La gestione dei dispositivi mobili tramite MDM permette di distribuire configurazioni, applicazioni e controlli su smartphone e tablet utilizzati per il lavoro. La scelta deve però partire dal modello d’uso: dispositivo aziendale esclusivo, aziendale con uso personale o dispositivo privato ammesso al lavoro. Le stesse funzioni possono avere effetti molto diversi sulla sicurezza e sulla vita privata del lavoratore.
Il riferimento BSI sul Mobile Device Management descrive un quadro tecnico sviluppato per l’amministrazione federale tedesca. Può aiutare a organizzare i controlli, ma non costituisce un obbligo generale italiano. Per l’organizzazione italiana, l’obiettivo è una configurazione collaudata, un’informazione comprensibile e una procedura per furto, cessazione e cancellazione che non ecceda il perimetro necessario.
Scegliere il modello prima di iscrivere i telefoni
Definire proprietà, uso consentito, supporto e responsabilità. Un telefono aziendale può avere uso esclusivamente professionale oppure permettere applicazioni personali; un dispositivo privato può consentire soltanto l’accesso a un contenitore di lavoro. Queste differenze devono essere presenti nella politica di sicurezza informatica e nelle istruzioni di consegna.
| Modello | Questione da risolvere |
|---|---|
| Aziendale per solo lavoro | Quali funzioni sono necessarie e quali applicazioni sono ammesse? |
| Aziendale con uso personale | Come separare dati, supporto e cancellazione? |
| Privato con accesso lavorativo | Quali informazioni vede l’amministratore e quali azioni può eseguire? |
| Dispositivo condiviso | Come attribuire sessioni e cancellare dati del precedente utilizzatore? |
Non scegliere il modello soltanto in funzione del costo dell’hardware. Recupero, assistenza, compatibilità e uscita possono rendere complessa una soluzione apparentemente semplice. Il lavoratore deve conoscere prima dell’attivazione che cosa accadrà ai dati personali presenti sul dispositivo.
Inventariare dispositivi e servizi effettivamente utilizzati
Registrare identificativo del dispositivo, assegnatario, proprietà, sistema operativo, stato di supporto e profilo applicato. La mappatura dei sistemi informativi deve includere applicazioni di lavoro, account, sincronizzazioni e archivi locali. Un documento scaricato per lavorare offline può rimanere disponibile anche dopo la revoca dell’accesso al servizio cloud.
Distinguere dato necessario alla gestione e telemetria aggiuntiva. Modello, versione e stato di cifratura possono servire a valutare la sicurezza; cronologia dettagliata di posizione o applicazioni personali richiede una diversa analisi. Non attivare ogni campo soltanto perché la console lo rende disponibile.
Per ciascuna integrazione, chiarire se il servizio MDM comunica informazioni al sistema di identità, al supporto o ad altre piattaforme. L’elenco dei dispositivi è spesso anche un elenco di lavoratori e abitudini d’uso, da proteggere con accessi adeguati.
Definire requisiti tecnici controllabili
La configurazione può comprendere blocco dello schermo, cifratura, aggiornamenti, separazione delle applicazioni, restrizioni di copia e accesso condizionato. Ogni misura va collegata al rischio e verificata sul sistema operativo e sul modello di iscrizione scelto. Una funzionalità disponibile su un dispositivo aziendale può essere diversa o assente su quello privato.
La politica di password e autenticazione multifattore deve coordinare accesso al dispositivo e accesso ai servizi. Non considerare automaticamente il PIN locale equivalente all’autenticazione richiesta dall’applicazione. Verificare anche recupero dell’account e sessioni già aperte.
Se il dispositivo accede a Microsoft 365, la guida alla configurazione di sicurezza di Microsoft 365 aiuta a collegare identità, accessi condizionati e protezione dei dati. Il MDM non deve essere trattato come un’isola: una revoca deve produrre effetti coerenti sui servizi utilizzati dal telefono.
Separare protezione del dispositivo e controllo del lavoratore
In Italia, le funzionalità che consentono controlli sull’attività lavorativa richiedono l’esame dell’articolo 4 dello Statuto dei lavoratori e della normativa privacy. Il provvedimento del Garante del 28 maggio 2026 ribadisce che l’uso ulteriore dei dati nel rapporto di lavoro presuppone una raccolta lecita e il rispetto delle garanzie applicabili.
