10 consigli di sicurezza tecnologica per lavoratori da remoto e nomadi digitali
Tre anni fa, una collaboratrice di un’agenzia di comunicazione ha perso l’accesso al proprio account di lavoro mentre era in viaggio a Lisbona. Stava usando il Wi-Fi dell’ostello. Nessun dramma hollywoodiano, solo un accesso non autorizzato silenzioso, dati esposti, settimane di lavoro per recuperare il controllo. Piccola storia, conseguenze grandi. Il punto è che la sicurezza informatica per i nomadi digitali non è roba da esperti: è semplicemente una serie di abitudini che o hai o non hai.
Secondo Eurostat, oltre il 22% dei lavoratori europei opera in mobilità almeno part-time. Sono milioni di persone che si connettono da caffè, aeroporti, appartamenti Airbnb. Ognuno di loro è un bersaglio potenziale. Questi non sono consigli copia-incolla da un manuale aziendale. Sono cose che funzionano davvero.
1. La VPN non è un lusso da paranoici
Chiunque abbia lavorato seriamente da remoto sa che il Wi-Fi pubblico è una trappola con le sembianze di una comodità. Stazione, bar, hotel: reti aperte dove chiunque con gli strumenti giusti può intercettare quello che trasmetti. Una VPN cifra il traffico e rende il tuo dispositivo molto meno interessante per chi annusa la rete.
Ma c’è un dettaglio che quasi nessuna guida menziona: la posizione del server VPN conta quanto la VPN stessa. Connettersi a un server in un paese con leggi deboli sulla protezione dei dati annulla buona parte del vantaggio. Chi lavora con clienti europei o gestisce dati sensibili dovrebbe scegliere server in paesi con normative solide.VeePN ha server in Germania — uno degli ambienti giuridici più rigorosi per la privacy in Europa — il che non è un dettaglio secondario se si considera chi potrebbe essere interessato ai tuoi dati. VeePN non memorizza i dati degli utenti, quindi non vi è alcun rischio di fughe di dati da database.
2. L’autenticazione a due fattori ti salva anche quando sei stupido
Diciamolo chiaramente: prima o poi usiamo una password debole, ci connettiamo da un dispositivo non sicuro, apriamo una mail sbagliata. Succede a tutti. L’autenticazione a due fattori è la rete di sicurezza per quei momenti. Anche se la password viene rubata, senza il secondo fattore non si entra.
“Le password sono come gli spazzolini da denti: cambiamole spesso e non condividiamole con nessuno”. — Clifford Stoll, astrofisico e pioniere della sicurezza informatica
Usa un’app dedicata come Authy invece degli SMS: i codici via messaggio sono vulnerabili agli attacchi di SIM swapping, una truffa in crescita in tutta Europa. Trenta secondi in più al login. È il prezzo più basso che esista per dormire tranquilli.
3. I tuoi file raccontano più di quanto pensi
Ecco qualcosa che quasi nessuno controlla: i metadati nascosti nei documenti che mandi. Ogni Word, ogni PDF, ogni foto può contenere il nome del tuo computer, i percorsi delle cartelle, talvolta persino la posizione GPS se scattata con il telefono. Un fotografo freelance — questa è una storia vera — ha condiviso con un cliente un portfolio con foto che contenevano coordinate GPS precise della sua abitazione. Non se n’era accorto.
Prima di inviare file a chiunque non ti conosca personalmente, rimuovi i metadati. Su Windows bastano due clic nelle proprietà del file; su Mac si usa Anteprima; per chi vuole più controllo, ExifTool è gratuito e funziona su tutto. Un passaggio da trenta secondi che in pochi fanno.
4. Lavoro e vita privata sullo stesso dispositivo: un errore costoso
Chi ha provato a tenere tutto su un unico laptop conosce la sensazione: la tab di Netflix aperta accanto alla dashboard del cliente, l’app di messaggistica che pinga mentre sei in una call. Non è solo una questione di concentrazione. È un problema di sicurezza reale.
Un malware scaricato tramite un’app personale — un gioco, un’app di streaming — può propagarsi ai dati professionali senza che te ne accorga. Se non puoi permetterti due dispositivi, crea almeno profili browser separati con estensioni, account e sessioni distinte. Non è la soluzione perfetta, ma abbassa il rischio in modo misurabile.
5. Quante sessioni attive hai in questo momento?
Fai questa prova: apri le impostazioni di sicurezza del tuo account Google o Microsoft e guarda quanti dispositivi e sessioni sono collegati. La maggior parte delle persone rimane sorpresa. Sessioni aperte su computer di coworking dimenticati, vecchi smartphone, tablet che non si usano più.
Ogni sessione attiva è una porta potenzialmente aperta. Controlla e revoca tutto ciò che non riconosci, almeno una volta al mese. Cinque minuti. Gmail, Dropbox, Notion, Slack: tutti lo permettono. Non aspettare che succeda qualcosa per farlo.
