Preparazione pre-partenza: checklist per livello di minaccia

Un direttore finanziario parte per Dubai per un closing. Mi chiama la sera prima per chiedermi se il suo telefono è « a posto ». Il suo iPhone è connesso all’iCloud di famiglia, le sue password girano nelle Note, e l’app Slack vi conserva sei mesi di scambi M&A. La risposta onesta sta in una parola: no. E la sera prima era già troppo tardi per metà delle correzioni.

La trappola abituale

La preparazione di un viaggio si ferma, per la maggior parte delle persone, al volo, all’hotel e al visto. Alla sicurezza digitale si pensa « una volta sul posto ». È il riflesso che rovina la preparazione, perché le misure che contano davvero si prendono prima di partire, non in una camera d’albergo con il Wi-Fi della struttura.

La cifratura del disco si attiva a freddo, a casa, con una connessione stabile e il tempo di gestire i prompt di riavvio. La eSIMSIM integrata e riprogrammabile, compatibile con più profili operatore.Vedi il glossario locale si ordina 48 ore prima per essere sicuri che si attivi. Il VPNTunnel cifrato tra il dispositivo e un server, che nasconde l'IP e il traffico al proprio ISP.Vedi il glossario aziendale si testa dal proprio salotto, perché in certe destinazioni c’è una possibilità reale che sia bloccato — e una domenica mattina a Shanghai non è il momento giusto per scoprirlo. La preparazione di sicurezza è un compito di pre-partenza, datato, pianificato, non un’improvvisazione.

La seconda trappola è più sottile. La maggior parte dei viaggiatori si prepara come se il proprio livello di rischio fosse costante. Non lo è. Il dirigente che parte per Barcellona per una riunione di routine e lo stesso dirigente che parte per Pechino a negoziare un’acquisizione non affrontano la stessa minaccia. Trattare le due situazioni in modo identico significa o sprecare energie su un weekend innocuo, o esporsi gravemente su una trasferta a posta in gioco. La buona preparazione non è « più sicurezza »; è la sicurezza calibrata sul viaggio preciso.

Valutare il proprio livello di minaccia prima di partire

Prima di spuntare qualunque cosa, una sola domanda vale la pena di essere posta: a quale livello mi trovo per questa trasferta precisa? Il modello di minacciaMappatura degli attori, motivazioni, capacità e impatti potenziali contro un obiettivo.Vedi il glossario di un viaggio si costruisce a partire da tre parametri, ed è il loro incrocio a dare il livello, non uno di essi preso isolatamente.

Primo parametro: il valore dei dati trasportati. Nessun documento sensibile, nessun segreto commerciale, nessun accesso critico al sistema informativo — livello basso. Un laptop con accesso al CRM, ai contratti dei clienti, agli scambi strategici e alla messaggistica aziendale — livello medio-alto, indipendentemente dalla destinazione. La domanda non è « lo userò » ma « cosa è fisicamente presente sul dispositivo nel momento in cui esce dal mio controllo ».

Secondo parametro: il valore del bersaglio. Un profilo mediaticamente esposto, un dirigente identificabile, un’avvocata su un dossier sensibile, un giornalista d’inchiesta, un ricercatore su un tema strategico — livello alto per default, ovunque si vada. Il bersaglio vale qualcosa per qualcuno, e quel qualcuno spesso sa che Lei viaggia prima di Lei.

Terzo parametro: la giurisdizione di destinazione. Unione europea, Canada, Giappone, Svizzera: da basso a moderato. Stati Uniti, Regno Unito, Israele: poteri doganali estesi, possibilità di perquisizione di frontieraPerquisizione dei dispositivi elettronici alle frontiere da parte della dogana o della polizia.Vedi il glossario approfondita e di divulgazione forzataObbligo legale di fornire password o decifrare dispositivi sotto minaccia di sanzione.Vedi il glossario dei codici d’accesso, rischio da moderato ad alto secondo il profilo. Cina, Russia, Bielorussia, certi Paesi del Golfo, Paesi sotto sanzioni attive: livello alto sistematicamente, con un ecosistema di intercettazione locale maturo.

L’incrocio dei tre dà il livello reale. Un turista in Thailandia senza dati professionali: livello 1. Una responsabile HR a New York con il file delle retribuzioni del comitato esecutivo: livello 2 minimo. Un CFO a Pechino per un’operazione non annunciata: livello 3, senza discussione. La trappola classica consiste nel guardare solo la giurisdizione. Una destinazione « sicura » con un dispositivo pieno di dati sensibili resta un livello 2: il rischio non sparisce perché il Paese è amico. Lo scippo in una stazione europea, la camera d’albergo svaligiata, il laptop dimenticato in un taxi — questi vettori banali non leggono gli advisory diplomatici.

