Un computer aziendale utilizzato da casa può contenere documenti riservati, credenziali di accesso, informazioni sui clienti e collegamenti ai sistemi interni dell’impresa. Se il dispositivo viene smarrito, compromesso da un malware oppure utilizzato attraverso una connessione non sicura, le conseguenze possono estendersi ben oltre la singola postazione di lavoro. Il problema riguarda la continuità operativa, la riservatezza delle informazioni e, quando sono coinvolti dati personali, anche gli obblighi previsti dalla normativa europea.
Il rapporto tra lavoro da remoto e sicurezza informatica richiede quindi regole organizzative precise, strumenti adeguatamente protetti e una chiara distribuzione delle responsabilità. Le precauzioni affidate ai dipendenti devono essere accompagnate da sistemi di prevenzione, controllo degli accessi e gestione degli incidenti predisposti dalle imprese.
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha richiamato l’attenzione sull’importanza dei comportamenti quotidiani attraverso il vademecum sulle buone pratiche di sicurezza digitale destinato ai dipendenti delle pubbliche amministrazioni. Le indicazioni comprendono l’autenticazione a più fattori, l’aggiornamento dei dispositivi, l’impiego di strumenti autorizzati e la segnalazione tempestiva delle anomalie. Pur essendo rivolte alla pubblica amministrazione, queste raccomandazioni rappresentano riferimenti operativi utili anche per le aziende private.
Le policy aziendali devono stabilire come accedere ai sistemi dall’esterno
Consentire ai dipendenti di lavorare fuori dall’ufficio significa modificare le condizioni nelle quali vengono utilizzati sistemi informatici, applicazioni e documenti. Una rete domestica, un collegamento da un albergo e una postazione all’interno della sede aziendale presentano caratteristiche differenti, che devono essere considerate nella valutazione dei rischi.
Le policy per il lavoro remoto dovrebbero individuare quali dispositivi possono essere utilizzati, quali applicazioni sono autorizzate, come devono essere conservati i documenti e quali procedure seguire quando si verificano problemi di sicurezza.
Una distinzione riguarda i sistemi accessibili dall’esterno. Il dipendente che consulta documenti condivisi ha esigenze diverse rispetto al tecnico che interviene sull’infrastruttura informatica aziendale. Le autorizzazioni devono riflettere queste differenze, evitando che tutti gli utenti dispongano degli stessi privilegi.
Le linee guida dell’ACN dedicate al rafforzamento della resilienza informatica richiamano la necessità di definire le attività consentite da remoto, monitorare gli accessi e adottare misure proporzionate ai rischi dei sistemi interessati. L’accesso a funzioni amministrative particolarmente delicate, ad esempio, richiede protezioni più rigorose rispetto alla consultazione di informazioni ordinarie.
La sicurezza deve essere regolata anche nei rapporti con collaboratori esterni e fornitori. Un account temporaneo lasciato attivo dopo la conclusione di un incarico può diventare un punto di accesso non più giustificato. Le imprese dovrebbero prevedere procedure per la creazione, la revisione e la revoca delle credenziali, associando ogni autorizzazione alle effettive necessità operative.
Una policy efficace deve inoltre essere comprensibile. Disposizioni troppo generiche, come l’obbligo di utilizzare strumenti sicuri, non chiariscono quali comportamenti siano ammessi. Occorre specificare, ad esempio, se i documenti possano essere scaricati sul computer, se sia consentito utilizzare servizi personali di archiviazione e a chi rivolgersi in caso di messaggi sospetti.
Computer aziendale o dispositivo personale: le differenze nella gestione della sicurezza
La scelta delle apparecchiature rappresenta una delle decisioni più importanti nel rapporto tra lavoro da remoto e sicurezza informatica.
Un computer fornito dall’impresa può essere configurato secondo criteri uniformi. Il reparto informatico può gestire gli aggiornamenti, installare sistemi di protezione, limitare i privilegi amministrativi e verificare il rispetto delle configurazioni stabilite.
Quando viene impiegato un dispositivo personale, secondo il modello Bring Your Own Device (BYOD), la situazione cambia. Sullo stesso computer possono essere presenti applicazioni private, account familiari, programmi installati autonomamente e archivi che non appartengono all’organizzazione.
L’utilizzo di apparecchiature personali non è necessariamente incompatibile con il lavoro remoto, ma richiede una valutazione specifica. L’Agenzia dell’Unione europea per la cybersicurezza, ENISA, raccomanda di verificare le condizioni di sicurezza dei dispositivi personali prima di autorizzarne l’accesso ai sistemi aziendali.
