La sicurezza informatica di chi fa sicurezza fisica

Un istituto di vigilanza custodisce cose che valgono molto più delle proprie: le planimetrie dei siti dei committenti, gli orari in cui un magazzino resta scoperto, i codici dei varchi, i nomi e i recapiti del personale, le immagini degli impianti. Eppure la cybersecurity di un istituto di vigilanza è quasi sempre il capitolo meno curato dell’azienda, perché il mestiere è un altro e perché nessuno l’ha mai chiesta in gara.

Il punto non è trasformare la vigilanza in un’azienda informatica. È che chi vende sicurezza è un bersaglio più interessante del cliente medio: entrare nei sistemi di un istituto significa avere in mano informazioni su decine di siti contemporaneamente. Questo articolo elenca i punti deboli che si ritrovano ovunque e le misure che si possono davvero applicare con l’organizzazione che c’è, non con quella che si vorrebbe.

Cybersecurity di un istituto di vigilanza: i quattro buchi ricorrenti

Le password condivise. Un’unica utenza per la guardiola, la stessa da anni, scritta su un foglietto sotto la tastiera e conosciuta da chiunque abbia fatto un turno lì negli ultimi anni, dipendenti usciti compresi. La conseguenza operativa è peggiore del rischio di intrusione: se tutti sono la stessa persona, nessuna azione è attribuibile a nessuno, e nel momento della contestazione l’istituto non ha modo di dimostrare chi ha fatto che cosa.

Le telecamere e gli apparati con credenziali di fabbrica. Impianti installati anni fa, mai riconfigurati, con l’accesso da remoto lasciato aperto perché serviva al tecnico. Sono i dispositivi più esposti in assoluto e i più facili da trovare dall’esterno.

Le chat di servizio sui telefoni personali. È il punto in cui esce la maggior parte delle informazioni. Gruppi con dati dei committenti, fotografie di documenti d’identità, targhe, planimetrie, screenshot delle consegne. Gruppi che nessuno chiude, con dentro persone che hanno cambiato azienda, su telefoni privati che l’istituto non controlla e che vengono rivenduti senza essere cancellati.

Le utenze di chi se n’è andato. Il collega uscito sei mesi fa ha ancora accesso alla posta, alla cartella condivisa e al programma dei turni, perché revocare non è compito di nessuno in particolare.

Nessuno di questi quattro punti richiede un attacco sofisticato per essere sfruttato. Richiede solo che qualcuno ci provi.

Le misure che si possono applicare davvero

L’obiettivo non è la perfezione: è togliere di mezzo i modi più semplici per fare danni.

Un’utenza per persona, sempre. È la misura che rende possibili tutte le altre. Ogni guardia particolare giurata entra con la propria identità, sul proprio dispositivo o su quello di servizio, e ogni azione resta attribuita a un nome. Serve alla sicurezza, ma serve ancora di più alla difendibilità del servizio davanti al committente. Nel sistema di rilevazione presenze e nell’app di servizio questo è il presupposto: la timbratura e il rapporto valgono perché appartengono a una persona identificata.

La revoca il giorno stesso della cessazione. Una lista scritta di tutto ciò a cui una persona ha accesso, e una regola: quando qualcuno esce, si chiude tutto lo stesso giorno, insieme alla riconsegna delle chiavi. Se non esiste la lista, la revoca è impossibile per definizione.

Il secondo fattore sulle cose che contano. Posta aziendale, gestione del personale, accesso da remoto agli impianti. Non su tutto: sulle poche cose la cui perdita farebbe davvero male.

Cambiare le credenziali di fabbrica su ogni apparato installato. E metterlo per iscritto come condizione di collaudo verso l’installatore, non come promessa verbale.

Portare le comunicazioni di servizio fuori dalle chat personali. Se le consegne, i rapporti e il cambio turno vivono in uno strumento aziendale, l’informazione resta dove la si può revocare e non nel telefono privato di chi ha lasciato l’azienda. Il registro di servizio digitale esiste anche per questo: non è solo ordine, è contenimento.

Le copie di sicurezza, e la prova che funzionano. Una copia mai ripristinata non è una copia: è una speranza. Va provata almeno una volta.

Ogni rapporto porta il nome di chi lo ha scritto e l’ora: è ciò che rende un turno verificabile.

