Molte violazioni dei dati non si devono a hacker geniali, ma a piccole distrazioni di ogni giorno: una password debole, un'e-mail inviata alla persona sbagliata o un clic su un link falso. Il personale è una parte essenziale della sicurezza.
Il dovere di riservatezza
L'articolo 5 della LOPDGDD dice che il titolare, il responsabile del trattamento e tutte le persone che intervengono in qualsiasi fase del trattamento sono soggetti al dovere di riservatezza. Questo dovere permane anche dopo la fine del rapporto con l'azienda. Cioè sarà tenuto a mantenere il segreto anche quando cambierà lavoro.
L'articolo 32 del GDPR obbliga l'azienda ad applicare misure tecniche e organizzative adeguate al rischio. Alcune dipendono dalla direzione, come la cifratura e le copie di sicurezza. Altre dipendono da Lei.
Buone pratiche di ogni giorno
- Password. Usi password lunghe e diverse per ogni servizio. Non le condivida, non le annoti su un biglietto attaccato al monitor e attivi la verifica in due passaggi, se disponibile.
- Schermo bloccato. Blocchi il computer ogni volta che si alza.
- Scrivania pulita. Non lasci in vista fogli con dati. Conservi i documenti in armadi chiusi e distrugga quelli che non Le servono più con il distruggidocumenti o nei contenitori indicati.
- Stampanti. Ritiri subito ciò che stampa.
- Posta elettronica. Controlli il destinatario prima di inviare. Usi la copia nascosta (CCN) se scrive a più persone che non si conoscono tra loro. Quando allega dati delicati, utilizzi le vie sicure indicate dall'azienda.
- Dispositivi. Usi solo apparecchi e programmi autorizzati. Non copi dati su chiavette USB né su account personali di archiviazione nel cloud, salvo che l'azienda lo consenta.
- Conversazioni. Non parli di dati di clienti o colleghi in luoghi pubblici, sui mezzi di trasporto o in ascensore.
- Telelavoro. Lavori da una rete affidabile, non da un wifi pubblico non protetto, ed eviti che familiari o ospiti vedano lo schermo.
Che cos'è il phishing
Il phishing è un inganno, di solito via e-mail, messaggio di testo o telefonata, in cui qualcuno si finge una banca, un fornitore, un collega o la direzione perché Lei consegni dati o faccia qualcosa. Alcuni segnali:
- c'è urgenza o minaccia («il Suo account sarà chiuso oggi»)
- il mittente o il link sembra quasi corretto, ma ha lettere cambiate
- Le viene chiesta una password, un pagamento o un cambio di conto bancario
- c'è un allegato o un link che non si aspettava
Se ha un sospetto, non clicchi, non apra l'allegato e non risponda. Verifichi tramite un altro canale, per esempio chiamando la persona a un numero che già conosce, e avvisi il responsabile informatico o della sicurezza della Sua azienda. Avviso rapido: se ha già cliccato o ha digitato la Sua password, lo dica subito. Nasconderlo peggiora il danno.
Chi telefona chiedendo dati
Esistono anche telefonate in cui qualcuno si finge un cliente, un agente o un dirigente. Prima di dare dati, verifichi la sua identità e il suo diritto a riceverli. È meglio impiegare qualche minuto che consegnare dati a chi non deve.
Ricordi: la sicurezza dei dati è un'abitudine quotidiana. Una piccola distrazione può avere grandi conseguenze, e avvisare presto aiuta sempre.