Da Server Fisico di 9 Anni a Full Cloud in 2 Settimane

Il server dello studio aveva 9 anni di servizio. Ogni mattina accenderlo era un atto di fede: i dischi facevano rumore, il tempo di avvio era di 8 minuti, e l'ultimo tecnico aveva detto "regge ancora un po'" già due anni fa. Sopra c'erano le pratiche di 500 clienti, atti notarili, corrispondenza riservata con magistratura e controparte. Un guasto a quel server significava blocco totale dell'attività.

Il "backup" era una chiavetta USB da 32 GB collegata al server, che qualcuno ricordava di spostare ogni tanto in un cassetto. L'ultimo backup verificato risaliva a 7 mesi prima. Nessun backup offsite, nessuna copia in cloud, nessun test di ripristino mai eseguito. Per uno studio legale che gestisce pratiche di anni, questa era un'esposizione a rischio intollerabile.

Tutti gli account email erano protetti solo da password — alcune delle quali condivise tra più collaboratori. Nessuna autenticazione a due fattori, nessuna policy sulle password, nessun accesso condizionale. Il titolare aveva ricevuto due email di phishing convincenti nello stesso mese. Una di esse era arrivata all'indirizzo personale di un avvocato che lo usava anche per i clienti.

Lo studio gestisce dati personali di natura giudiziaria — tra le categorie più sensibili del GDPR. Il registro dei trattamenti non era aggiornato, non c'era un DPO nominato, i PC degli avvocati non avevano cifratura dei dischi, i documenti condivisi con i clienti viaggiavano via email in chiaro. In caso di data breach, la responsabilità professionale degli avvocati era concreta.