NUOVO MODELLO OP: Utilizzo degli strumenti personali per uso lavorativo alla luce dei rcenti episodi di cronaca
L’attacco informatico che dal primo agosto tiene offline i siti della Regione Lazio è nato “dalla violazione dell’utenza di un dipendente in smartworking” L’assessore D’Amato ha affermato che gli attaccanti “hanno colpito in un momento particolare, quando il livello di attenzione si abbassa”, come avviene col lavoro da remoto. Nel frattempo é stato sentito per tre ore come persona informata sui fatti il dipendente della Regione Lazio di Frosinone intestatario dell’account ‘bucato’ dagli hacker che hanno attaccato il Centro di elaborazione dati regionale La pandemia da Covid-19 e l’aumento del cosiddetto smart working hanno aumentato l’esposizione al rischio di attacchi ransomware perché – come sembra il caso dell’attacco alla Regione Lazio – l’errore umano è la fonte principale dei cyberattacchi e la distanza dal luogo di lavoro rende un possibile errore più probabile
Per questo può valere la pena ribadire alcuni concetti. Al di là di ogni considerazione di carattere economico, ambientale, sociale ecc, questa nuova modalità lavorativa porta con sé alcune criticità soprattutto in materia di tutela dei dati personali e di sicurezza aziendale. 
Un primo fattore di rischio è quello legato alla sicurezza dei dati, di cui l’azienda è titolare e responsabile del trattamento, che saranno assoggettati allo scarso livello di sicurezza (potenzialmente) presente sul dispositivo del dipendente di turno, con conseguente innalzamento dei rischi. Non solo. L’uso promiscuo – a fini personali e professionali – del proprio dispositivo da parte del lavoratore potrebbe portare ad una maggiore vulnerabilità, nel caso in cui il dispositivo sia connesso a una rete poco sicura. Ricordiamo anche che noi trattiamo non soltanto dati personali ma anche dati sensibili (si pensi ad un questionario sanitario) la cui eventuale diffusione non autorizzata prevede sanzioni ancora più dure.
Questi rischi sono infatti ben chiariti e esplicitati nel documento che ciascuno di noi ha sottoscritto, accettandone il contenuto, al momento della consegna del tablet.
Qui di seguito sono riportati alcuni capoversi:
“Gli strumenti aziendali, quale ad esempio il Tablet, sono posti dal datore di lavoro nella disponibilità dei Collaboratori per lo svolgimento della relativa prestazione lavorativa; i Collaboratori dovranno utilizzarli nel rispetto dei principi di diligenza, correttezza e buona fede nonché nel rispetto delle leggi;
L’utilizzo degli strumenti aziendali ed il conseguente trattamento di dati aziendali devono avvenire nel rispetto della normativa in materia di protezione dei dati personali (D. Lgs. 196/2003, di seguito Codice Privacy) e delle istruzioni impartite dal Titolare, pubblicate e periodicamente aggiornate nell’intranet aziendale:
Gli strumenti aziendali sono configurati in modo da garantire il rispetto della normativa vigente e delle regole descritte.
Gli strumenti informatici assegnati in uso ai Collaboratori permettono l’accesso alla rete della Società solo attraverso specifiche credenziali di autenticazione.
I Collaboratori che, per le mansioni loro affidate, trattano dati personali mediante strumenti elettronici, sono dotati di specifiche credenziali di autenticazione composto da “codice identificativo personale” (user-id) attribuito dalla Società
Le credenziali di autenticazione sono assolutamente personali e di uso esclusivo del Collaboratore cui sono assegnate. La parola chiave (password), connessa alla credenziale di autenticazione deve essere conosciuta solamente dal Collaboratore, che è responsabile della segretezza della stessa;
È vietato ai Collaboratori di modificare le configurazioni impostate sugli strumenti aziendali o installare dispositivi di memorizzazione, comunicazione o altro (ad esempio masterizzatori, modem, wi-fi o connect card).
Inoltre i Collaboratori si devono attenere alle seguenti regole:
– non devono disattivare l’Antivirus;
– prima di lasciare incustodito lo strumento aziendale durante una sessione di lavoro, devono attivare la funzione di protezione schermo con codice, in modo da non consentire l’utilizzo dello strumento a terzi quando è lasciato acceso e incustodito;
-non devono essere utilizzate funzioni che consentano la memorizzazione automatica della password di accesso ai sistemi;
-devono utilizzare l’apparecchiatura nel limite dei blocchi predefiniti (Roaming internazionale, soglia traffico dati SIM, servizi interattivi o scaricabili da app non consentite dalla Compagnia.
non è consentito ai Collaboratori:
– scaricare (download) materiale di provenienza e di affidabilità non certa, in quanto può contenere virus dannosi per la postazione di lavoro e per la rete aziendale.”
Pertanto è abbastanza esplicito il divieto di collegare il tablet alla wi-fi domestica la quale potrebbe avere delle vulnerabilità dovute ad un uso, se vogliamo, libero della connessione che può legittimamente essere utilizzata per la navigazione su siti di streaming, gaming on line, shopping on line che risultano essere canali agevolati per malware e virus informatici. Anche l’utilizzo di Citrix Workspace istallato sul pc di casa ha implicazioni sul rispetto delle misure minime di sicurezza. Sebbene Citrix rassicuri sulla sicurezza delle sue piattaforme, il problema del rischio sussiste. Il pc di casa potrebbe essere infettato da “stealer” o “keylogger”. Si tratta di malware in grado di ottenere, una volta installati all’insaputa dell’utente, id e password. Ricordiamo bene che della loro segretezza ne siamo responsabili in prima persona. Inoltre, con la stessa logica di quanto è richiesto per l’utilizzo del tablet, anche il pc domestico deve essere dotato di antivirus attivo ed aggiornato, screen saver con password ecc.
La situazione inoltre è destinata a complicarsi ulteriormente in vista delle novità operative introdotte dall’IDD per il 2021, con particolare riferimento all’obbligo di registrazione telefonica per i contratti conclusi a distanza.
Per questo facciamo le polizze.
Ma facciamole con attenzione e scrupolo
Gianluca Palomba