Uno studio non custodisce i propri dati: custodisce quelli dei suoi clienti. Cambia tutto, a partire da chi risponde se qualcosa va storto.
Commercialisti, consulenti del lavoro, avvocati e società di consulenza hanno un'infrastruttura informatica che sembra semplice: poche postazioni, un server, un gestionale verticale, la posta. Poi si guarda cosa ci gira dentro e la faccenda cambia: le buste paga di centinaia di dipendenti che lavorano per qualcun altro, bilanci non ancora depositati, atti coperti da segreto professionale.
È il motivo per cui gli studi sono da anni un bersaglio preferito degli attacchi: colpirne uno vale quanto colpire tutti i suoi clienti insieme. E il danno non si ferma allo studio, si propaga a valle.
Ogni studio ha date in cui non si può stare fermi. Il giorno dei versamenti, la chiusura dei cedolini, il termine di un deposito. In quelle ore un gestionale che non parte o una connessione che cade non è un disagio: è una scadenza persa, con conseguenze che ricadono sul cliente e non su chi ha avuto il guasto.
Da qui parte tutto il resto del ragionamento. Le finestre di manutenzione si programmano lontano da quelle date, gli aggiornamenti si provano prima, e la continuità della connessione smette di essere un optional. Sono le stesse pratiche che applichiamo dove un fermo si misura in euro al minuto.
La domanda da cui partiamo in ogni assessment su uno studio è una sola: quali sono le tre date dell'anno in cui non potete permettervi di fermarvi. Il resto discende da lì.
Quando uno studio elabora le paghe o tiene la contabilità per un'azienda cliente, tratta dati personali per conto di quell'azienda. Il fornitore informatico dello studio si inserisce a sua volta in quella catena. Significa che i contratti devono incastrarsi: se manca un anello, in caso di violazione la responsabilità resta appesa a chi non se l'aspettava.
Con gli studi che seguiamo l'atto di nomina come responsabile del trattamento è parte del contratto di servizio, non un allegato da recuperare dopo. Comprende quali dati trattiamo, con quali misure, per quanto tempo e con quali eventuali sub-fornitori, perché è esattamente quello che il vostro cliente ha diritto di sapere quando lo chiede a voi.
In uno studio la domanda non è se i dati sono protetti dall'esterno, è chi può vederli dall'interno. Praticanti, collaboratori, personale che entra ed esce.
Firme digitali, accessi ai portali della pubblica amministrazione, deleghe. Sono le chiavi dello studio e spesso stanno su un foglio condiviso.
Il verticale è il cuore dello studio e di solito dipende da un unico fornitore. Vale la pena sapere in anticipo cosa succede se si ferma.
La truffa più redditizia contro uno studio non è il ransomware: è una mail credibile che chiede di cambiare un IBAN.
Tutto quello che sta intorno, che è la parte in cui i problemi nascono davvero: la macchina su cui gira, la rete, i backup, gli accessi, le postazioni, la posta. Il fornitore del verticale conosce il suo applicativo e si ferma lì, ed è giusto così.
Quello che succede spesso è che in mezzo resti una terra di nessuno: il gestionale non parte, il fornitore dice che è la rete, e nessuno dei due se ne occupa. Con noi quella zona ha un proprietario, e nei casi in cui serve parliamo direttamente con il fornitore del software invece di farlo fare a voi.
È una domanda che arriva sempre più spesso, e la risposta che regge è documentale, non verbale. Servono l'atto di nomina che lo studio ha firmato con il proprio fornitore informatico, l'elenco delle misure applicate e la catena dei sub-fornitori.
Se ve lo stanno chiedendo per iscritto, portateci la richiesta: nell'assessment guardiamo quali risposte l'infrastruttura di oggi vi permette di dare onestamente, e quali richiedono lavoro prima di poter essere firmate.
Il numero di persone conta poco, conta quanti soggetti terzi ci sono dietro. Uno studio da sei persone che segue duecento aziende custodisce i dati di migliaia di dipendenti, e in caso di violazione sono quelle migliaia di persone che vanno informate.
Detto questo, il contratto va dimensionato: su uno studio piccolo si parte da inventario, backup verificato, accessi in ordine e secondo fattore. Il resto si aggiunge quando serve.
Non di per sé, lo diventa quando l'accesso da fuori è stato aperto in fretta e non è più stato rivisto. I casi che troviamo più spesso sono lo stesso accesso remoto condiviso da tutto lo studio e le postazioni personali senza nessuna protezione gestita.
Si sistema con accessi nominali, secondo fattore e postazioni censite. Non serve rinunciare a lavorare da fuori, serve sapere chi entra e da dove.
Da quella domanda parte l'assessment gratuito. Veniamo in studio, guardiamo com'è messa l'infrastruttura e vi lasciamo un report scritto, che resta vostro anche se poi non se ne fa nulla.