Ciò che accade davvero, vettore per vettore

Il modello di minaccia diventa concreto quando si elencano i vettori reali invece di agitare la paura astratta di « farsi hackerare ». Si dividono in quattro famiglie.

L’accesso fisico al dispositivo. È il vettore dominante, e il più sottostimato. Un laptop appoggiato sul tavolo di una camera d’albergo durante la cena resta accessibile al personale, a un visitatore, a chiunque disponga di un passe-partout. Senza cifratura del disco attiva e sessione bloccata, copiare l’intero contenuto richiede pochi minuti con una chiavetta d’avvio esterna. Lo scenario detto evil maid — un accesso breve e discreto durante la Sua assenza — non ha nulla di esotico: basta un bersaglio che valga lo sforzo, e un dispositivo lasciato solo dieci minuti.

La frontiera e la dogana. In diverse giurisdizioni, l’agente di frontiera può esigere lo sblocco del dispositivo, copiarne il contenuto, o trattenerlo diversi giorni. Negli Stati Uniti, la perquisizione di frontiera non richiede un mandato. Rifiutare di cooperare può costare l’ingresso nel territorio a un non cittadino. È proprio per questo che il N3 separa il materiale: non si può essere costretti a rivelare ciò che non si trasporta.

L’intercettazione di rete locale. Il Wi-Fi dell’hotel o della conferenza, in una giurisdizione a intercettazione matura, non è neutro. Un IMSI-catcherFalso ripetitore mobile che forza i telefoni a connettersi per intercettare traffico e identificativi.Vedi il glossario capta il traffico mobile in un dato raggio; un MITMAttacco in cui un attore si interpone in una comunicazione tra due parti che credono di essere in contatto diretto.Vedi il glossario sulla rete cablata della struttura osserva i metadati di connessione anche quando il contenuto è cifrato. Il VPN e la eSIM non sono gadget da paranoici: chiudono questo vettore preciso.

L’ingegneria sociale mirata. Una trasferta è pubblica molto prima di quanto si creda — agenzia di viaggio, agenda condivisa, post LinkedIn « felice di essere a Singapore questa settimana ». Questa informazione alimenta lo spear phishingPhishing mirato a una persona specifica, costruito a partire dal suo profilo OSINT.Vedi il glossario contestualizzato: una falsa mail dell’hotel, un falso alert della compagnia aerea, un falso SMS dell’operatore locale. La stanchezza del viaggio abbassa la vigilanza esattamente nel momento in cui arriva l’attacco.

L’approccio giusto: tre livelli, una svolta documentata

La svolta pragmatica consiste nello smettere di ragionare « misura per misura » per ragionare « livello per livello ». Si definiscono tre gradini, ciascuno comprensivo del precedente, e si sceglie il gradino in funzione del verdetto di minaccia. Ciò evita i due scogli simmetrici: la paranoia su un viaggio innocuo, e la leggerezza su un viaggio a posta in gioco.

La suddivisione poggia su un principio: ogni livello eredita integralmente il precedente. Non si « scelgono » misure da un menu; si sale di un gradino e si applica tutto ciò che sta sotto. È ciò che rende la cosa insegnabile, verificabile, e utilizzabile da qualcuno che non è specialista di sicurezza. Il giorno della partenza, non si riflette più: si spunta la lista del livello scelto.

Livello 1 — Turista

Destinazione sicura, nessun dato professionale sensibile, tragitto standard. Le misure di base bastano, ma « di base » non vuol dire « niente ». Il rischio qui non è lo spionaggio di Stato, è il banale: il telefono rubato al tavolino di un bar, la borsa dimenticata, il dispositivo che cade. La preparazione N1 protegge dalla perdita e dal furto opportunistico, non da un avversario determinato — ed è sufficiente per questo profilo di viaggio.

