti.
Nel frattempo, il Garante Privacy ha inaugurato una stagione di controlli senza precedenti. Un asilo nido di Rho sanzionato con 10.000 euro per foto inappropriate di bambini. Un Istituto Comprensivo di Milano multato con 2.000 euro per aver pubblicato dati sulle assenze docenti. Una scuola di Fasano penalizzata con 3.000 euro per acronimi “BES”, “DSA”, “ALUNNO H” visibili nel registro elettronico.
Il messaggio del Garante è chiaro e inequivocabile: l’interesse superiore del minore prevale su qualsiasi consenso genitoriale. Anche se i genitori firmano l’autorizzazione, pubblicare contenuti inappropriati genera comunque una sanzione. È una rivoluzione copernicana nella gestione della privacy scolastica, e molte scuole non se ne sono ancora accorte.
Ma la vulnerabilità più pericolosa non è tecnologica: è culturale. Come ha sottolineato Bottacchiari, “spiegare attenti al phishing in una riunione collegiale è come insegnare a nuotare guardando una foto della piscina”. La formazione tradizionale non funziona più, e mentre le scuole organizzano l’ennesimo corso frontale sulla sicurezza informatica, i cybercriminali studiano chirurgicamente gli organigrammi, le PEC istituzionali, le procedure interne per costruire attacchi personalizzati.
E poi c’è il paradosso della digitalizzazione: mentre il Ministero spinge verso SPID obbligatorio e intelligenza artificiale in classe, le famiglie del sud Italia si trovano a dover pagare 12-15 euro annui solo per accedere ai servizi scolastici di base. La Lombardia viaggia al 90% di autonomia digitale, il Mezzogiorno arranca al 40%. Stiamo creando un digital divide nell’accesso ai servizi essenziali, in un paese che si dichiara impegnato nella transizione digitale.
Le cinque azioni che fanno la differenza
Dall’intervista del nostro CEO emergono indicazioni operative precise, che incrociamo con la nostra GDPR compliance checklist for schools 2025 per fornire ai Dirigenti Scolastici un piano d’azione immediato e sostenibile.
- Audit chirurgico del sito web istituzionale (entro 7 giorni)
La prima azione è anche la più economica e quella con il maggior impatto immediato sulla riduzione del rischio sanzioni. Bottacchiari è stato lapidario: “Prima di pubblicare qualunque dato online, fatevi una domanda precisa: esiste una legge specifica che mi obbliga a pubblicare questi dati? Se la risposta è no o non sono sicuro, non pubblicate. Punto.”
L’articolo 2-ter del Codice Privacy stabilisce che un ente pubblico può diffondere dati personali solo se una norma di legge lo prevede espressamente. La generica “trasparenza amministrativa” non giustifica mai la pubblicazione di elenchi di studenti, graduatorie con codici fiscali, o comunicazioni con nomi in chiaro.
Piano operativo immediato:
- Ispezionare ogni sezione del sito web alla ricerca di file con elenchi studenti
- Rimuovere graduatorie che eccedono i dati necessari per legge
- Eliminare comunicazioni storiche con nomi di studenti o famiglie in chiaro
- Verificare che foto e video pubblici abbiano base normativa esplicita
- Controllare che acronimi come “BES”, “DSA”, “ALUNNO H” non siano mai visibili pubblicamente
Questa operazione richiede mezza giornata di lavoro da parte del personale amministrativo, ma può evitare sanzioni da 2.000 a 10.000 euro. Il ritorno sull’investimento è immediato e misurabile.
- Implementazione autenticazione multi-fattore (entro 15 giorni)
“Costa 2-3 euro per utente al mese ma può evitare danni da decine di migliaia di euro”, ha dichiarato Bottacchiari. L’autenticazione multi-fattore (MFA) è la singola misura di sicurezza con il miglior rapporto costo-beneficio nel panorama della cybersecurity scolastica.