La verifica può comprendere la versione del sistema operativo, la presenza degli aggiornamenti, lo stato delle protezioni antimalware e il rispetto delle configurazioni richieste.
Le imprese possono ricorrere a strumenti di gestione centralizzata dei dispositivi, comunemente indicati come Mobile Device Management o Unified Endpoint Management. Queste soluzioni permettono, secondo le funzionalità adottate, di distribuire configurazioni, verificare requisiti di sicurezza e intervenire sugli accessi in caso di smarrimento.
Nei dispositivi personali occorre tuttavia distinguere chiaramente l’ambiente professionale da quello privato. L’eventuale gestione remota non dovrebbe attribuire all’azienda possibilità indiscriminate di accesso ai contenuti personali del lavoratore.
Anche la cancellazione a distanza dei dati richiede attenzione. Quando tecnicamente possibile, la rimozione selettiva delle informazioni aziendali consente di limitare gli effetti sui contenuti privati. Modalità e conseguenze degli interventi devono essere comunicate preventivamente.
Il Protocollo nazionale sul lavoro in modalità agile del 7 dicembre 2021, sottoscritto dalle parti sociali, indica come soluzione ordinaria la fornitura della strumentazione tecnologica da parte del datore di lavoro, salvo diversi accordi. Quando viene concordato l’impiego di strumenti personali, il documento prevede la definizione di criteri e requisiti minimi di sicurezza.
La differenza tra apparecchiature aziendali e personali riguarda dunque la capacità di applicare controlli coerenti, mantenere aggiornati i sistemi e intervenire rapidamente in caso di compromissione.
Autenticazione multifattore, VPN e controllo degli accessi
Una password rubata attraverso una comunicazione fraudolenta può consentire l’accesso a servizi aziendali anche quando il computer del dipendente non è stato materialmente compromesso.
L’autenticazione multifattore, conosciuta come MFA, riduce questo rischio richiedendo una verifica aggiuntiva rispetto alla password. Può trattarsi di un’applicazione di autenticazione, di una chiave di sicurezza fisica o di altri sistemi compatibili con il servizio utilizzato.
L’MFA non elimina tutte le possibilità di attacco. Alcune tecniche di phishing cercano di sottrarre sessioni già autenticate oppure di indurre la vittima ad approvare richieste fraudolente. Rimane comunque una misura importante, soprattutto quando vengono adottati sistemi resistenti al phishing.
ENISA raccomanda l’autenticazione multifattore per la protezione degli accessi ai servizi aziendali e richiama l’attenzione sulla necessità di evitare l’esposizione diretta a Internet delle interfacce di accesso remoto.
Un altro strumento frequentemente utilizzato è la rete privata virtuale, o VPN, che consente di realizzare un collegamento cifrato tra il dispositivo e l’infrastruttura aziendale. La VPN può proteggere il traffico lungo il collegamento, ma non garantisce da sola che il dispositivo utilizzato sia affidabile.
Un computer infettato da software malevolo può rappresentare un rischio anche quando la connessione viene stabilita attraverso una VPN correttamente configurata.
Per questo motivo, le architetture di accesso più strutturate prevedono controlli aggiuntivi sull’identità dell’utente, sullo stato del dispositivo e sulle risorse effettivamente richieste. Nei modelli Zero Trust Network Access, l’autorizzazione viene definita in relazione alle applicazioni e alle condizioni di accesso, anziché presumere che un dispositivo collegato alla rete sia automaticamente attendibile.
La scelta tra VPN tradizionale, accesso applicativo controllato e altre soluzioni dipende dalla struttura informatica dell’organizzazione. Un’impresa che utilizza prevalentemente applicazioni cloud può avere esigenze differenti rispetto a un’azienda con gestionali installati su server interni.
GDPR e lavoro remoto: la protezione dei dati resta una responsabilità dell’organizzazione
Quando l’attività svolta a distanza comporta il trattamento di dati personali, entrano in gioco gli obblighi del Regolamento europeo 2016/679.
L’articolo 32 del GDPR impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio. La valutazione deve considerare la natura dei dati, le finalità del trattamento, le caratteristiche dei sistemi e le possibili conseguenze di una violazione.
Il regolamento richiama, tra le misure applicabili secondo le circostanze, la cifratura, la pseudonimizzazione, la capacità di garantire riservatezza e integrità delle informazioni, il ripristino dei dati e la verifica periodica dell’efficacia delle protezioni.
Non esiste quindi una configurazione identica e obbligatoria per ogni impresa. Un’organizzazione che tratta informazioni sanitarie deve valutare rischi differenti rispetto a una società che gestisce prevalentemente dati amministrativi ordinari.
