Nella maggior parte delle PMI il BYOD non è una politica ma un fatto: la posta aziendale è sul telefono personale di tutti, i documenti passano da WhatsApp, qualcuno lavora dal proprio portatile. Non è stato deciso da nessuno, è successo.
Il problema non è il dispositivo ma il confine: quando una persona se ne va, i dati aziendali restano sul suo telefono e non c’è modo di rimuoverli. E se quel telefono viene perso o venduto, se ne vanno con lui.
La domanda giusta non è se permetterlo, ma per raggiungere cosa
Un dispositivo personale usato per lavoro non è una categoria unica: cambia tutto a seconda di cosa deve raggiungere, e la decisione va presa su quello invece che in astratto.
Per la **sola posta**, un telefono personale è gestibile: basta il secondo fattore e la possibilità per l’azienda di cancellare da remoto i soli dati aziendali, senza toccare foto e messaggi personali. È una configurazione ordinaria e non invadente.
Per l’**accesso a cartelle e gestionali**, un computer non gestito è un rischio sproporzionato al risparmio: nessuno sa se ha gli aggiornamenti, se è condiviso in famiglia, se ha una protezione attiva. Qui la via di mezzo è pubblicare i servizi invece di estendere la rete, così che il dispositivo personale acceda a ciò che serve attraverso il browser senza entrare in azienda.
Qualunque sia la scelta, va scritta: quali dispositivi sono ammessi, per fare cosa, e che cosa succede quando la persona lascia l’azienda o perde il telefono.
Perché conta per un’azienda
Vietarlo non funziona, perché le persone continuano a farlo. Quello che funziona è separare i dati aziendali dal resto del dispositivo, così da poter rimuovere solo quelli quando serve.
L’errore che vediamo più spesso
La domanda concreta è: se un collaboratore se ne va oggi, chi toglie la posta aziendale dal suo telefono? Se la risposta è «gli chiediamo di farlo», non è una risposta.