Il caso dell’Università di Padova colpita a marzo 2025 con circa 200 credenziali compromesse dimostra che anche le istituzioni educative più prestigiose non sono immuni da attacchi di credential stuffing e phishing avanzato. Ma un sistema MFA correttamente implementato avrebbe bloccato il 99,9% di questi tentativi.
Piano operativo immediato:
- Attivare MFA su tutti i sistemi critici: registro elettronico, posta elettronica istituzionale, piattaforme di gestione documentale
- Prioritizzare account con privilegi amministrativi
- Utilizzare app di autenticazione (Google Authenticator, Microsoft Authenticator) o token hardware per massima sicurezza
- Evitare SMS come secondo fattore per account critici (vulnerabili a SIM swapping)
- Formare il personale sull’uso corretto dell’MFA
L’investimento medio per una scuola di 1.000 studenti è di circa 200-300 euro mensili. Una singola violazione evitata ripaga l’investimento di anni.
- Verifica e test del sistema di backup (entro 21 giorni)
I dati dell’Agenzia per la Cybersicurezza Nazionale documentano 91 attacchi ransomware al settore educativo nel primo semestre 2025. L’Università di Pisa ha ricevuto richiesta di riscatto da 4,5 milioni di dollari, Siena ha subito compromissione completa della rete. Il precedente di Axios ha bloccato il 40% delle scuole italiane.
Come ha sottolineato il nostro CEO: “Non stiamo parlando di se ma di quando arriverà il vostro turno.” Un backup non testato è come un estintore senza pressione: vi illude di essere al sicuro, ma nel momento dell’emergenza vi abbandona.
Piano operativo immediato:
- Verificare che i backup siano automatizzati e programmati almeno quotidianamente
- Assicurarsi che i backup siano offline e geograficamente separati (non sulla stessa rete dell’istituto)
- Testare il ripristino completo da backup almeno mensilmente
- Documentare le procedure di disaster recovery
- Verificare che i backup includano tutti i sistemi critici: registro elettronico, posta, documenti amministrativi, dati contabili
Il costo medio di un sistema di backup professionale per una scuola è di 50-150 euro mensili. Il costo medio per recuperare da un attacco ransomware senza backup adeguato supera i 50.000 euro, senza contare le settimane di interruzione didattica e il danno reputazionale permanente.
- Formazione anti-phishing con simulazioni reali (entro 30 giorni)
“Un docente che clicca su un allegato malevolo può compromettere l’intero istituto in pochi minuti”, ha avvertito Bottacchiari. La campagna Emotet con false email da domini @istruzione.it compromessi non è fantascienza ma realtà documentata da CERT-AGID.
Il problema della formazione tradizionale è l’assenza di esperienza pratica. Serve training esperienziale continuo, non lezioni frontali dimenticate dopo 48 ore.
Piano operativo immediato:
- Implementare piattaforme di simulazione phishing reali (KnowBe4, Cofense, o alternative open source)
- Programmare invii mensili di test phishing personalizzati al personale
- Monitorare chi clicca e formare specificatamente chi commette errori
- Creare una cultura dove ammettere di aver ricevuto un tentativo di truffa sia motivo di condivisione, non vergogna
- Implementare la regola delle “tre V”: Verificare identità, Validare richieste attraverso canali indipendenti, Vincolare operazioni critiche a procedure di doppia firma
Il costo di una piattaforma di simulazione phishing è inferiore a quello di un corso di aggiornamento tradizionale, ma l’efficacia è moltiplicata. Diverse università che hanno implementato questi sistemi hanno ridotto il tasso di click su email di phishing dal 30% al 3% in sei mesi.
- Verifica compliance registro elettronico e gestione accessi (entro 30 giorni)
Il Decreto 166 del 2025 ha introdotto l’intelligenza artificiale ufficialmente nelle scuole, operativo dal 2 settembre 2025 dopo parere favorevole del Garante. Parallelamente, la Nota MIM 2773 del 4 aprile 2025 ha reso obbligatorio l’accesso ai registri solo tramite identità digitali.
