Cybersecurity per Studi Legali: Accesso Remoto, Password e Segreto Professionale.

Questo articolo contiene link di affiliazione. Se acquisti tramite questi link, NextGenTool.it riceve una commissione senza costi aggiuntivi per te. I giudizi restano indipendenti: segnalo anche quello che questi strumenti non fanno.

Martedì mattina, udienza in un foro fuori provincia. L'avvocato apre il portatile nella sala d'attesa, si collega al wi-fi del palazzo di giustizia e scarica dal gestionale in cloud il fascicolo di un procedimento penale. Nello stesso momento, in studio, un praticante al secondo anno cerca un modello di comparsa e — perché il gestionale non ha permessi differenziati — attraversa senza accorgersene tre pratiche che non lo riguardano, di cui una relativa a una separazione con addebito.

Nessuno dei due comportamenti è malizioso: sono entrambi normali. E sono entrambi, per chi progetta sistemi, difetti di architettura — il perimetro è definito male e i privilegi non sono segmentati. La differenza rispetto a qualsiasi altra PMI è che qui il materiale che circola non è un listino prezzi: è materiale coperto da segreto professionale, che ha un regime giuridico suo, molto più antico e molto più stringente del GDPR.

Questo articolo affronta la cybersecurity per uno studio legale con lo stesso metodo che uso per una linea di produzione: individuare i punti di rottura, misurare cosa costa presidiarli, dire con onestà cosa un prodotto risolve e cosa no.

Perché per un avvocato il rischio è su tre piani, non su uno

Quando ho scritto la guida su NordLayer per gli studi commercialisti, il ragionamento si fermava sostanzialmente a due livelli: responsabilità GDPR verso il titolare del trattamento e responsabilità civile verso il cliente. Per lo studio legale i piani diventano tre, e il primo non ha equivalenti nelle altre professioni tecniche.

Piano deontologico. L'art. 6 della Legge 247/2012 impone all'avvocato la rigorosa osservanza del segreto professionale e il massimo riserbo sui fatti appresi nell'attività, a pena di illecito disciplinare. Il Codice Deontologico Forense lo declina agli artt. 13 e 28. Il punto tecnicamente interessante è il comma 3 dell'art. 28: l'obbligo non grava solo sul professionista, ma si estende a dipendenti, collaboratori anche occasionali e praticanti, e l'avvocato deve adoperarsi affinché lo osservino. Non è una formula di stile: è un obbligo di attivarsi, e in un 2026 in cui i fascicoli sono file, attivarsi significa anche decidere chi può aprire quale cartella. Sul piano sanzionatorio l'art. 28 prevede la censura e, quando la violazione attiene al segreto professionale, la sospensione dall'esercizio dell'attività da uno a tre anni.

Piano penale. L'art. 622 c.p. punisce la rivelazione di segreto professionale con la reclusione fino a un anno o la multa da 30 a 516 euro, ed è procedibile a querela della persona offesa. Qui serve però precisione tecnica, perché il tema viene spesso raccontato male: l'art. 622 richiede il dolo, cioè la coscienza e volontà di rivelare o impiegare il segreto. Un data breach subito non integra automaticamente il reato. Chi risponde penalmente dell'intrusione è semmai l'attaccante, per accesso abusivo a sistema informatico (art. 615-ter c.p.). Il fatto che il reato dell'art. 622 non scatti in automatico, però, non sposta di un millimetro la responsabilità disciplinare e quella privacy: quelle si misurano sulla diligenza, non sull'intenzione.

Piano GDPR. Uno studio legale tratta, come materia ordinaria, dati che il Regolamento colloca tra i più delicati: categorie particolari (art. 9) e dati relativi a condanne penali e reati (art. 10). Valgono gli obblighi generali di adeguatezza delle misure tecniche (art. 32) e la notifica della violazione entro 72 ore (art. 33), che ho analizzato nel dettaglio nella guida sulle misure tecniche di sicurezza richieste dal GDPR — qui non li ripeto.

C'è un'asimmetria che, da ingegnere, trovo il dato più significativo di tutti. L'art. 200 c.p.p. include espressamente l'avvocato tra i soggetti che non possono essere obbligati a deporre su quanto conosciuto per ragione della professione. L'art. 103 c.p.p. circonda di garanzie ispezioni, perquisizioni e sequestri presso lo studio del difensore e vieta ogni forma di controllo sulla corrispondenza tra assistito e difensore. L'ordinamento, insomma, costruisce attorno allo studio legale un perimetro di tutela che riserva a pochissime categorie.

Quel perimetro protegge la stanza, l'armadio e la corrispondenza. Non protegge un NAS raggiungibile da internet con una password di sei caratteri, né un account cloud senza secondo fattore. La norma è forte, l'infrastruttura no. È esattamente il tipo di disallineamento che in fabbrica chiamiamo anello debole.

I tre punti di rottura di uno studio legale

Nella pratica, i problemi che vedo si concentrano su tre nodi. Non sono esotici: sono banali, ed è per questo che restano lì.

