Sfatiamo il mito: il Wi-Fi pubblico non è il pericolo numero uno
Per anni il consiglio è stato "non usare il Wi-Fi pubblico". Oggi è un'indicazione datata, e vale la pena capire perché: praticamente tutto il traffico che conta viaggia già cifrato end-to-end (HTTPS), quindi il tizio seduto al tavolo accanto non "legge le tue mail" solo perché siete sulla stessa rete. Lo scenario da film del man in the middle sul Wi-Fi del bar è oggi molto meno frequente delle cose noiose che elenchiamo qui sotto.
Detto questo, due rischi reali restano. Il primo sono i portali di accesso fasulli: reti aperte con nomi plausibili ("Hotel_Free_WiFi") create apposta per farti inserire credenziali in una finta pagina di login. Il secondo è la disattenzione da vacanza: sotto il sole, con il telefono in una mano e il caffè nell'altra, si clicca su qualsiasi cosa. In pratica, quando puoi, usa l'hotspot del tuo telefono invece della rete aperta: è più semplice che valutare se una rete è affidabile, e il traffico dati costa molto meno del tempo che perderesti dopo un incidente.
Quello che conta davvero: il dispositivo
La domanda giusta non è "a quale rete mi collego", è "cosa c'è in mano alla persona che lavora". Un portatile aziendale gestito, con disco cifrato, antivirus aggiornato e possibilità di essere bloccato o cancellato da remoto, resta sicuro anche sulla rete peggiore del mondo. Un PC personale con Windows non aggiornato è un problema anche collegato alla fibra di casa.
Tre requisiti minimi per ogni dispositivo che esce dall'ufficio:
• Cifratura del disco attiva (BitLocker su Windows). Un portatile rubato dall'auto in un parcheggio del mare è una perdita di hardware se il disco è cifrato; è un data breach da notificare al Garante se non lo è.
• Protezione endpoint aggiornata e monitorata — nel nostro stack Microsoft Defender, con gli alert che arrivano a qualcuno che li legge, non alla casella di chi è in ferie.
• Gestione centralizzata (Microsoft Intune), che ti permette di sapere quali dispositivi sono conformi e, all'occorrenza, di bloccarli a distanza. Senza questo, "cancella il portatile perso" è solo un desiderio.
E il PC di casa del dipendente? Se proprio deve essere usato, la strada sana è non farci arrivare i dati: accesso solo via browser alle app aziendali, niente sincronizzazione di file in locale, niente installazione del client di posta. Meglio ancora, un portatile aziendale in valigia.
VPN o Conditional Access? Dipende da dove sono i tuoi dati
Qui la scelta è meno ideologica di quanto sembri, ed è la stessa che abbiamo messo a confronto in VPN, Zero Trust o Conditional Access. La regola pratica:
• Se hai risorse in sede — un gestionale su server, cartelle di rete, un applicativo che vive nel tuo NAS — ti serve una VPN. È l'unico modo di raggiungerle da fuori senza esporle su Internet. Accertati che sia protetta da MFA anche lei: una VPN con la sola password è una porta aperta con il cartello "entrate".
• Se il lavoro è tutto su Microsoft 365 — posta, SharePoint, Teams, OneDrive — la VPN non serve e anzi peggiora l'esperienza. Serve invece il Conditional Access: le regole che dicono "questo utente può entrare solo da un dispositivo conforme, con MFA, e blocca l'accesso dai Paesi in cui non operiamo".
Attenzione a un dettaglio molto estivo: se imposti restrizioni geografiche, ricordati di chi va in vacanza all'estero. Bloccare tutti i Paesi tranne l'Italia è una regola sensata undici mesi l'anno e un disastro ad agosto, quando il tuo commerciale in Spagna non riesce più ad aprire la posta. Meglio prevedere eccezioni temporanee concordate, invece di trovarsi a disattivare la regola in fretta e furia (e magari a dimenticarsi di riattivarla a settembre).
Il secondo fattore in valigia
L'autenticazione a più fattori è ciò che rende innocua una password rubata, ma in vacanza ha due nemici pratici: il telefono che finisce in acqua e la SIM estera che cambia numero. Due mosse da fare prima di partire:
• Registra almeno due metodi per ogni persona: app di autenticazione sul telefono più, ad esempio, i codici di backup salvati in un posto sicuro. Se il metodo unico è un SMS al numero italiano e il dipendente usa una SIM locale, l'accesso salta.
• Concorda che nessuno approva una richiesta MFA che non ha generato lui. Il trucco delle notifiche ripetute a raffica finché la vittima accetta per sfinimento funziona benissimo su qualcuno che è al mare e vuole solo che il telefono la smetta di vibrare.
Le regole "da spiaggia" che valgono più di ogni tecnologia
Sono banali e per questo funzionano. Falle circolare in una mail di due righe prima delle partenze:
• Blocco schermo automatico su tutti i dispositivi, e schermo bloccato appena ci si alza. Un portatile aperto sul tavolino di un bar è la vulnerabilità più economica che esista.
• Niente file aziendali sul cloud personale per comodità ("me lo mando su Drive così lo apro dal tablet"). È il modo più comune in cui i dati escono dall'azienda senza che nessuno se ne accorga.
• Mai stampare o inviare documenti dalla reception dell'hotel, e attenzione alle stazioni di ricarica USB pubbliche: usa il tuo alimentatore.
• Segnala subito se perdi un dispositivo, anche di domenica, anche se "poi magari salta fuori". La differenza tra un blocco remoto in dieci minuti e uno tre giorni dopo è tutta lì — vale lo stesso ragionamento dei primi 30 minuti dopo un incidente.
E poi c'è la truffa stagionale: la mail "urgente" che arriva mentre chi potrebbe verificarla è via. Ad agosto il finto fornitore che comunica un nuovo IBAN ha il campo libero, per questo la regola sui pagamenti va decisa prima. Ripassare i 7 segnali del phishing a luglio costa dieci minuti.
In sintesi
Lavorare dal mare non è pericoloso: lo diventa quando il dispositivo non è gestito, l'accesso non è condizionato e nessuno ha detto alle persone cosa fare se qualcosa va storto. Metti in fila le tre cose che contano — un portatile aziendale cifrato e monitorato, la via d'accesso giusta (VPN se i dati sono in sede, Conditional Access se sono su Microsoft 365), un secondo fattore che funziona anche con la SIM straniera — e il resto è buon senso da ombrellone. Il Wi-Fi dell'hotel, a quel punto, è l'ultimo dei tuoi problemi.
Vuoi capire se i portatili che escono dalla tua azienda quest'estate sono davvero coperti? Scrivici: facciamo un controllo rapido su cifratura, gestione dispositivi e regole di accesso, e ti diciamo cosa manca.
Articoli collegati: VPN, Zero Trust o Conditional Access · MFA senza far impazzire i dipendenti · La checklist IT prima delle ferie