La finalità di sicurezza non rende automaticamente proporzionata ogni raccolta. Valutare funzione concreta, informazioni prodotte, continuità del controllo e possibilità di seguire attività estranee al lavoro. Il consenso del dipendente non deve essere usato come scorciatoia per sostituire garanzie lavoristiche pertinenti.
Il regolamento d’uso degli strumenti informatici deve spiegare uso consentito e controlli reali. Non dichiarare «nessuna localizzazione» se una funzione della console la attiva automaticamente durante normali verifiche di conformità.
Preparare la cancellazione remota prima dell’incidente
Distinguere rimozione dei dati aziendali e cancellazione completa del dispositivo. Su un telefono privato, un comando globale può eliminare foto e informazioni personali estranee al trattamento. Il perimetro tecnico deve corrispondere al modello comunicato e alla necessità concreta.
Definire chi può richiedere il comando, chi verifica il dispositivo e chi lo esegue. Per azioni irreversibili, un controllo aggiuntivo dell’identificativo e dell’assegnatario può prevenire errori. Registrare richiesta, ragione, comando, momento ed esito, senza presumere che «inviato» significhi «eseguito».
Un dispositivo offline può ricevere il comando solo quando torna raggiungibile. La gestione della cifratura e delle chiavi rimane quindi rilevante per il rischio immediato. Il piano non deve affidare tutta la protezione a una cancellazione che potrebbe non arrivare in tempo.
Un esempio ipotetico di profilo per dispositivi privati
Un’impresa ammette l’uso di telefoni privati per posta e documenti di lavoro, tramite un ambiente separato compatibile con il sistema utilizzato. Decide di non raccogliere posizione e inventario delle applicazioni personali. L’amministratore vede stato del profilo di lavoro, versione necessaria alla verifica e informazioni tecniche pertinenti.
In caso di cessazione, vengono revocati account e sessioni e rimossi i dati del contenitore lavorativo. La cancellazione completa del telefono non fa parte della procedura ordinaria. Il collaudo verifica che una foto personale resti intatta e che un documento di lavoro non sia più accessibile attraverso l’applicazione gestita.
Il rapporto annota anche i limiti: copie esportate prima dell’attivazione, applicazioni non gestite e dispositivi che non supportano la separazione richiesta. Per questi casi l’impresa valuta un dispositivo aziendale o limita l’accesso. L’esempio mostra una decisione motivata, non garantisce che ogni prodotto offra le stesse funzioni.
Gestire furto, perdita e assistenza
Fornire un canale di segnalazione rapido e istruzioni semplici: comunicare identificativo o assegnazione, ultimo utilizzo noto e circostanze senza cercare di recuperare fisicamente il dispositivo in modo rischioso. Il team valuta blocco, revoca, localizzazione se lecita e pertinente, cancellazione e continuità del lavoro.
La perdita di un telefono con dati personali richiede anche la valutazione della violazione. La comunicazione agli interessati in caso di data breach dipende da dati, protezioni e rischio, non dal solo valore economico dell’apparecchio. Verificare se il dispositivo fosse bloccato e cifrato e se le chiavi o le sessioni fossero compromesse.
Nell’assistenza, evitare l’accesso indiscriminato a messaggi, foto o applicazioni personali. Spiegare in anticipo che cosa verrà controllato e usare strumenti che limitino la visibilità alle funzioni necessarie. Il tecnico non dovrebbe chiedere la password personale dell’utente per comodità.
Verificare uscita, sostituzione e controlli periodici
La cessazione deve collegare HR, identità, MDM e restituzione del dispositivo. Una persona rimossa dall’elenco del personale può avere ancora una sessione mobile valida. Verificare revoca dei token, account tecnici associati e copie locali, secondo il funzionamento dei servizi.
Quando il telefono viene riassegnato, controllare cancellazione, nuova iscrizione e assenza di dati del precedente utilizzatore. Sul dispositivo condiviso, prevedere la pulizia delle sessioni tra utenti. Queste prove vanno eseguite sul modello reale di utilizzo, non solo sulla console centrale.
L’accountability richiede versione della configurazione, categorie di dati visibili, accessi amministrativi, esiti dei collaudi e gestione delle eccezioni. Riesaminare dopo aggiornamenti importanti: una nuova funzione del prodotto può cambiare ciò che viene raccolto o ciò che l’amministratore può cancellare. L’adozione del MDM rimane una responsabilità organizzativa durante tutto il ciclo del dispositivo.