Il telefono del vigilante

È il dispositivo più esposto dell’azienda: sta in strada, di notte, in mano a una persona che ha altro a cui pensare, e si perde o viene sottratto con una certa regolarità.

Alcune regole pratiche che non costano nulla. Il blocco schermo obbligatorio, con codice o impronta. Nessuna fotografia di documenti nella galleria personale: se una foto serve al servizio, va allegata al rapporto e non salvata sul telefono. Nessun archivio di dati dei committenti in locale. E una procedura scritta, nota a tutti, su cosa fare se il telefono sparisce: chi si avvisa, chi chiude l’accesso, in quanto tempo.

Va detta anche una cosa scomoda sull’uso dei telefoni personali per il servizio. È diffusissimo, spesso inevitabile, e comporta un problema che non è solo tecnico: sul dispositivo privato del lavoratore convivono dati aziendali, dati dei committenti e la vita personale della persona. Le implicazioni riguardano sia la protezione dei dati sia il rapporto di lavoro, cambiano nel tempo e possono essere trattate diversamente a seconda del contratto applicato. È una materia da chiarire con un consulente del lavoro e con un consulente in materia di protezione dei dati, e da scrivere in un’informativa chiara al personale. Quanto scritto qui serve a porre le domande giuste, non è un parere legale.

Gli allegati e la posta: il vettore più banale

La maggior parte degli incidenti non nasce da un attacco tecnico ma da un messaggio scritto bene. Una richiesta urgente che sembra venire da un committente, un allegato che sembra un ordine di servizio, una comunicazione che chiede di cambiare le coordinate di un pagamento.

Due difese pratiche valgono più di qualsiasi strumento. La prima: una regola aziendale per cui qualunque richiesta di modificare dati di pagamento o di inviare elenchi di personale si verifica per telefono a un numero già noto, mai a quello indicato nel messaggio. La seconda: dire esplicitamente al personale che segnalare un dubbio non comporta mai un rimprovero. Chi teme la figuraccia non segnala, e il ritardo nella segnalazione è la parte più costosa di qualunque incidente.

Un’unica vista del servizio evita che le informazioni sui committenti finiscano sparse in chat e fogli personali.

Che cosa vi chiederanno i committenti

C’è una ragione commerciale, oltre a quella prudenziale, per mettere in ordine questa materia: nei capitolati di committenti strutturati stanno comparendo domande sulla gestione degli accessi, sulla conservazione dei dati e sulla notifica degli incidenti. Un istituto che sa rispondere con un documento di due pagine — chi ha accesso a cosa, come si revoca, come si conservano le immagini e i rapporti, chi si avvisa in caso di problema — parte avvantaggiato rispetto a chi improvvisa.

Non serve un sistema di gestione certificato per iniziare. Serve che le risposte esistano e siano vere.

Domande frequenti

Da dove si comincia, con poche risorse? Da tre cose: un’utenza per persona, la revoca degli accessi il giorno stesso della cessazione, e il cambio delle credenziali di fabbrica sugli apparati installati. Sono le misure che chiudono i percorsi di attacco più banali e non richiedono investimenti.

Le chat di gruppo su applicazioni di messaggistica comune sono un problema? Il problema non è la tecnologia in sé, è che i dati dei committenti finiscono su dispositivi privati che l’azienda non può revocare né cancellare. Le comunicazioni di servizio dovrebbero stare in uno strumento aziendale in cui l’accesso si chiude quando una persona esce.

Che cosa fare se un telefono di servizio viene rubato? Applicare una procedura scritta in anticipo: chiusura immediata dell’accesso della persona, verifica di cosa era conservato sul dispositivo, comunicazione al committente se erano coinvolti suoi dati, e registrazione dell’episodio. La valutazione degli obblighi di notifica va fatta con un consulente.

Serve una certificazione per partecipare alle gare? Non necessariamente, e comunque dipende dal committente. Prima della certificazione conviene avere pratiche reali e documentate: molte richieste di gara si soddisfano con procedure semplici, purché esistano davvero e siano applicate.

Se le consegne e i dati dei tuoi committenti girano ancora nelle chat personali del personale, il primo passo è riportarli dentro l’azienda: possiamo mostrarti come si fa senza complicare il lavoro delle guardie.