Ma come ha rivelato Bottacchiari, “molte scuole stanno usando ChatGPT, Claude e altri LLM senza sapere che dall’estate 2025 questi sistemi utilizzano automaticamente tutti i dati inseriti per il training dei modelli”. È una violazione GDPR clamorosa che passa inosservata.
Piano operativo immediato:
- Verificare che il registro elettronico supporti accesso tramite SPID/CIE secondo normativa 2025
- Assicurarsi che il fornitore abbia completato la transizione agli standard di sicurezza richiesti
- Se si utilizzano strumenti di intelligenza artificiale, passare immediatamente a soluzioni certificate per l’education (Microsoft Copilot for Education, Google Gemini for Education)
- Vietare esplicitamente l’uso di ChatGPT gratuito, Claude gratuito, o altri LLM non certificati per inserimento dati scolastici
- Condurre valutazioni d’impatto (DPIA) per ogni sistema IA ad alto rischio secondo metodologia HUDERIA
Come sottolineato dal nostro CEO, “la differenza di prezzo tra una soluzione consumer e una certificata education è irrisoria rispetto al costo di una sanzione per violazione della privacy di centinaia di studenti”.
Dal “triangolo della sopravvivenza” al modello di resilienza permanente
Bottacchiari ha definito il “triangolo della sopravvivenza digitale” come: DPO operativo e aggiornato, sistema di backup testato mensilmente, formazione anti-phishing per tutto il personale. “Senza questi tre elementi”, ha dichiarato, “una scuola è un paziente in terapia intensiva che non sa ancora di esserlo.”
Ma implementare le cinque azioni immediate è solo il primo passo. La trasformazione da gestione emergenziale a resilienza strategica richiede un cambio di paradigma culturale che le scuole italiane devono affrontare con urgenza.
Il costo reale della non-compliance
I numeri raccontati nell’intervista non sono astrazioni statistiche. Ogni violazione ha conseguenze concrete e misurabili:
Impatto economico diretto:
- Sanzioni GDPR da 2.000 a 10.000 euro per singola violazione
- Costi di ripristino dopo attacco ransomware: 50.000-200.000 euro
- Perdita economica per interruzione didattica: variabile ma significativa
- Spese legali per contenziosi con famiglie: 5.000-20.000 euro per caso
Impatto reputazionale permanente:
- Come ha sottolineato il CEO, “una scuola che perde i dati degli studenti a novembre non recupera mai la fiducia delle famiglie”
- Calo iscrizioni anno successivo documentato in diverse istituzioni colpite
- Danno d’immagine che si propaga attraverso passaparola e social media
- Perdita di credibilità verso partner istituzionali e fornitori
Impatto sulla continuità didattica:
- Università di Siena: compromissione completa della rete con settimane di interruzione servizi
- Caso Axios: 40% delle scuole italiane bloccate contemporaneamente
- Impossibilità di accesso a registri, materiali didattici, comunicazioni scuola-famiglia
La compliance come vantaggio competitivo
Le scuole che hanno implementato seriamente i principi di cybersecurity e privacy stanno registrando vantaggi competitivi misurabili, come evidenziato nell’intervista:
- Personale più consapevole e preparato alle sfide digitali
- Famiglie più fiduciose nella gestione dati dei propri figli
- Dirigenti che affrontano l’anno scolastico con serenità invece che con ansia costante
- Capacità di adottare innovazioni tecnologiche in modo sicuro e conforme
- Resilienza operativa di fronte a incidenti di sicurezza
Dall’emergenza alla strategia
Il messaggio finale del nostro CEO nell’intervista è un perfetto equilibrio tra realismo e speranza operativa: “Tutti questi scenari allarmanti non sono inevitabili. Ogni minaccia ha una contromisura precisa, ogni normativa ha un percorso di compliance, ogni problema ha una soluzione tecnicamente ed economicamente sostenibile.”