• Cifratura del disco attivata: FileVaultCifratura del disco integrata in macOS dalla versione OS X Lion.Vedi il glossario su macOS, BitLockerSoluzione Microsoft di cifratura del disco integrata in Windows Pro/Enterprise.Vedi il glossario su Windows, LUKSStandard di cifratura del disco su Linux, generalmente tramite cryptsetup e dm-crypt.Vedi il glossario su Linux. La maggior parte delle persone crede di averla e non ce l’ha. Si verifica, non si suppone.
• MFAAutenticazione a più fattori: combinare due prove d'identità indipendenti per accedere.Vedi il glossario attivato sulla mail e sugli account importanti (banca, social). Preferibilmente in TOTPCodice a 6 cifre generato ogni 30 secondi da un'app (Google Authenticator, Authy, ecc.).Vedi il glossario tramite un’applicazione dedicata, non in SMS — un SMS si intercetta tramite SIM swapAttacco in cui un truffatore convince il proprio operatore a trasferire il numero su una SIM controllata da lui.Vedi il glossario o tramite sensore locale.
• BackupCopia dei dati conservata separatamente per il ripristino in caso di perdita o compromissione.Vedi il glossario recente verificato — non solo avviato, verificato. Se il telefono cade in acqua o sparisce, Lei deve poter recuperare tutto senza dramma.
• Copia digitale dei documenti (passaporto, visto, assicurazione) nel gestore di passwordApplicazione che memorizza e genera password univoche per ogni servizio.Vedi il glossario, accessibile offline.
• Numero di emergenza dell’operatore annotato separatamente, per bloccare la SIMFalso ripetitore mobile che forza i telefoni a connettersi per intercettare traffico e identificativi.Vedi il glossario in caso di furto.

Livello 2 — Business standard

Dati aziendali, clienti, contratti, accesso al SI. Destinazione a rischio moderato. Tutto il livello 1, più una logica di riduzione della superficie. Il principio guida cambia: non si cerca più solo di impedire l’accesso, si riduce ciò che ci sarebbe da rubare se l’accesso avvenisse. Un dispositivo che contiene solo ciò di cui ha bisogno per la missione è un dispositivo la cui compromissione costa molto meno.

• Minimo di dati in locale. Sincronizzazione su richiesta anziché sync completa automatica. I file di cui non ha bisogno durante il viaggio non hanno alcuna ragione di viaggiare.
• Account standard, non admin. Se lavora abitualmente da amministratore, crei un account standard per la trasferta. Meno privilegi, meno danni in caso di compromissione.
• VPN aziendale testato da casa prima della partenza. Il protocollo esatto, non l’icona nella barra. Se non passa, l’IT ha il tempo di sbloccarlo.
• eSIM locale acquistata in anticipo. Connessione indipendente dalla rete alberghiera, più difficile da intercettare localmente, spesso meno costosa.
• Scheda destinazione consultata. Viaggiare Sicuri, State Department: non per la geopolitica, per le restrizioni concrete sul materiale informatico e gli obblighi dichiarativi.
• Contatti di emergenza accessibili senza il telefono: IT, DPO, avvocato. Un numero su un foglio infilato nel passaporto basta.

Livello 3 — Bersaglio plausibile

M&A in corso, contenzioso attivo, dirigente esposto, giornalista, giurista su affare sensibile. Destinazione ad alto rischio. Tutto il livello 2, più una logica di separazione materiale. Qui la riduzione della superficie non basta più, perché si presuppone un avversario che ha i mezzi e l’intenzione. L’unica garanzia solida è che il dispositivo da viaggio non abbia mai contenuto, non contenga, e non possa accedere ai dati che si vogliono proteggere. Non si pulisce la macchina abituale: se ne usa un’altra, vergine, usa e getta in senso operativo.

• Laptop da viaggio dedicato, immagine pulita predisposta per questa trasferta, mai la macchina abituale. Preparata prima, sottoposta a re-imaging al ritorno.
• Telefono dedicato o attivazione della modalità Lockdown su iOS, che chiude gran parte dei vettori avanzati.
• Rimozione delle app sensibili prima della partenza: SignalMessaggistica open-source con E2EE per impostazione predefinita, gestita dalla Signal Foundation.Vedi il glossario, app di deal, accessi critici. Reinstallazione al ritorno dopo controllo.
• Credenziali temporanee distinte dalle abituali, con rotazioneGestione centralizzata delle identità e degli accessi alle risorse.Vedi il glossario pianificata al ritorno, e accesso VPN limitato allo stretto perimetro della missione.
• Briefing interno con l’IT sul contesto, gli accessi concessi, il protocollo di ritorno. Più un protocollo di check-in: « se non do segnali di vita entro X ore, ecco chi contattare ».

