L'art. 32 GDPR chiede al titolare e ai responsabili misure tecniche e organizzative adeguate al rischio: tra le altre cifratura, riservatezza e disponibilità dei sistemi, capacità di ripristino e verifiche periodiche. La maggior parte dei problemi nasce però da errori comuni, non da attacchi sofisticati. Ecco le abitudini che contano di più.
Accessi e password
- Usi password lunghe e diverse per ogni servizio. Una frase lunga è meglio di una parola corta e complicata. Non riutilizzi quelle personali per il lavoro.
- Se l'azienda lo offre, usi un gestore di password e attivi l'autenticazione a due fattori.
- Non condivida mai le credenziali, nemmeno con colleghi o con l'assistenza. Ognuno deve avere il proprio accesso, perché solo così si sa chi ha fatto che cosa.
- Blocchi lo schermo quando si allontana.
- Apra solo i dati che Le servono per il lavoro. Cercare per curiosità un cliente, un collega o un conoscente non è lavoro e può avere conseguenze disciplinari e, nei casi più gravi, penali (per esempio l'accesso abusivo a un sistema informatico, art. 615-ter del codice penale).
- Controlli i destinatari prima di inviare: il completamento automatico sceglie facilmente la persona sbagliata con lo stesso nome.
- Quando scrive a molte persone che non si conoscono, usi la copia nascosta (Ccn), altrimenti rivela a tutti gli indirizzi degli altri.
- Dati di salute, documenti d'identità e altre informazioni delicate si inviano con gli strumenti sicuri scelti dall'azienda, per esempio file protetti da password comunicata per un altro canale.
- Non scriva dati personali nell'oggetto.
Carta, dispositivi e lavoro da casa
- Tenga la scrivania in ordine e metta i fogli con dati personali in un cassetto o armadio chiuso. Usi il distruggi-documenti o i contenitori dedicati, non il cestino comune.
- Non salvi dati su telefoni personali, chiavette o servizi cloud privati se l'azienda non lo consente.
- Non incolli dati di clienti o colleghi in strumenti di intelligenza artificiale o traduttori online, se l'azienda non li ha approvati per quello scopo: ciò che scrive può uscire dall'azienda.
- Da casa o in viaggio usi una connessione protetta, non lasci schermi visibili ad altri, non lasci il computer in auto e non parli ad alta voce di clienti in treno o al bar.
Il phishing
Il phishing è un messaggio (e-mail, SMS, chiamata, chat) falso che vuole farLe cliccare, consegnare dati o pagare. I segni tipici:
- fretta o minacce ("il conto sarà chiuso oggi");
- un mittente che somiglia a uno noto ma ha un indirizzo leggermente diverso;
- un link il cui indirizzo non corrisponde al mittente;
- un allegato inatteso;
- un finto "capo" che chiede un bonifico o buoni regalo, o un finto collega che chiede le Sue credenziali.
Che cosa fare:
- Non clicchi, non apra e non risponda.
- Verifichi con un altro canale: chiami il mittente a un numero che già conosce.
- Segnali il messaggio all'assistenza informatica. Se ha già cliccato o inserito dati, lo dica subito: una segnalazione rapida limita il danno.
L'Agenzia per la cybersicurezza nazionale (ACN) pubblica consigli sulle minacce informatiche sul suo sito.
Aggiornamenti e programmi sconosciuti
Installi gli aggiornamenti di sicurezza quando il reparto informatico lo chiede. Non installi programmi, app o estensioni di Sua iniziativa e non colleghi chiavette sconosciute.
Dica l'errore senza vergogna
Chiunque può essere ingannato. Il peggio è tacere: l'azienda può reagire solo se lo sa in tempo.