La relazione tra lavoro da remoto e sicurezza informatica assume particolare rilievo quando i documenti vengono trasferiti fuori dagli ambienti aziendali.
L’invio di un archivio contenente dati personali a una casella privata, ad esempio, può sottrarre quelle informazioni ai sistemi di controllo e conservazione predisposti dall’impresa. La stessa criticità può emergere quando vengono utilizzati servizi cloud non autorizzati, dei quali non sono state verificate le condizioni contrattuali, le misure di sicurezza e le modalità di trattamento dei dati.
Le imprese dovrebbero stabilire quali piattaforme utilizzare per la condivisione dei documenti, quali categorie di informazioni possano essere conservate localmente e quando sia necessario ricorrere alla cifratura.
Le autorizzazioni devono inoltre rispettare il principio del minimo privilegio: ciascun dipendente dovrebbe poter accedere esclusivamente alle informazioni necessarie allo svolgimento delle proprie mansioni.
Il GDPR richiede anche che le persone autorizzate al trattamento operino secondo le istruzioni del titolare, salvo diversi obblighi previsti dalla legge. La formazione del personale e la chiarezza delle procedure diventano quindi componenti dell’organizzazione della sicurezza.
Controllare i sistemi senza trasformare la sicurezza in sorveglianza dei dipendenti
La gestione informatica del lavoro remoto solleva una questione delicata: fino a quale punto l’impresa può controllare dispositivi, connessioni e attività degli utenti?
Gli strumenti di sicurezza possono raccogliere registrazioni degli accessi, tentativi di autenticazione, anomalie e informazioni tecniche necessarie a individuare possibili attacchi.
Queste attività devono però essere progettate nel rispetto delle norme sulla protezione dei dati personali e della disciplina dei controlli a distanza dei lavoratori.
In Italia assumono rilievo l’articolo 4 dello Statuto dei lavoratori, l’articolo 114 del Codice privacy e le disposizioni del GDPR. La raccolta di informazioni attraverso gli strumenti informatici non può essere considerata automaticamente lecita perché giustificata da esigenze di sicurezza.
Il Garante per la protezione dei dati personali ha affrontato ripetutamente la questione della conservazione dei log di navigazione e dell’utilizzo della posta elettronica aziendale.
In un provvedimento del 29 aprile 2025, relativo ai trattamenti effettuati dalla Regione Lombardia, l’Autorità ha esaminato anche le modalità di svolgimento del lavoro agile e le implicazioni della raccolta delle informazioni sulla navigazione Internet dei dipendenti.
Il punto centrale riguarda la proporzionalità. La necessità di prevenire utilizzi impropri degli strumenti aziendali non autorizza una raccolta indiscriminata di dati sulle attività personali del lavoratore.
Le imprese devono stabilire finalità, tempi di conservazione, soggetti autorizzati all’accesso e condizioni nelle quali i dati tecnici possono essere consultati. Devono inoltre fornire informative adeguate e rispettare le ulteriori garanzie previste dalla disciplina lavoristica.
Un sistema che segnala tentativi di accesso anomali può essere necessario per individuare un attacco. Una piattaforma che registra sistematicamente ogni attività del dipendente, invece, richiede valutazioni giuridiche differenti e non può essere giustificata automaticamente con la stessa finalità.
La protezione dell’infrastruttura informatica e il controllo della prestazione lavorativa restano attività distinte, anche quando utilizzano strumenti tecnologici che producono informazioni simili.
Phishing, reti domestiche e documenti: gli errori che possono compromettere l’azienda
Le misure tecnologiche devono essere accompagnate da comportamenti coerenti con le procedure interne.
Il phishing continua a rappresentare una modalità di attacco particolarmente rilevante. I messaggi fraudolenti possono imitare comunicazioni del reparto informatico, notifiche di accesso, richieste amministrative o documenti condivisi dai colleghi.
Il rischio aumenta quando la comunicazione induce a compiere rapidamente un’azione, come inserire credenziali, scaricare un allegato o approvare una richiesta di autenticazione.
Le raccomandazioni dell’ACN sulla sicurezza digitale dei dipendenti pubblici includono il riconoscimento dei tentativi di phishing e la segnalazione tempestiva di comportamenti sospetti.
La formazione dovrebbe chiarire come verificare una richiesta apparentemente proveniente dall’azienda e quali canali utilizzare per segnalare un possibile tentativo di frode. La semplice raccomandazione di prestare attenzione alle email non sostituisce una procedura operativa.