Cosa comporta concretamente

Errori che si vedono di continuo

• VPN mai testato prima della partenza. Bloccato nella destinazione, inutilizzabile sul posto, e un protocollo come IKEv2 o L2TP attivamente filtrato in Cina. Risolverlo dall’estero un weekend è mezza giornata persa nel migliore dei casi.
• Slack e Teams con dodici mesi di cronologia in locale. Queste app archiviano mesi di scambi sul dispositivo. Su un device perso o sequestrato, è tutta la memoria operativa che se ne va.
• Documenti riservati nella cartella « Download ». Raramente cifrati separatamente, mai puliti. Una proposta commerciale, un documento HR, conclusioni legali che giacciono lì da tre settimane.
• Credere che il livello di rischio abituale si applichi ovunque. Il riflesso « è andata bene l’ultima volta » applicato a una destinazione che non ha nulla a che vedere con la precedente.
• Nessuna copia di backup dei documenti d’identità. Passaporto perso all’estero senza copia accessibile offline: il viaggio si ferma.
• Il caricatore preso in prestito o comprato in aeroporto. Privilegiare i propri cavi, e un cavo di ricarica senza trasferimento dati per le colonnine pubbliche. Il juice jackingMetadati allegati alle immagini: data, GPS, modello di dispositivo, parametri di scatto.Vedi il glossario resta un vettore sul materiale sconosciuto.
• Nessun piano se il dispositivo viene confiscato alla frontiera. Chi chiamare, come recuperare gli accessi, come lavorare 72 ore senza il device.

Checklist azionabile

• N1 Cifratura del disco attivata e verificata (FileVault / BitLocker / LUKS)
• N1 MFA in TOTP attivato sulla mail e sugli account sensibili
• N1 Backup recente verificato (terminato, non solo avviato)
• N1 OS e applicazioni aggiornati nelle 48h prima della partenza
• N1 Copia digitale dei documenti d'identità nel gestore di password, offline
• N1 Numero di emergenza operatore annotato separatamente per bloccare la SIM
• N2 Livello di minaccia del viaggio determinato (dati × bersaglio × giurisdizione)
• N2 eSIM locale acquistata in anticipo per la destinazione
• N2 VPN aziendale testato da casa prima della partenza
• N2 Minimo di dati in locale, account standard anziché admin
• N2 Cartella Download ripulita dai documenti sensibili
• N2 Scheda destinazione consultata (Viaggiare Sicuri / State Dept)
• N2 Contatti di emergenza IT/DPO/avvocato accessibili senza il telefono
• N3 Laptop dedicato con immagine pulita predisposta per il viaggio
• N3 Telefono dedicato o Lockdown Mode attivato
• N3 App sensibili (Signal, deal, accessi critici) rimosse
• N3 Credenziali temporanee con rotazione pianificata al ritorno
• N3 Briefing interno con l'IT su contesto e accessi concessi
• N3 Protocollo di check-in regolari definito prima della partenza
• N3 Procedura di ritorno aperta (isolamento, scansione, re-imaging, rotazione)

Per approfondire

Le schede Paese di Viaggiare Sicuri (Farnesina) sono aggiornate regolarmente ed elencano le restrizioni locali sul materiale informatico, gli obblighi dichiarativi e le condizioni d’ingresso. Lo State Department statunitense pubblica advisory equivalenti con un sistema di livelli chiaro. Per le aziende italiane esposte allo spionaggio economico, l’ACN diffonde indicazioni « viaggiare in sicurezza » brevi, fattuali, e troppo spesso ignorate.

Sul materiale: l’articolo Laptop da viaggio dettaglia la costruzione di un’immagine pulita e la predisposizione di un dispositivo dedicato. Sul passaggio delle frontiere e la divulgazione forzata: Frontiere e dogane. E per chiudere il ciclo, la Procedura di ritorno dalla missione spiega perché il ritorno è la fase più trascurata e più rischiosa della trasferta.

Un ultimo punto, perché è lì che la maggior parte dei dispositivi fallisce nella pratica. Una checklist vale solo quanto la disciplina che la porta, e la disciplina si erode appena dipende dalla buona volontà individuale. Il viaggiatore che ha fatto il tragitto venti volte « conosce la musica » e salta dei passaggi; il dirigente di fretta delega la preparazione e suppone che sia stata fatta. La correzione non è inviare più promemoria a persone che li ignorano — è fare del buon comportamento il percorso di minore resistenza. Un laptop da viaggio che dorme in un cassetto, già sottoposto a imaging, trasforma un’ora di preparazione in cinque minuti di recupero. Una eSIM acquistata in anticipo che si rinnova da sola elimina una decisione. La migliore preparazione pre-partenza è quella che nessuno deve ricordare, perché il sistema se ne ricorda al posto Suo. Costruisca questo, e la checklist cessa di essere un documento che non si segue per diventare la forma stessa del modo in cui i viaggi si svolgono.