Un portatile sul tavolo di casa, una connessione Wi-Fi e l’accesso ai documenti condivisi. Per molte attività basta questo per lavorare fuori dall’ufficio. La sicurezza informatica aziendale, però, deve tenere conto anche di ciò che succede intorno a quella postazione.
Il computer potrebbe essere condiviso con un familiare, un documento finire nell’account cloud personale e una richiesta di accesso arrivare mentre il dipendente è impegnato in una riunione. Sono situazioni ordinarie, che diventano rilevanti quando riguardano informazioni di lavoro.
Per questo smart working e sicurezza vanno pensati insieme. Le informazioni aziendali vengono consultate da luoghi e dispositivi sui quali l’impresa può avere un controllo limitato, e per proteggerle servono strumenti adeguati e regole che le persone riescano a seguire durante una normale giornata di lavoro.
Contenuti dell'articolo
Come cambia la sicurezza informatica aziendale con lo smart working
In ufficio, l’IT può gestire la rete, configurare le postazioni e intervenire direttamente sui dispositivi. Questo non rende sicuro tutto ciò che si trova in sede, però l’IT lavora su condizioni più uniformi.
Con lo smart working, invece, aumentano le variabili: reti domestiche, collegamenti da luoghi pubblici, computer personali e servizi raggiungibili via Internet. Il perimetro da proteggere comprende quindi anche gli account, i dispositivi e i dati utilizzati fuori dall’azienda.
La posizione del dipendente, da sola, non basta a stabilire se un accesso sia affidabile: bisogna verificare chi sta entrando, da quale dispositivo e a quali informazioni deve accedere. Le indicazioni del NIST sul lavoro da remoto trattano tecnologie, rischi e policy organizzative nello stesso quadro.
I nuovi rischi del lavoro da remoto
Reti domestiche e connessioni fuori dall’ufficio
Una rete di casa può essere configurata bene, ma l’azienda non può darlo per scontato. Il router potrebbe avere aggiornamenti arretrati o credenziali di amministrazione mai cambiate; sulla stessa rete possono inoltre essere presenti dispositivi condivisi con altri familiari.
Anche quando si lavora da un albergo o da uno spazio di coworking, è utile avere istruzioni precise: quali collegamenti sono consentiti, quali strumenti usare e a chi rivolgersi in caso di problemi. Lasciare queste decisioni al singolo dipendente significa ottenere comportamenti molto diversi.
Dispositivi personali e documenti fuori controllo
Usare il proprio computer può sembrare la soluzione più comoda, soprattutto quando il lavoro da casa è occasionale. L’IT, però, potrebbe non conoscerne lo stato di aggiornamento, le applicazioni installate o le protezioni attive.
È il tema del BYOD, cioè l’impiego di dispositivi personali per attività professionali. Se l’azienda lo consente, deve stabilire requisiti e limiti, considerando anche la privacy del proprietario. Per i dispositivi mobili, il NIST indica di affrontare insieme la protezione dei dati aziendali e quella delle informazioni personali.
Un caso tipico è il documento di lavoro salvato in un account cloud privato per averlo a disposizione la sera. Il dipendente cercava solo un po’ di comodità, ma da quel momento l’impresa può perdere visibilità su copie, condivisioni e cancellazione del file.
Account compromessi e richieste apparentemente normali
Il phishing è un tentativo di ingannare una persona per sottrarle informazioni o farle compiere un’azione dannosa. Può arrivare tramite email, chat o telefonate. Una falsa richiesta di condividere un documento o di confermare un pagamento è particolarmente insidiosa quando assomiglia alle comunicazioni che il dipendente riceve ogni giorno.
Davanti a una richiesta insolita, il controllo va fatto da un canale già conosciuto, per esempio telefonando al collega al numero presente nella rubrica aziendale. Rispondere allo stesso messaggio sospetto non è una verifica indipendente.
Accessi remoti sicuri: VPN aziendale, MFA e gestione dei dispositivi
VPN aziendale: proteggere il collegamento
Una VPN aziendale crea un collegamento cifrato tra il dispositivo del dipendente e il punto di accesso predisposto dall’impresa. Può essere utile per raggiungere risorse interne senza esporle direttamente a Internet.
La VPN protegge il collegamento e nient’altro: le vulnerabilità del computer rimangono e i furti di credenziali sono ancora possibili. Anche il sistema che gestisce gli accessi VPN va aggiornato e configurato con attenzione, e la connessione va abbinata all’autenticazione multifattore.
Non tutte le applicazioni richiedono una VPN. Per i servizi accessibili direttamente via web, l’IT deve valutare le protezioni disponibili su account, sessioni e dispositivi, in base alle risorse da raggiungere e ai rischi da gestire.
MFA nel lavoro remoto: verificare l’identità
L’autenticazione multifattore, o MFA, richiede prove di identità appartenenti a fattori diversi. Un esempio è la password abbinata al possesso di una chiave di sicurezza.
