Nel telelavoro, la sicurezza informatica di una piccola o media impresa (PMI) svizzera si fonda su regole chiare per i dispositivi, gli accessi, gli account e i dati. L'Ufficio federale della cibersicurezza (UFCS) annovera la protezione degli accessi remoti fra le sue sei misure tecniche di base. Vi aggiunge misure organizzative, come l'autenticazione a più fattori e la sensibilizzazione del personale.
Queste regole completano le basi della cibersicurezza per le PMI, valide anche in ufficio. Questa pagina tratta solo del lavoro a distanza.
L'esigenza è reale. Secondo lo studio Cibersicurezza delle PMI 2026, pubblicato il 22 ottobre 2026, il 6% delle PMI svizzere ha subito un attacco informatico grave in tre anni.
Cifre chiave
- Il 6% delle PMI svizzere ha subito un attacco informatico grave in tre anni, e fino al 16% di quelle che contano almeno dieci collaboratori.
- Il phishing, il furto di password, i software dannosi e gli attacchi contro reti e server hanno ciascuno un ruolo in circa un terzo degli incidenti.
- Oltre l'80% delle PMI installa gli aggiornamenti, e nove su dieci eseguono backup.
- Solo un quarto delle PMI verifica regolarmente il ripristino dei propri backup.
- Solo circa un terzo forma regolarmente il proprio personale o tiene un inventario dei propri sistemi informatici.
Perché il telelavoro cambia la sicurezza informatica?
Secondo l'UFCS, gli attacchi informatici passano dal personale, ma spesso anche da sistemi informatici protetti in modo insufficiente.
Gli attacchi subiti dalle PMI svizzere sono vari. Nello studio 2026, phishing, furto di password, software dannosi e attacchi contro reti e server hanno ciascuno un ruolo in circa un terzo degli incidenti.
La nostra analisi: il lavoro a distanza tocca queste quattro vie contemporaneamente. Il dipendente legge le sue e-mail da solo, si connette da un'altra rete e utilizza un dispositivo che l'azienda non vede più ogni giorno.
Quali regole per i dispositivi usati a distanza?
La prima regola consiste nel sapere quali dispositivi escono dall'azienda. L'UFCS mette il censimento dell'ambiente delle tecnologie dell'informazione e della comunicazione (TIC) in cima alle sue misure tecniche. Si tratta di sapere quali dispositivi, software e servizi l'azienda utilizza.
Seguono tre gesti che l'ufficio cita anch'essi fra le sue misure tecniche:
- installare gli aggiornamenti di sicurezza;
- utilizzare un antivirus e dei firewall;
- salvare i dati.
Oltre l'80% installa gli aggiornamenti, secondo lo studio 2026. Ma solo circa un terzo tiene un inventario dei propri sistemi informatici.
Esempio datato: il 21 ottobre 2026, l'UFCS ha chiesto di installare immediatamente le correzioni di due vulnerabilità critiche in PHP, un linguaggio di programmazione per il web. Raccomandava di verificare anche le applicazioni e i dispositivi che integrano PHP. La nostra analisi: senza inventario, una PMI non sa quali postazioni e strumenti remoti verificare.
Come proteggere gli accessi remoti e la rete?
L'UFCS cita due misure che riguardano direttamente il lavoro a distanza: proteggere gli accessi remoti e segmentare le reti. La segmentazione mira a evitare che un'intrusione si estenda a tutto il sistema.
Nicolas Mayencourt, fondatore dell'azienda bernese Dreamlab Technologies, raccomanda l'autenticazione a due fattori per i sistemi sensibili. Secondo lui, queste precauzioni di base impediscono agli aggressori di propagarsi liberamente nella rete.
La nostra analisi: per una PMI, la regola si riassume così. Un computer violato a domicilio deve aprire solo i sistemi di cui il suo utente ha bisogno. La pagina sulla protezione di base dell'UFCS non precisa la tecnica da impiegare per riuscirci.
Quali regole per gli account e le password?
Gli account costituiscono il punto più esposto quando il team si connette dall'esterno. L'UFCS annovera fra le sue misure organizzative l'uso di password sicure e dell'autenticazione a più fattori.
Il 19 ottobre 2026, l'UFCS ha pubblicato «Cinque passi per un'autenticazione sicura». L'ufficio vi passa in rassegna la password, la passkey e la smart card. Propone di classificare i mezzi di autenticazione secondo la sicurezza che offrono.
L'autenticazione a più fattori è già diffusa nelle PMI svizzere, secondo lo studio 2026. La nostra analisi: la regola utile consiste nell'imporla su ogni accesso remoto, cominciando dalla posta elettronica e dai sistemi sensibili.
I diritti contano quanto le password. Nel nostro articolo sulle reti di falsi informatici, segnalavamo una buona pratica: concedere a un nuovo dipendente a distanza solo i diritti necessari.
Come proteggere i dati fuori dall'ufficio?
L'UFCS chiede di disciplinare il trattamento delle informazioni e dei dati sensibili. Nel telelavoro, questa regola copre i file portati con sé, gli strumenti online e i servizi di intelligenza artificiale (IA).