Anche la rete domestica merita controlli. Un router con firmware obsoleto, credenziali amministrative predefinite oppure impostazioni di protezione inadeguate può introdurre vulnerabilità.
Le indicazioni elaborate da ENISA per il telelavoro raccomandano di utilizzare connessioni protette e di evitare reti pubbliche aperte quando non siano disponibili adeguate misure di sicurezza.
Nella pratica, le precauzioni comprendono l’uso di reti Wi-Fi cifrate con protocolli aggiornati, la protezione dell’accesso amministrativo al router e l’installazione degli aggiornamenti messi a disposizione dal produttore.
La sicurezza riguarda anche la postazione fisica. Un computer lasciato acceso e sbloccato in un ambiente condiviso espone documenti e applicazioni ad accessi non autorizzati.
Il blocco automatico dello schermo, la custodia dei dispositivi e l’attenzione alle conversazioni riservate sono misure semplici, ma devono essere integrate nelle istruzioni aziendali.
Una situazione spesso sottovalutata riguarda la stampa di documenti. Fascicoli contenenti informazioni su clienti, dipendenti o fornitori possono essere lasciati su stampanti domestiche, conservati senza protezione oppure smaltiti in modo non appropriato.
Le organizzazioni dovrebbero valutare quando la stampa da remoto sia effettivamente necessaria e stabilire modalità di custodia e distruzione coerenti con la riservatezza delle informazioni.
Archiviazione cloud, backup e utilizzo degli strumenti di intelligenza artificiale
Una parte crescente delle attività aziendali viene svolta attraverso piattaforme collaborative, spazi di archiviazione online e applicazioni accessibili dal browser.
Questi strumenti possono semplificare il controllo centralizzato delle informazioni, ma richiedono configurazioni corrette.
Le cartelle condivise devono essere accessibili soltanto agli utenti autorizzati. I collegamenti pubblici ai documenti dovrebbero essere limitati ai casi effettivamente necessari, prevedendo eventualmente scadenze e restrizioni sulla consultazione.
Anche le autorizzazioni concesse a consulenti e collaboratori devono essere riesaminate nel tempo. Un documento condiviso per un incarico temporaneo può rimanere accessibile molto dopo la conclusione dell’attività.
La conservazione centralizzata dei file non equivale automaticamente alla disponibilità di un sistema di backup adeguato.
Alcune piattaforme consentono il recupero di versioni precedenti o di documenti cancellati, ma le funzionalità disponibili dipendono dal servizio e dalle condizioni contrattuali. Una strategia di continuità operativa deve considerare la possibilità di recuperare dati dopo cancellazioni accidentali, attacchi ransomware o compromissioni degli account.
L’articolo 32 del GDPR richiama espressamente la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati personali in caso di incidente fisico o tecnico.
I backup devono quindi essere verificati attraverso prove di ripristino, tenendo conto dei tempi necessari a recuperare le informazioni e della quantità di dati che l’organizzazione può permettersi di perdere.
Una criticità più recente riguarda gli strumenti di intelligenza artificiale generativa.
Il vademecum elaborato dall’ACN richiama i rischi connessi all’inserimento di informazioni sensibili nei chatbot. Copiare all’interno di un servizio non autorizzato un contratto riservato, un elenco di clienti o documenti contenenti dati personali può determinare trattamenti e divulgazioni non previsti dalle procedure aziendali.
Le imprese dovrebbero definire quali strumenti di intelligenza artificiale siano utilizzabili e quali informazioni possano essere elaborate attraverso tali servizi, verificando preventivamente le condizioni applicabili al trattamento e alla conservazione dei dati.
Smarrimento del computer e violazioni dei dati: quando scattano gli obblighi di segnalazione
Il furto di un portatile aziendale, l’accesso abusivo a una casella di posta o l’invio accidentale di documenti al destinatario sbagliato richiedono una valutazione tempestiva.
Non tutti gli incidenti informatici costituiscono automaticamente una violazione dei dati personali. La definizione di personal data breach contenuta nel GDPR comprende gli eventi che comportano, accidentalmente o illecitamente, distruzione, perdita, modifica, divulgazione non autorizzata o accesso a dati personali.
Quando viene segnalato un incidente, l’organizzazione deve accertare quali sistemi siano coinvolti, quali informazioni possano essere state compromesse e quali misure adottare per limitarne gli effetti.
Nel rapporto tra lavoro da remoto e sicurezza informatica, la tempestività della comunicazione interna è particolarmente importante. Un dipendente che perde un computer deve poter contattare rapidamente il servizio competente, anche quando non si trova in sede.