Le cinque azioni immediate che abbiamo delineato rappresentano il primo step di un percorso più ampio che ogni istituto scolastico deve intraprendere. Non si tratta di costi aggiuntivi ma di investimenti strategici per garantire la continuità didattica e la tutela dei diritti fondamentali di studenti e famiglie.
Il futuro digitale della scuola italiana si decide oggi, nelle scelte operative di ogni Dirigente Scolastico. La domanda, come ha concluso Bottacchiari, non è se avremo problemi, ma se saremo pronti a gestirli quando arriveranno. E credetemi: arriveranno.
Impariamo insieme: guida pratica alla cybersecurity scolastica
Come implementare l’autenticazione multi-fattore in 5 passaggi
- Identificare i sistemi critici: Registro elettronico, email istituzionale, piattaforme gestionali, accesso amministrativo
- Scegliere il metodo MFA appropriato: App di autenticazione per uso quotidiano, token hardware per account super-amministratori
- Configurare il sistema: Abilitare MFA nelle impostazioni di sicurezza di ogni piattaforma
- Formare gli utenti: Sessione pratica di 30 minuti su come installare e usare l’app di autenticazione
- Monitorare l’adozione: Verificare che il 100% degli account critici abbia attivato MFA entro 15 giorni
Come testare efficacemente i backup
- Programmare test mensili: Inserire nel calendario istituzionale un test di ripristino il primo venerdì di ogni mese
- Simulare scenari realistici: Non ripristinare solo un file, ma un sistema completo
- Misurare i tempi: Documentare quanto tempo serve per il ripristino completo
- Verificare l’integrità: Assicurarsi che i dati ripristinati siano completi e utilizzabili
- Aggiornare le procedure: Documentare ogni criticità emersa e aggiornare il piano di disaster recovery
Come costruire una cultura della consapevolezza
- Normalizzare gli errori: Quando qualcuno segnala di aver cliccato su un link sospetto, ringraziatelo pubblicamente
- Condividere gli incidenti: Newsletter mensile con esempi reali di tentativi di phishing ricevuti dalla scuola
- Gamificare la formazione: Classifica amichevole di chi riconosce meglio le email di phishing nelle simulazioni
- Rendere accessibili le procedure: Poster nelle sale docenti con le “tre V” e i numeri da contattare in caso di sospetto
- Celebrare i successi: Quando viene sventato un tentativo di attacco grazie alla segnalazione di un docente, comunicatelo a tutto l’istituto
Quanto costa realmente implementare le cinque azioni immediate?
L'investimento totale per una scuola media di 800 studenti si aggira sui 500-800 euro mensili, così suddivisi: MFA (200-300€), backup professionale (100-150€), piattaforma simulazione phishing (150-200€), consulenza DPO qualificato (già obbligatoria per legge). L'audit del sito web e la verifica compliance registro sono attività interne a costo zero. Una singola sanzione GDPR di 5.000 euro ripaga 6-10 mesi di investimento in sicurezza.
Posso implementare solo alcune azioni invece che tutte e cinque?
Chi è responsabile in caso di violazione: il Dirigente Scolastico o il DPO?
Il Dirigente Scolastico è sempre il Titolare del trattamento e quindi il responsabile legale finale. Il DPO ha funzioni consultive e di controllo ma non decision-making. Questa distinzione è cruciale: delegare al DPO non solleva il Dirigente dalla responsabilità. Per questo è fondamentale che il DS comprenda almeno i principi base della cybersecurity e GDPR, anche senza necessità di competenze tecniche avanzate.
Come posso verificare se il mio DPO è realmente qualificato?
Un DPO qualificato deve possedere: formazione giuridica in materia di privacy certificata, esperienza specifica nel settore scolastico, aggiornamento continuo documentato (il Garante sanziona con 8.000€ il DPO non aggiornato), disponibilità operativa reale (non solo formale), capacità di condurre DPIA e audit di sicurezza. Chiedete evidenza di formazioni recenti, esempi di DPIA redatte, referenze da altre scuole. Un DPO che non sa spiegarvi in termini semplici cosa fare in caso di data breach probabilmente non è adeguato.
