Lavorare in mobilità durante l’estate: 10 accorgimenti per proteggere dati e attività aziendali

Le ferie sono il momento in cui cambiamo abitudini, luoghi e modalità di lavoro. Si accede ai gestionali dall’hotel, si consulta la posta da smartphone, si approvano documenti durante un viaggio o si partecipa ad una riunione da una rete Wi-Fi non aziendale.

Proprio questa flessibilità aumenta la superficie di rischio. I cybercriminali non si concentrano sulle stagioni ma sulle opportunità: dispositivi utilizzati fuori dall’ufficio, connessioni non controllate, password salvate nel browser o utenti meno attenti perché lontani dalla routine quotidiana.

Negli ultimi anni anche le indicazioni europee in materia di cybersicurezza, rafforzate dalla Direttiva NIS2, hanno posto sempre maggiore attenzione su alcuni concetti fondamentali: autenticazione multifattore, formazione degli utenti, gestione degli accessi, aggiornamenti costanti e “cyber hygiene”, ovvero l’insieme delle buone pratiche quotidiane che riducono il rischio di incidenti informatici.

Ecco alcuni consigli pratici che ogni azienda e ogni collaboratore possono adottare prima e durante le vacanze.

Computer portatili, smartphone e tablet dovrebbero essere aggiornati prima di iniziare un periodo di trasferta o lavoro da remoto.

Gli aggiornamenti molto spesso correggono vulnerabilità già note e sfruttate dagli hacker. Per questo è importante non rimandare gli aggiornamenti di computer, smartphone e applicazioni utilizzate ogni giorno. Una gestione regolare degli aggiornamenti è una delle misure più semplici ed efficaci per ridurre i rischi informatici.

Checklist rapida:

• sistema operativo aggiornato;
• browser aggiornato;
• applicazioni aziendali aggiornate;
• sistemi di protezione attivi.

Una password rubata tramite phishing può compromettere un account in pochi minuti.

L’autenticazione multifattore aggiunge un ulteriore livello di verifica attraverso smartphone, app di autenticazione o token dedicati. Le pratiche di MFA sono oggi considerate uno dei controlli base raccomandati dall’approccio NIS2 e dalle linee guida ENISA.

Se la tua azienda utilizza Microsoft 365, ERP, sistemi documentali o applicazioni cloud, è opportuno verificare che l’MFA sia abilitato per tutti gli utenti.

Tip pratico: privilegia le app di autenticazione rispetto agli SMS quando possibile e verifica periodicamente quali dispositivi sono autorizzati ad accedere ai tuoi account.

Uno degli aspetti più apprezzati dalle PMI è la possibilità di affidarsi a un interlocutore unico che possa coordinare l’intero ecosistema digitale aziendale.

L’integrazione tra Esaedro e Vicsam Group nasce proprio con questo obiettivo. Esaedro continua a sviluppare soluzioni gestionali personalizzate per migliorare i processi e rispondere alle esigenze specifiche di ogni azienda, mentre Vicsam Group ne garantisce l’integrazione all’interno dell’infrastruttura IT, assicurando integrazione, affidabilità e continuità operativa.

L’estate è un periodo particolarmente favorevole per gli attacchi di social engineering.

E-mail che simulano:

• modifiche alle password;
• notifiche di corrieri;
• prenotazioni alberghiere;
• pagamenti urgenti;
• documenti condivisi.

Sono tra le esche più utilizzate dai criminali informatici.

Le linee guida europee sulla cyber hygiene identificano proprio il phishing e la formazione degli utenti come uno degli elementi prioritari di prevenzione.

Regola semplice: se un messaggio crea fretta o pressione, fermati qualche secondo prima di cliccare e leggi attentamente il dominio del mittente.

Un caso tipico delle ferie: una richiesta urgente di bonifico o di cambio IBAN inviata mentre il responsabile abituale è assente. Prima di procedere, verifica sempre tramite un secondo canale di comunicazione.

Molte persone utilizzano lo smartphone personale contemporaneamente per:

• posta aziendale;
• home banking;
• social network;
• applicazioni private;
• accesso ai gestionali.

Quando possibile, mantieni una separazione tra strumenti personali e professionali, soprattutto per gli utenti che accedono a dati aziendali sensibili.

Un’app installata senza le dovute verifiche può infatti esporre informazioni che nulla hanno a che vedere con il suo utilizzo principale.

Il backup non serve solo contro i guasti hardware.

Può diventare fondamentale in caso di:

• ransomware;
• smarrimento del dispositivo;
• cancellazioni accidentali;
• errori operativi.

Le più recenti indicazioni europee in materia di gestione del rischio informatico includono backup e capacità di ripristino tra le misure fondamentali per garantire la continuità operativa.

Un principio spesso dimenticato: un backup esiste soltanto se può essere ripristinato.

Prima della chiusura estiva o di un periodo di ferie prolungato può essere utile testare il recupero di alcuni documenti o database critici.

Molte PMI lavorano attraverso sistemi ERP, piattaforme documentali, strumenti cloud e ambienti collaborativi.

Per questo è consigliabile verificare che siano presenti:

• controllo degli accessi per ruolo;
• registrazione degli accessi;
• gestione centralizzata degli utenti;
• procedure di revoca degli account non più utilizzati.

Le linee guida collegate alla NIS2 richiamano con forza il principio del “minimo privilegio”: ogni utente dovrebbe poter accedere solo alle informazioni realmente necessarie al proprio ruolo.

Tip pratico: prima della pausa estiva verifica utenti attivi, gruppi di sicurezza e autorizzazioni presenti nei sistemi ERP, nelle piattaforme documentali e negli strumenti di collaborazione.

Può sembrare un consiglio banale, ma molti incidenti nascono da comportamenti quotidiani.

In viaggio:

• blocca sempre lo schermo;
• abilita la cifratura del dispositivo;
• non lasciare notebook e smartphone in auto;
• attiva le funzionalità di localizzazione e cancellazione remota.

La perdita di un dispositivo non comporta necessariamente la perdita dei dati, purché siano presenti adeguate misure di protezione.

Per comodità, soprattutto quando si lavora fuori sede, è facile salvare documenti aziendali in spazi personali o condividere file tramite strumenti non autorizzati.

Il rischio non riguarda soltanto la sicurezza, ma anche il controllo delle informazioni:

• chi può accedere al documento;
• per quanto tempo;
• con quali permessi;
• da quali dispositivi.

Prima di caricare documenti aziendali su piattaforme esterne, verifica sempre che siano conformi alle procedure interne dell’organizzazione.

Pubblicare posizione, date precise di assenza o dettagli sugli spostamenti può fornire informazioni utili a soggetti malintenzionati.

Meglio condividere foto e racconti al rientro, limitando la diffusione di dettagli operativi che potrebbero esporre persone o aziende.

Vale soprattutto per chi ricopre ruoli amministrativi, commerciali o direzionali e gestisce dati, fornitori e processi sensibili.

Firewall, antivirus, backup e sistemi cloud sono strumenti indispensabili, ma da soli non bastano.

Le più recenti indicazioni europee in materia di cybersicurezza pongono sempre maggiore attenzione su una combinazione di tecnologia, procedure e consapevolezza delle persone. Formazione continua, controllo degli accessi, monitoraggio e gestione del rischio fanno parte di un approccio completo alla sicurezza.

Anche il miglior sistema di protezione può essere aggirato da una password condivisa, un’e-mail aperta con troppa fretta o un accesso lasciato attivo più del necessario.

Ricorda: la sicurezza è un processo, non un prodotto.

Buona estate!