L’azienda potrà così valutare la revoca delle sessioni, il blocco delle credenziali, l’eventuale cancellazione remota dei dati e le altre misure di contenimento disponibili.
L’articolo 33 del GDPR stabilisce che il titolare del trattamento debba notificare una violazione dei dati personali all’autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile che l’evento presenti un rischio per i diritti e le libertà delle persone fisiche.
Il termine delle 72 ore non rappresenta quindi una scadenza applicabile indistintamente a qualsiasi problema informatico. Occorre verificare che si tratti di una violazione di dati personali e valutarne i rischi.
Quando il rischio per i diritti e le libertà degli interessati è elevato, l’articolo 34 prevede, fatte salve le eccezioni stabilite dal regolamento, anche la comunicazione agli interessati senza ingiustificato ritardo.
Un dispositivo smarrito sul quale siano presenti informazioni adeguatamente cifrate può comportare rischi differenti rispetto a un computer privo di protezioni contenente archivi personali direttamente accessibili.
La valutazione deve considerare anche l’eventuale disponibilità delle chiavi di cifratura, la possibilità di accesso agli account e le condizioni concrete della compromissione.
Le procedure interne dovrebbero chiarire chi riceve le segnalazioni, chi valuta l’incidente e chi assume le decisioni relative agli eventuali obblighi di notifica.
Il dipendente deve conoscere soprattutto il canale attraverso il quale comunicare l’anomalia, senza essere chiamato a svolgere autonomamente valutazioni giuridiche che competono all’organizzazione.
Formazione e responsabilità: cosa deve garantire l’impresa e cosa spetta al dipendente
Una strategia coerente di lavoro da remoto e sicurezza informatica deve distinguere le responsabilità organizzative dai comportamenti individuali.
L’impresa deve valutare i rischi, predisporre strumenti adeguati, definire le autorizzazioni, mantenere aggiornate le protezioni e stabilire procedure per la gestione degli incidenti. Deve inoltre fornire istruzioni comprensibili e verificare periodicamente l’efficacia delle misure adottate.
Il dipendente è tenuto a rispettare le disposizioni ricevute, custodire le credenziali, utilizzare correttamente gli strumenti autorizzati e segnalare tempestivamente le situazioni anomale.
Attribuire al lavoratore l’intera responsabilità della sicurezza della propria postazione domestica sarebbe però una semplificazione. Molti rischi dipendono da decisioni tecniche e organizzative sulle quali il singolo utente non ha possibilità di intervento.
La formazione dovrebbe essere collegata alle attività concretamente svolte. Chi gestisce pagamenti o informazioni finanziarie necessita di istruzioni specifiche sulle frodi che tentano di modificare le coordinate bancarie. Chi tratta dati sanitari deve conoscere le precauzioni richieste dalla particolare natura delle informazioni.
Anche le simulazioni di phishing e le esercitazioni sulla gestione degli incidenti possono contribuire a individuare lacune operative, purché siano progettate con finalità formative e nel rispetto della disciplina applicabile al trattamento dei dati dei dipendenti.
La verifica periodica delle autorizzazioni rappresenta un ulteriore intervento necessario. Un cambio di mansione, il trasferimento a un altro reparto o la conclusione del rapporto di lavoro possono rendere non più giustificati accessi precedentemente concessi.
Le imprese devono inoltre considerare il ciclo di vita delle apparecchiature. Un computer che non riceve più aggiornamenti di sicurezza può diventare inadatto all’accesso ai sistemi aziendali, indipendentemente dalle condizioni estetiche e dalla capacità di eseguire le applicazioni utilizzate.
La gestione dei dispositivi dovrebbe quindi comprendere criteri di sostituzione, dismissione e cancellazione sicura dei dati.
Il controllo periodico più significativo riguarda la corrispondenza tra le regole formalmente adottate e le condizioni effettive di lavoro. Se un’applicazione aziendale richiede ancora l’utilizzo di un account condiviso, oppure obbliga i dipendenti a trasferire documenti attraverso servizi personali, la procedura di sicurezza deve essere riesaminata.
Sono situazioni nelle quali il rischio non nasce necessariamente da una condotta scorretta del lavoratore, ma da strumenti e processi che non consentono di operare secondo le prescrizioni aziendali.
La verifica delle configurazioni, degli account attivi, dei dispositivi autorizzati e delle modalità di circolazione dei documenti permette di individuare queste incongruenze prima che si traducano in incidenti. È su tali controlli, ripetuti nel tempo e collegati alle attività effettivamente svolte, che si misura la capacità dell’impresa di mantenere sicuri gli accessi ai propri sistemi anche fuori dall’ufficio.