Il 16 ottobre 2026, l'UFCS ha richiamato l'attenzione su un rischio preciso. Inserire senza precauzioni informazioni personali, confidenziali o commerciali in un'IA può portare a una condivisione eccessiva di dati.
I backup completano questo dispositivo. Nove PMI su dieci li eseguono, ma solo un quarto ne verifica regolarmente il ripristino, secondo lo studio 2026. Nicolas Mayencourt raccomanda backup regolari conservati offline.
L'UFCS chiede anche di disciplinare le responsabilità per il cloud e l'informatica esternalizzata. La nostra analisi: quando il team lavora a distanza, l'azienda deve sapere quale fornitore conserva quali dati.
Come preparare un team a distanza al phishing?
Il personale svolge quotidianamente un ruolo decisivo per la sicurezza dell'informazione, sottolinea l'UFCS. L'ufficio raccomanda di sensibilizzarlo e di promuovere una cultura della segnalazione. Consiglia anche prudenza con le e-mail e la protezione dell'e-banking.
Le truffe cambiano rapidamente. Il 20 ottobre 2026, l'UFCS descriveva una nuova variante di phishing legata a false prenotazioni alberghiere. I truffatori cercavano di prendere il controllo di account TWINT e di e-banking.
Questo aspetto resta il più debole nelle PMI. Solo circa un terzo forma regolarmente il proprio personale, secondo lo studio 2026. La nostra analisi: a distanza, una cultura della segnalazione presuppone un referente noto a tutti, raggiungibile rapidamente in caso di messaggio sospetto.
Assumere a distanza: quali rischi per la sicurezza?
Il telelavoro apre un rischio anche al momento dell'assunzione. Esempio datato: nell'ottobre 2026, la giustizia statunitense ha annunciato l'incriminazione di 14 persone in reti di informatici nordcoreani impiegati a distanza.
Secondo i procuratori, questi falsi dipendenti utilizzavano identità rubate e reti private virtuali (VPN) per sembrare residenti negli Stati Uniti. Sono coinvolti oltre 70 datori di lavoro. Le accuse devono ancora essere provate in tribunale.
Nessuna azienda svizzera figura fra i datori di lavoro citati. La nostra analisi, tratta da questo caso, individua alcuni segnali per una PMI che assume a distanza:
- un indirizzo IP non prova dove risiede l'utente;
- l'identità va verificata al di là dei documenti inviati, per esempio con un colloquio video;
- un indirizzo di consegna del materiale diverso dal domicilio dichiarato merita una domanda;
- uno strumento di controllo remoto o un dispositivo KVM, che comanda più macchine a distanza, va esaminato;
- uno stipendio versato sul conto di un terzo deve mettere in allerta.
Quali regole scrivere in una politica di telelavoro?
Una politica di telelavoro può riprendere, ambito per ambito, le misure dell'UFCS. La tabella le riassume.
| Ambito | Regola da stabilire | Misura di riferimento |
|---|---|---|
| Dispositivi | Inventariare ogni postazione, mantenerla aggiornata, dotarla di un antivirus e di un firewall | Misure tecniche dell'UFCS |
| Rete | Proteggere gli accessi remoti e segmentare la rete aziendale | Misure tecniche dell'UFCS |
| Accessi e account | Password sicure, autenticazione a più fattori, diritti limitati al necessario | Misure organizzative dell'UFCS |
| Dati | Disciplinare il trattamento dei dati sensibili, eseguire backup e verificarne il ripristino | Misure dell'UFCS e studio 2026 |
| Personale | Formare sul phishing e designare a chi segnalare un incidente | Misure organizzative dell'UFCS |
Chi deve fissare queste regole nella PMI?
La direzione, risponde l'UFCS. Per l'ufficio, la cibersicurezza non è un semplice compito del servizio informatico, ma una missione centrale della direzione.
Quando una misura costa cara o richiede molto personale, l'UFCS raccomanda una ponderazione degli interessi. Questa confronta il costo della misura con il rischio di non cambiare nulla. Lo studio 2026 rileva peraltro che un numero crescente di PMI designa un responsabile della cibersicurezza.
Diversi strumenti aiutano a misurare il proprio punto di partenza. Il test di cibersicurezza per le PMI gratuito, il Cybersecurity-Check, richiede pochi minuti. Lo standard minimo TIC della Confederazione funge da lista di controllo. Il marchio Cyber Safe aggiunge una verifica da parte di un auditor. Altre pagine si trovano nella nostra rubrica per proteggere la propria azienda.
Ciò che non si sa ancora
La quota di PMI svizzere che hanno fissato regole scritte per il telelavoro non è nota. Non si sa nemmeno se gli attacchi rilevati dallo studio 2026 abbiano colpito più spesso collaboratori a distanza.
La protezione di base dell'UFCS non prevede una regola separata per il lavoro a domicilio. Non si pronuncia nemmeno sul caso dei dispositivi personali utilizzati per il lavoro.
