Un freelance connesso al Wi-Fi del quinto piano scarica un file cliente mentre un coworker sconosciuto, due tavoli più in là, utilizza la stessa rete senza alcuna restrizione di accesso. Questo scenario si ripete ogni giorno nella maggior parte degli spazi di coworking francesi. La sicurezza informatica di uno spazio di coworking non si basa su un solo strumento, ma su un insieme di riflessi tecnici applicati quotidianamente dai gestori e dai membri.
Segmentazione della rete Wi-Fi: il primo baluardo spesso assente
In molti spazi condivisi, una sola rete Wi-Fi serve tutti i posti. Si crede che la password esposta alla reception sia sufficiente. In realtà, su una rete piatta, qualsiasi dispositivo connesso può potenzialmente scansionare il traffico degli altri.
La prima misura concreta consiste nel separare la rete in VLAN distinte: un segmento per i membri permanenti, uno per i visitatori occasionali, uno per gli oggetti connessi (stampanti, telecamere). Ogni VLAN dispone del proprio sottorete e di regole di firewall che vietano la comunicazione laterale tra i segmenti.
Si completa questa segmentazione attivando il protocollo WPA3 su ogni punto di accesso e tramite un portale captive che assegna identificativi nominativi piuttosto che una password condivisa. Un gestore che dettaglia le sue misure su la pagina sicurezza di Open Syd mostra ai membri che la protezione dei dati non è un discorso di marketing, ma un’infrastruttura verificabile.
I feedback variano su questo punto a seconda delle dimensioni dello spazio: un coworking di dieci posti può accontentarsi di un router professionale con VLAN integrate, mentre un sito con diverse centinaia di membri richiede un controller Wi-Fi centralizzato.
Autenticazione multifattoriale e accessi nominativi in uno spazio di coworking
La password unica rimane il punto debole. Quando un membro lascia lo spazio, il suo accesso ai servizi condivisi (NAS, piattaforma di prenotazione, strumento di fatturazione) persiste spesso per settimane. È un problema di gestione delle identità, non di tecnologia.
Ogni account deve essere nominativo e associato a un’autenticazione multifattoriale (MFA). In pratica, ciò significa che al momento della connessione alla rete o a un servizio interno, il membro inserisce la propria password e poi convalida tramite un’app di autenticazione sul proprio telefono.
La rimozione degli accessi deve seguire un processo semplice: quando un membro disdice il proprio abbonamento, i suoi identificativi vengono disattivati lo stesso giorno. Un foglio di calcolo condiviso non è sufficiente per questo monitoraggio. Si raccomanda un directory centralizzata (di tipo LDAP o un servizio cloud di gestione delle identità) che consente di interrompere un accesso con un clic.
Ciò che la direttiva NIS2 cambia per i coworking
La direttiva NIS2, trasposta in Francia dalla legge sulla resilienza delle infrastrutture critiche e la cybersicurezza adottata nel 2025, non mira direttamente ai piccoli spazi di coworking. Si applica ai fornitori di servizi digitali (cloud, hosting) che questi spazi utilizzano.
L’effetto a cascata è concreto: clienti soggetti a NIS2 richiedono ora accessi nominativi e backup testati da parte del loro luogo di lavoro. Uno spazio che non può fornire un inventario dei propri sistemi o una procedura di notifica di incidenti perde questi clienti a favore di un concorrente meglio preparato. Le entità interessate devono registrarsi presso l’ANSSI tramite la piattaforma MonEspaceNIS2.
Protezione contro il visual hacking e le perdite fisiche
La cybersicurezza non si limita ai cavi e ai server. In open space, uno schermo visibile dal corridoio espone dati riservati senza che alcun malware intervenga.
- Installare filtri di privacy sugli schermi condivisi e incoraggiare ogni membro a posizionarne uno sul proprio laptop. Il costo è basso, l’effetto immediato.
- Posizionare le postazioni di lavoro in modo che gli schermi siano orientati verso un muro o una parete, mai verso una zona di passaggio o una vetrina.
- Bloccare sistematicamente la propria sessione ogni volta che si lascia il posto, anche solo per andare a prendere un caffè. Su Windows, la scorciatoia Win+L richiede meno di un secondo.
- Riservare le chiamate riservate a una cabina acustica o a una sala chiusa. Una conversazione telefonica con un cliente, ascoltata da dieci persone, costituisce una perdita di dati ai sensi del RGPD.
Scelta dei fornitori cloud e riferimento ANSSI 2026
Uno spazio di coworking utilizza generalmente diversi servizi cloud: gestione delle prenotazioni, fatturazione, archiviazione di documenti condivisi, supervisione della rete. La scelta di questi fornitori ha un impatto diretto sulla protezione dei dati dei membri.
Il riferimento ai requisiti relativi ai fornitori di servizi di informatica in cloud, approvato da un decreto del 12 agosto 2026 in applicazione dell’articolo 31 della legge del 21 maggio 2024, crea un quadro ufficiale per qualificare questi servizi. Per un gestore di spazio, privilegiare un fornitore cloud qualificato dall’ANSSI riduce il rischio legale e tecnico.
Concretamente, si verificano tre punti prima di firmare un contratto con un fornitore:
- La localizzazione dei dati (server nell’Unione europea, fuori dalla portata del Cloud Act americano).
- La politica di crittografia a riposo e in transito, con chiavi gestite dal cliente o da un terzo di fiducia.
- Gli impegni contrattuali sulla notifica di incidenti: il fornitore deve avvisare entro un termine definito, compatibile con gli obblighi NIS2 dei vostri membri.
Sostituire uno strumento cloud di uso comune con un servizio qualificato richiede tempo di migrazione, ma uno spazio di coworking che archivia dati di decine di aziende ha una responsabilità paragonabile a quella di un fornitore di hosting.
Routine quotidiana di cybersicurezza per uno spazio condiviso
Gli strumenti non compensano l’assenza di disciplina. Una checklist quotidiana applicata dal gestore radica la sicurezza nel funzionamento reale dello spazio.
Ogni mattina, si verifica che gli aggiornamenti del firmware dei router e dei punti di accesso siano applicati. Le patch di sicurezza non installate rappresentano la porta d’ingresso più sfruttata dagli attaccanti. Ogni sera, si controlla la lista dei dispositivi connessi alla rete per individuare eventuali macchine sconosciute.
Una volta al mese, si testa il ripristino di un backup. Un backup che non è mai stato testato non esiste. Si approfitta per revocare gli accessi degli ex membri e aggiornare la documentazione interna.
La sicurezza informatica di uno spazio di coworking si gioca meno nell’acquisto di hardware che nella rigidità delle abitudini. Una rete segmentata, accessi nominativi, fornitori qualificati e una routine di verifica quotidiana formano una base che ogni spazio può implementare senza un budget eccessivo. Il riferimento ANSSI 2026 e i requisiti NIS2 non fanno che accelerare un movimento che giova sia ai gestori che ai membri.