Il registro elettronico fornito dalla scuola è automaticamente conforme al GDPR?
Assolutamente no. Come evidenziato nell'intervista, molti registri elettronici hanno implementato SPID/CIE solo di recente per conformarsi alla Nota MIM 2773 del 4 aprile 2025. Dovete verificare attivamente: presenza di contratto di responsabilizzazione (art. 28 GDPR), DPIA specifica per il registro, misure di sicurezza adeguate, backup automatici, supporto per gestione data breach, conformità alle Linee Guida IA se il sistema integra funzioni di intelligenza artificiale. Se il fornitore non può fornire questa documentazione, valutate il cambio.
Come posso giustificare al Consiglio d'Istituto investimenti in cybersecurity quando il bilancio è già stretto?
Quanto tempo serve realmente per implementare le cinque azioni?
Con approccio strutturato: audit sito web (1 settimana), implementazione MFA (2 settimane), verifica e test backup (3 settimane), attivazione piattaforma phishing (1 settimana), verifica compliance registro (2 settimane). Molte attività possono procedere in parallelo. Con dedizione full-time di una risorsa amministrativa e supporto tecnico esterno, l'implementazione completa richiede 30 giorni. Senza approccio strutturato, le scuole impiegano 6-12 mesi e spesso non completano mai tutte le azioni.
Cosa faccio se scopro una violazione dati nella mia scuola?
L'uso di WhatsApp per comunicazioni scolastiche è conforme al GDPR?
Dipende dall'uso. WhatsApp per comunicazioni personali docente-genitore su questioni individuali può essere lecito con consenso. WhatsApp per comunicazioni ufficiali d'istituto, invio dati sensibili, creazione di gruppi con tutti i genitori di una classe è quasi sempre non conforme. Il problema principale è che WhatsApp condivide metadati con Meta, i numeri di telefono di tutti i membri del gruppo sono visibili reciprocamente (violazione), non esiste garanzia di cancellazione controllata. Preferite sempre email istituzionale, registro elettronico, o piattaforme certificate education.
Devo fare una DPIA per ogni attività che prevede trattamento dati?
No, ma per quelle ad alto rischio sì. Sono sempre obbligatorie DPIA per: registro elettronico, videosorveglianza, piattaforme didattica a distanza, sistemi di riconoscimento biometrico, trattamenti che comportano profilazione, sistemi di intelligenza artificiale ad alto rischio. Per attività routinarie come tenuta fascicoli studenti cartacei o invio comunicazioni generiche non serve DPIA specifica, basta registrazione nel registro trattamenti. In caso di dubbio, consultate il DPO prima di attivare un nuovo sistema.
Posso usare Google Workspace o Microsoft 365 gratuitamente per la scuola o devo pagare versioni education?
Le versioni consumer gratuite (Gmail personale, Google Drive gratuito) non possono essere usate per dati scolastici. Violano il GDPR perché non offrono garanzie contrattuali adeguate. Dovete usare versioni education certificate: Google Workspace for Education o Microsoft 365 Education. Queste versioni sono spesso gratuite o a costo ridotto per le scuole e includono Data Processing Addendum (DPA) conforme all'art. 28 GDPR. Verificate che il contratto preveda esplicitamente che il fornitore agisce come responsabile del trattamento e che i dati non siano usati per profilazione commerciale.
Maiora Labs Srl supporta le istituzioni scolastiche nella transizione digitale sicura attraverso consulenza specializzata in cybersecurity e GDPR compliance. Per approfondimenti sulle soluzioni per la vostra scuola, contattateci attraverso la sezione specifica o richiedete una consulenza preliminare gratuita.
Questo articolo è basato sull’intervista rilasciata da Fabrizio Bottacchiari, CEO di Maiora Labs Srl, alla rivista OrizzonteScuola e sulle analisi contenute nella nostra GDPR compliance checklist for schools 2025.
