Smart working sicuro
per una PMI

Dipende da dove si trovano le risorse che usa il Suo team. Se il lavoro risiede in ufficio, su un server, su un NAS con le cartelle condivise o in un gestionale installato su un computer della sede, sì: il modo ragionevole per arrivarci da casa è una VPN che richieda l'autenticazione a due fattori, senza esporre direttamente su internet quel server o il desktop remoto. Se tutto ciò che si usa è già su servizi cloud, posta, documenti e gestionale, la VPN potrebbe non servire, perché ogni servizio è già raggiungibile in modo cifrato; a quel punto diventa critica l'identità: account individuali, doppio fattore obbligatorio e la possibilità di revocare l'accesso di una persona in un minuto. Quello che non ha senso è ciò che vediamo spesso: una VPN configurata per entrare in ufficio e, accanto, il desktop remoto aperto su internet perché era più comodo.

No. In Spagna la Ley 10/2021 sul lavoro a distanza stabilisce che l'azienda deve fornire al lavoratore i mezzi, le apparecchiature e gli strumenti necessari, e che non può pretendere l'installazione di programmi o applicazioni su dispositivi di proprietà del lavoratore né l'uso di tali dispositivi per lavorare a distanza. La legge si applica al lavoro a distanza regolare, definito come almeno il trenta per cento dell'orario in un periodo di tre mesi; per situazioni occasionali, o se il dipendente preferisce volontariamente usare il proprio computer, si può concordare, ma per iscritto e con condizioni. Dal punto di vista della sicurezza, il computer aziendale è quasi sempre la scelta migliore: è aggiornato, cifrato e configurato da voi, e si recupera quando la persona se ne va. Le domande giuslavoristiche specifiche spettano al Suo consulente del lavoro; noi Le diciamo quali requisiti tecnici deve rispettare ciascuna opzione.

Quelle minime indicate dalla nota dell'AEPD, l'autorità spagnola per la protezione dei dati, su mobilità e lavoro da remoto: sistema operativo e programmi originali e aggiornati, valutando che questi dispositivi raggiungano solo una parte limitata della rete, quella delle risorse meno critiche. A questo aggiungiamo ciò che insegna la pratica: un utente separato sul computer per il lavoro, che la stessa AEPD raccomanda per non mescolare attività personale e professionale; nessun dato aziendale salvato sul disco locale, ma nello spazio condiviso o nel cloud dell'azienda; nessun documento passato tramite email personali, app di messaggistica o cloud privati; doppio fattore su tutti gli account di lavoro e computer bloccato con password quando non è in uso. Il tutto per iscritto, firmato dalla persona, che deve sapere che così protegge anche i propri dati. Se la posizione tratta informazioni sensibili, la risposta onesta è che quella posizione ha bisogno di un computer aziendale.

Non li riduce, e in pratica aggiunge lavoro. L'azienda resta titolare del trattamento dei dati gestiti da casa esattamente come se fossero gestiti in ufficio, e deve applicare misure tecniche e organizzative adeguate a questo nuovo scenario. La nota di raccomandazioni dell'AEPD per mobilità e lavoro da remoto chiede, tra l'altro, una policy scritta per il lavoro da remoto, informare il personale sui suoi obblighi e sui rischi, limitare gli accessi in base al ruolo e al dispositivo e mantenere i computer aggiornati e configurati. Se un portatile con dati dei clienti si perde su un treno o un computer di casa viene infettato, la violazione è dell'azienda, con l'obbligo di documentarla sempre e di notificarla all'AEPD entro 72 ore quando comporta un rischio per le persone. Lavorare da remoto non trasferisce questa responsabilità al dipendente.

Meno di quanto si pensi se il resto è fatto bene, e più del dovuto se non lo è. Con l'accesso all'azienda cifrato, tramite VPN o tramite servizi cloud che lo sono già, chi condivide il wifi di casa non legge ciò che vi transita. Tuttavia conviene un minimo: cambiare la password di fabbrica del router, usare la cifratura più moderna che supporta, tenere il router aggiornato e non avere sulla stessa rete dispositivi di cui nessuno sa nulla. Se il router dell'operatore non consente né aggiornamenti né una configurazione minima, l'articolo sul router dell'operatore o di proprietà spiega quando vale la pena sostituirlo. Ciò che l'AEPD sconsiglia espressamente è collegarsi alla rete aziendale da luoghi pubblici e da reti wifi aperte, come quelle di un bar o di un hotel: in quei casi è meglio usare l'hotspot del cellulare.

La soluzione più semplice è che non ci sia nulla da copiare sul portatile: i documenti di lavoro vanno salvati direttamente nello spazio dell'azienda, che sia il server dell'ufficio tramite l'accesso remoto o il cloud aziendale, e i backup si fanno lì come sempre. È anche ciò che raccomanda l'AEPD, che chiede di evitare di archiviare in locale le informazioni generate in mobilità, di usare le risorse condivise messe a disposizione dall'organizzazione e di non bloccare né disattivare la policy di backup. Il problema nasce quando ognuno salva sul desktop del proprio portatile, perché quei file non sono in nessun backup e si perdono con il computer. Verificate dove salva davvero ciascuno, non dove dovrebbe salvare. E ricordate che avere le informazioni in un cloud non equivale ad avere un backup: una cancellazione o un ransomware si sincronizzano esattamente come una modifica corretta.

Lo stesso che per chi lavora in ufficio, ma con più urgenza, perché non si può aspettare che restituisca la chiave perché smetta di poter entrare. Il giorno stesso: disattivare il suo account su tutti i servizi, revocare l'accesso alla VPN, chiudere le sessioni aperte e cambiare qualsiasi password condivisa che conosceva. Se usava un computer aziendale, recuperarlo; se usava un computer personale con un utente di lavoro, eliminare quell'utente e gli eventuali dati aziendali, idealmente in presenza della persona o con una gestione remota concordata in anticipo. Per questo è così importante che ognuno abbia i propri account e che qualcuno tenga l'elenco degli accessi di ciascuno: senza quell'elenco, la cessazione dipende dal fatto che qualcuno si ricordi di tutti i servizi. È uno dei punti che approfondiamo nell'articolo su manutenzione informatica e GDPR.

Sì, e non deve essere lunga. La nota dell'AEPD sul lavoro da remoto parte proprio da qui: definire una policy per le situazioni di mobilità, informare il personale e fargli firmare un accordo che ne riporti gli obblighi. In una PMI può stare in due pagine: quale computer si usa e a quali condizioni, come si accede all'azienda, dove si salvano i documenti, quali canali sono ammessi per condividere informazioni e quali no, cosa fare se si perde un dispositivo o si sospetta di un'email, e chi avvisare. Se il lavoro da remoto è regolare, la Ley 10/2021 richiede inoltre un accordo individuale di lavoro a distanza con un proprio contenuto minimo, materia del Suo consulente del lavoro. L'importante è che quanto scritto corrisponda a quanto configurato: una policy che vieta di salvare in locale, con portatili su cui tutti salvano in locale, non protegge nulla.