Sicurezza, normativa e privacy

Vale la pena dirlo senza giri di parole, perché è la premessa di tutto il resto: ogni dispositivo connesso è a tutti gli effetti un piccolo calcolatore, con un suo sistema operativo, spesso mai aggiornato dal giorno in cui è uscito dalla fabbrica, e collegato alla stessa rete dove stanno i computer di lavoro e i telefoni di casa. Non è un allarme retorico: è il motivo per cui accorgimenti che sembrano da azienda hanno senso anche in un appartamento.

Che cosa sta cambiando con le regole europee

Il Cyber Resilience Act è il regolamento europeo che stabilisce requisiti di sicurezza obbligatori per i prodotti con componenti digitali e impone ai fabbricanti di gestire le vulnerabilità che vengono scoperte, con scadenze scaglionate nel tempo.

L'effetto è già visibile nelle certificazioni: il profilo Product Security 1.1 introdotto insieme a Matter 1.6 è allineato proprio a quelle scadenze. Per chi compra o progetta impianti la conseguenza concreta è una sola, ed è positiva: la durata del supporto diventa una dichiarazione verificabile invece di una promessa commerciale generica. È un dato che finalmente si può chiedere e confrontare.

Separare la rete dei dispositivi da quella di casa

La misura più efficace, e non particolarmente costosa, è tenere i dispositivi domotici su una rete logicamente separata da quella dei computer. Si realizza con una VLAN: una rete distinta che condivide gli stessi cavi e gli stessi apparati, ma i cui dispositivi non possono vedere quelli dell'altra. È come avere due impianti in uno.

Il senso è contenere i danni. Se una telecamera economica viene compromessa — cosa che succede regolarmente, ed è tipicamente questione di software mai aggiornato — chi la controlla si ritrova su una rete dove non c'è nient'altro da raggiungere, invece che a fianco del computer con la contabilità.

• Una VLAN dedicata ai dispositivi domotici, separata da computer e archivi.
• Regole che impediscano ai dispositivi di quella rete di avviare connessioni verso la rete principale (il traffico in senso inverso, dalla centralina ai dispositivi, resta permesso).
• Nessun accesso a internet per gli apparecchi che per funzionare non ne hanno bisogno — sono più di quanti si creda.
• La rete ospiti del router non è la stessa cosa di una VLAN IoT e non la sostituisce: serve a isolare le persone di passaggio, non i dispositivi.

Aggiornamenti e apparecchi abbandonati

Un dispositivo che non riceve più aggiornamenti non è semplicemente «vecchio»: è un apparecchio le cui falle note resteranno aperte per sempre, su una rete che sta in casa vostra.

La gestione ordinata richiede tre cose, tutte noiose e tutte necessarie: sapere cosa è installato (un elenco, anche solo un foglio di calcolo, con modello e data di acquisto); controllare ogni tanto se ci sono aggiornamenti disponibili; e prendere una decisione esplicita quando un produttore smette di occuparsene — sostituire l'apparecchio, isolarlo in modo che non raggiunga niente, oppure sostituirne il firmware come descritto nella pagina Piattaforme.

Telecamere, sensori e assistenti vocali: la parte legale

Telecamere, rilevatori di presenza e assistenti vocali trattano dati personali, quindi rientrano nel campo del GDPR, il regolamento europeo sulla protezione dei dati.

Esiste un'esclusione per le attività «a carattere esclusivamente personale o domestico», ed è quella che rende legittimo installare una telecamera in casa propria senza adempimenti. Ma l'esclusione cade in alcuni casi molto comuni, che è bene riconoscere prima e non dopo: quando l'inquadratura esce dai confini della proprietà e riprende la strada, il marciapiede o il giardino del vicino; quando riguarda spazi condominiali comuni; e sempre quando c'è di mezzo un rapporto di lavoro, comprese le collaboratrici domestiche.

In quelle situazioni l'installazione va documentata e segnalata secondo le regole, e negli spazi comuni serve una delibera dell'assemblea. Il sito del Garante per la protezione dei dati personali, censito qui sotto, è la fonte da consultare: le indicazioni sulla videosorveglianza sono scritte in modo comprensibile.

Cloud o locale, detto in termini di rischio

La contrapposizione fra servizi remoti e funzionamento locale viene spesso discussa come una questione di principio. Ridotta a una domanda operativa diventa molto più semplice, e si può porre a qualunque venditore: se domani questa azienda chiude il servizio, che cosa smette di funzionare?

Se nella risposta compaiono le luci, il riscaldamento o le serrature, il rischio non è accettabile, e non c'è sconto che lo compensi. Se compaiono le notifiche sul telefono e il comando da fuori casa, è un rischio ragionevole di cui si può tenere conto.