6. Il DNS: il dettaglio che quasi nessuno cambia
Quasi tutto il traffico internet passa attraverso il DNS — il sistema che traduce i nomi dei siti in indirizzi numerici. La maggior parte delle persone usa i server DNS del proprio provider, che registrano ogni sito visitato e non filtrano contenuti pericolosi.
Cambiare il DNS è semplice e gratuito: Cloudflare (1.1.1.1) non registra le query degli utenti; Quad9 (9.9.9.9) blocca automaticamente domini associati a malware. Si configura in cinque minuti nelle impostazioni di rete del dispositivo o del router. Nessun abbonamento, nessun software aggiuntivo. È uno di quei consigli di sicurezza per i lavoratori da remoto che per qualche motivo finisce sempre in fondo alle liste, ma che vale quanto molte soluzioni a pagamento.
7. Il router di casa è il tuo punto cieco
“Il vettore di attacco più trascurato nell’ecosistema del lavoro remoto rimane l’infrastruttura domestica”. — Bruce Schneier, crittografo e uno dei massimi esperti mondiali di sicurezza informatica
Si aggiorna il sistema operativo, si installa l’antivirus, si fa attenzione alle email sospette. E poi ci si dimentica del router, che magari gira con un firmware del 2019 e una password amministrativa che è ancora “admin”. Il firmware del router va aggiornato come qualsiasi altro software: contiene patch di sicurezza critiche che i produttori rilasciano regolarmente.
Entra nel pannello di controllo del tuo router — di solito digitando 192.168.1.1 nel browser — e controlla la versione installata. Se non lo fai da anni, probabilmente troverai aggiornamenti importanti in attesa. E mentre sei lì, cambia la password di amministratore se non l’hai ancora fatto.
8. Crittografa il disco. Ora, non domani
Un laptop perso o rubato senza crittografia del disco è un archivio aperto per chiunque lo trovi. Contratti, credenziali, dati dei clienti: tutto leggibile con strumenti facilmente reperibili. La crittografia completa del disco rende i dati illeggibili senza la password corretta — anche rimuovendo fisicamente il disco e collegandolo a un altro computer.
Su Windows si chiama BitLocker, su Mac FileVault. Entrambi sono già installati, entrambi sono gratuiti. Basta attivarli. Una volta fatto, lavorano in sottofondo senza rallentamenti percepibili. Molti nomadi digitali configurano anche l’accesso VPN automatico all’avvio del sistema – così ogni sessione di lavoro parte già protetta, senza dover ricordare di attivare nulla manualmente. La crittografia integrata riguarda la protezione dei dati sul dispositivo e la VPN riguarda la protezione durante la trasmissione di qualsiasi informazione sulla rete.
9. Gli aggiornamenti software non sono tutti uguali
Se non avete mai sentito parlare di attacchi alla catena di fornitura, è ora di rimediare. Gli hacker hanno sempre cercato di sfruttare la sicurezza degli utenti pubblicando online file falsi di software noti, software senza licenza, link di phishing e molto altro. Un altro approccio consiste nell’hackerare software affidabili e inserire codice modificato insieme all’aggiornamento.
Tutti i dispositivi che hanno abilitato gli aggiornamenti automatici sono infetti. L’attacco a SolarWinds nel 2020 ha causato un’ampia attività governativa e attacchi su larga scala a un’unica catena di fornitura infetta.
Gli attacchi alla catena di fornitura non sono facili. Cerco costantemente fonti ufficiali: sito web del prodotto, negozio verificato, repository ufficiale. Cercate versioni software stabili piuttosto che abilitare gli aggiornamenti automatici. È meglio ignorare le versioni beta e aggiornare solo dopo che il software è stato completamente sviluppato.
10. Il backup che non hai ancora fatto
La regola del 3-2-1 è quella che i professionisti della sicurezza consigliano da decenni: tre copie dei dati, su due supporti diversi, con una copia fuori sede o nel cloud. Non è paranoia — è matematica applicata alla probabilità che qualcosa vada storto.
Un ransomware, un guasto hardware, un furto: basta uno di questi eventi per perdere mesi di lavoro in pochi secondi. Strumenti come Backblaze o Arq automatizzano tutto; un disco esterno abbinato a Google Drive o iCloud fa già molto. La cosa più importante? Farlo adesso, prima che serva davvero — perché quando serve, è già troppo tardi.
Qualche ultima parola
La sicurezza non è uno stato che si raggiunge una volta per tutte. È una pratica. Alcune di queste cose richiedono cinque minuti, altre mezz’ora. Ma l’errore più comune non è non sapere cosa fare — è rimandare. Prendi la lista, scegli le tre cose che non hai ancora fatto, e inizia da lì.
