I dati dei Suoi clienti,
sotto chiave.

Con tre elementi che si reggono a vicenda: controllo degli accessi, cifratura di ciò che è sensibile e backup che si ripristinano davvero. Uno studio gestisce fascicoli con dati patrimoniali, processuali e a volte sanitari di terzi, quindi non basta avere un antivirus e sperare. La prima cosa è sapere chi può aprire ogni fascicolo e perché: non tutto il team deve vedere tutti i casi. La seconda è che i portatili e i dischi che escono dall’ufficio — per un’udienza, per un incontro con un cliente — siano cifrati, perché un dispositivo smarrito non cifrato è un incidente e lo stesso dispositivo cifrato, in genere, non lo è. La terza sono i backup, verificati davvero, non solo programmati. A questo si aggiunge qualcosa che quasi nessuno ha firmato: il contratto con il fornitore informatico come responsabile del trattamento. Lo spieghiamo più nel dettaglio in manutenzione informatica e GDPR per le aziende, e nel Suo studio facciamo la verifica completa prima di toccare qualsiasi cosa.

Che smette di lavorare finché il problema non si risolve, se dietro non ci sono backup affidabili. Uno studio vive di fascicoli che non si possono ricreare a mano: un ransomware che cifra la cartella dei casi attivi, o un disco che muore senza preavviso, blocca il lavoro della giornata e compromette quello dei mesi precedenti se non era stato salvato nulla a parte. Configuriamo backup automatici, su un supporto diverso da quello che usa ogni giorno e con almeno una copia fuori dall’ufficio, e li verifichiamo ripristinandoli davvero, non solo controllando che il processo sia terminato senza errori. Se poi succede il peggio, le prime ore dopo aver rilevato una cifratura o un accesso anomalo sono quelle che decidono quanto si salva: isolare il computer colpito, non pagare d’impulso e sapere chi chiamare prima che accada. Ne parliamo in cosa fare nelle prime ore di un ransomware, una lettura che conviene fare prima di averne bisogno, non dopo.

Sì, con una connessione configurata bene, non con un qualsiasi accesso remoto improvvisato. Un socio che deve aprire un fascicolo da un tribunale, da casa o dall’ufficio di un cliente non dovrebbe dipendere dalla condivisione di password via e-mail né da un desktop remoto esposto su internet senza altra protezione. Configuriamo accesso remoto e VPN cifrate, con autenticazione a due fattori perché una password trapelata non basti per entrare, e rendiamo i fascicoli accessibili solo da dispositivi e account autorizzati, mai da un computer qualsiasi che qualcuno abbia sottomano. Conta anche cosa succede quando il portatile di un socio viene perso o rubato: se è cifrato e l’accesso remoto si può revocare all’istante, un dispiacere non diventa una violazione. Lo realizziamo insieme al resto dell’infrastruttura dello studio, su hosting e cloud, perché accesso remoto e backup stiano dalla stessa parte e non siano due sistemi separati che nessuno finisce per coordinare.

Sì, e in uno studio merita un’attenzione particolare perché l’e-mail muove denaro: bonifici dei clienti, acconti, cambi di conto corrente all’ultimo momento. Configuriamo l’e-mail professionale con il Suo dominio, filtri antiphishing e i record tecnici che rendono difficile a qualcuno inviare e-mail fingendosi il Suo studio. Ma il filtro non ferma mai il cento per cento, e la frode che fa più male entra spesso per telefono o con un’e-mail che sembra di un cliente vero e chiede di cambiare il conto di destinazione di un pagamento. Per questo l’altra metà del lavoro è formare il team a diffidare di qualsiasi modifica urgente alle istruzioni di pagamento e a verificarla sempre attraverso un canale diverso da quello da cui è arrivata la richiesta, mai rispondendo allo stesso messaggio. Lo stesso schema di manipolazione si ripete con chi chiama spacciandosi per l’assistenza tecnica per farsi dare l’accesso al computer; lo spieghiamo in come riconoscere una falsa chiamata di assistenza tecnica, ed è bene che tutto lo studio lo conosca, non solo chi si occupa dell’informatica.

Una copia non basta, e salvarla sullo stesso disco che usa ogni giorno non conta nemmeno come copia. Il riferimento che seguiamo è avere più copie di ciò che non può permettersi di perdere, su supporti diversi, con almeno una fuori dall’ufficio: così un incendio, un furto o un ransomware che cifra tutto ciò che trova collegato non si porta via anche i backup. In uno studio questo significa fascicoli attivi, e-mail e la documentazione fiscale e del personale dello studio stesso, non solo ciò che vede il cliente. Quello che dimostra davvero che un backup funziona è ripristinarlo e verificare che il file si apra; un backup mai provato è un’ipotesi, non una garanzia. Spieghiamo il metodo completo in la regola 3-2-1 dei backup, e lo lasciamo configurato in modo che si verifichi da solo, senza dipendere dal fatto che qualcuno se ne ricordi ogni settimana.

Sì, se quel fornitore accede a computer che contengono dati dei Suoi clienti, e per fare assistenza vi accede. Il GDPR lo chiama responsabile del trattamento e richiede che quel rapporto sia regolato per iscritto: quali dati tratta, per quale finalità, a quale riservatezza si impegna il suo personale, quali misure di sicurezza applica e cosa succede ai dati quando il rapporto finisce. Capita spesso di trovare studi con tutta la documentazione sulla protezione dei dati in ordine e senza questo contratto firmato, proprio con chi ha più accesso tecnico ai loro sistemi. È una delle cose più facili da sistemare e una delle più trascurate, e funziona in entrambe le direzioni: se un fornitore si stupisce quando gli chiede questo contratto, questo dice già qualcosa su come lavora. Lo spieghiamo più nel dettaglio, con l’elenco di ciò che deve contenere, in cosa deve includere un contratto di manutenzione informatica.