Così conoscere la password può non bastare per entrare. Oltre che sulla VPN, la MFA va attivata su email, archivi condivisi e account amministrativi.
I metodi disponibili non offrono tutti la stessa protezione: la CISA raccomanda quelli resistenti al phishing. I dipendenti devono anche sapere come segnalare le richieste di autenticazione inattese, invece di approvarle per far sparire la notifica.
Gestione dei dispositivi e protezione dei dati
La sicurezza informatica aziendale deve seguire il portatile anche quando resta fuori sede per settimane. Servono aggiornamenti regolari, protezioni contro il malware, blocco automatico dello schermo e cifratura dei dati memorizzati.
Gestire centralmente le postazioni aiuta l’IT a verificare queste condizioni e a intervenire sui dispositivi che non rispettano i requisiti previsti. Gli accessi possono essere limitati in base alla sensibilità delle informazioni e al livello di controllo sulla postazione.
La protezione dei dati nello smart working comprende anche i backup: occorre includere le informazioni prodotte fuori ufficio e proteggere le copie durante il trasferimento e la conservazione. Le linee guida NIST sugli accessi remoti considerano questi aspetti insieme alla sicurezza delle postazioni.
Policy aziendali e formazione: cosa deve sapere chi lavora da casa
Una policy di sicurezza aziendale deve rispondere alle domande che sorgono mentre si lavora. Posso usare il computer di famiglia? Posso inviare un allegato alla mia email personale? Chi avviso se perdo il telefono con cui accedo agli account?
Le risposte devono essere facili da trovare e coerenti con gli strumenti disponibili. Una regola sulla condivisione dei file, per esempio, funziona meglio quando il dipendente dispone già di un servizio approvato e sa come assegnare i permessi corretti.
La formazione dovrebbe riprendere situazioni vicine al lavoro dei diversi reparti. Per l’amministrazione può essere utile esercitarsi sulle richieste di cambio delle coordinate bancarie; per le risorse umane, sulle false condivisioni di candidature e documenti. L’obiettivo è allenare la verifica e la segnalazione, con indicazioni chiare sui canali ufficiali da utilizzare.
Anche i ruoli vanno chiariti. L’IT gestisce le protezioni tecniche, HR comunica ingressi, cambi di ruolo e uscite, i responsabili di reparto stabiliscono quali informazioni servono alle persone. Direzione e operations devono garantire tempo e risorse per applicare le regole.
Pensa a un collaboratore che termina un incarico: la restituzione del portatile va coordinata con la revoca degli accessi. Se ciascun reparto aspetta che intervenga un altro, l’account può rimanere attivo più del necessario.
Come costruire una sicurezza sostenibile per il lavoro ibrido
Per organizzare la cybersecurity del lavoro da remoto, un punto di partenza concreto è una ricognizione: quali dispositivi vengono usati, quali applicazioni sono accessibili e quali dati passano fuori dalla sede?
Da lì puoi stabilire le priorità: un account con accesso ai pagamenti o ai dati del personale richiede un’attenzione diversa rispetto a una risorsa che contiene solo informazioni pubbliche. Un percorso di cybersecurity aziendale parte da questa valutazione dei rischi e la collega alle misure di protezione e alla gestione degli incidenti.
Sul piano pratico, conviene assegnare a ogni persona i permessi necessari alle sue attività e rivederli quando cambia mansione. Va previsto anche cosa fare durante un incidente: chi riceve la segnalazione, chi può sospendere un account e chi coordina il recupero. Un piano semplice, provato con uno scenario realistico, può già aiutare una piccola impresa a reagire con maggiore ordine.
Per il lavoro ibrido, la sicurezza va poi verificata nel tempo. Puoi partire da domande misurabili: quanti account hanno la MFA attiva? Quante postazioni attendono un aggiornamento? Le segnalazioni arrivano a una persona che può intervenire?
Registri e avvisi aiutano a individuare gli eventi da esaminare, purché qualcuno abbia il compito di gestirli: se gli avvisi si accumulano senza che nessuno li controlli, il monitoraggio serve a poco. Servono quindi responsabilità assegnate e controlli proporzionati alle risorse dell’impresa.
Conclusioni
Lavorare fuori dall’ufficio cambia il modo in cui si usano account, dispositivi e informazioni aziendali. La sicurezza informatica aziendale deve tenerne conto, con strumenti tecnici che l’organizzazione sappia gestire e regole applicabili anche a distanza.
Se nella tua azienda il lavoro da remoto è ormai abituale, parti dalle attività reali: come si accede ai documenti, come si condivide un file, come si segnala un problema. Sono passaggi che si ripetono ogni giorno, e se li rendi sicuri la protezione diventa più coerente e più facile da mantenere.