1. L'accesso remoto non controllato

L'attività forense è per definizione mobile: udienze fuori sede, trasferte, depositi la sera, consultazione del fascicolo prima di un'assunzione di testi. Il risultato è che gestionale, archivio documentale e posta vengono raggiunti da reti che lo studio non governa — hotel, tribunali, coworking, hotspot del cellulare — e spesso da dispositivi che lo studio non ha configurato.

Il difetto non è la connessione in sé. È che i servizi dello studio sono tipicamente esposti a tutta internet: chiunque nel mondo può raggiungere la pagina di login del gestionale in cloud, la porta del NAS, la console del server. La sicurezza dell'intero fascicolo poggia su una sola barriera: la password.

2. Le credenziali gestite a memoria (o in un foglio)

Uno studio anche piccolo maneggia una quantità sorprendente di accessi: il gestionale, la posta ordinaria, la PEC, il Portale dei Servizi Telematici, le banche dati giuridiche in abbonamento, i portali della PA, il conservatore, l'home banking dello studio, i servizi di firma remota, la piattaforma di videoconferenza.

Va detto con precisione, perché è un punto su cui circola confusione: l'accesso al PCT per il deposito telematico non è un problema di password, perché si fonda su firma digitale e dispositivo di autenticazione (smart card o token) associato all'avvocato, oltre che sulla PEC censita in ReGIndE. Il problema è tutto quello che gli sta attorno. Le consultazioni, le banche dati, il gestionale, la webmail della PEC: quelle sono credenziali classiche, e nella maggior parte degli studi vivono in un foglio Excel condiviso, in una chat, in un post-it sotto la tastiera, o nella memoria del browser di un portatile personale.

3. Nessuna segmentazione interna

È il punto specificamente forense, e il più sottovalutato. In molti studi tutti vedono tutto: soci, collaboratori, praticanti, segreteria, domiciliatari occasionali, consulenti tecnici chiamati su una singola causa.

Finché la documentazione era cartacea, la segmentazione avveniva da sola: il fascicolo di una causa stava in un faldone, e per leggerlo bisognava andarlo a prendere. Digitalizzando abbiamo eliminato l'attrito — che era un costo, ma anche un controllo di accesso implicito. E l'art. 28 comma 3 del Codice Deontologico, che estende l'obbligo di segretezza a praticanti e collaboratori occasionali, presuppone proprio che l'avvocato governi chi accede a cosa.

Accesso remoto: il problema non è "nascondere l'IP"

Qui va sgombrato il campo da un equivoco. La VPN consumer da 3 euro al mese pubblicizzata per guardare il catalogo streaming estero fa una cosa sola: cifra il traffico del singolo dispositivo verso un server d'uscita. Serve a proteggere l'utente su una rete ostile. Non serve a proteggere una risorsa dello studio, perché non cambia di una virgola chi può bussare alla porta del vostro gestionale.

Quello che serve a uno studio è l'opposto: non nascondere chi esce, ma decidere chi entra. La logica tecnica — accesso a rete privata gestita, gateway, principio del privilegio minimo — l'ho già spiegata passo passo nell'articolo dedicato agli studi commercialisti, e rimando lì per la parte architetturale. Qui mi interessa il pezzo che cambia negli studi legali.

Il meccanismo che fa la differenza è l'IP dedicato con allowlisting. Lo studio ottiene un indirizzo IP fisso e riservato; sui servizi che lo permettono — gestionale in cloud, NAS, area riservata del conservatore, accesso amministrativo al sito — si configura l'accesso solo da quell'indirizzo. Da quel momento la pagina di login del vostro gestionale smette di essere un oggetto pubblico su internet e diventa raggiungibile solo da chi è dentro la rete dello studio, ovunque si trovi fisicamente. Una credenziale rubata via phishing, da sola, non basta più.

Il secondo pezzo è la segmentazione per gateway: gruppi diversi possono avere accesso a risorse diverse. Il praticante entra nel gestionale ma non nell'archivio contabile; il consulente tecnico esterno raggiunge una singola cartella di lavoro e nient'altro. È il modo tecnico di dare corpo a quel adoperarsi affinché del Codice Deontologico.

NordLayer per uno studio legale: quanto costa davvero

I prezzi che seguono sono quelli verificati sul sito ufficiale a metà agosto 2026, sui piani standard.

Due precisazioni che valgono più della tabella. La prima: il minimo è di 5 utenti su tutti i piani standard, quindi uno studio da due persone paga comunque cinque postazioni. La seconda: la fatturazione è in dollari, con IVA italiana applicata automaticamente in fattura secondo quanto dichiarato dal fornitore. L'importo in euro dipende quindi dal cambio del giorno, e questo va messo in preventivo.

Configurazione realistica, studio da 5 persone. Piano Core con IP dedicato: 5 × 11 $ + 40 $ = 95 $/mese IVA esclusa, che a cambio indicativo si traducono in circa 107–110 €/mese IVA inclusa. Sono all'incirca 21–22 € a persona al mese.

Studio da 12 persone. Stessa configurazione: 12 × 11 $ + 40 $ = 172 $/mese IVA esclusa, circa 194–199 €/mese IVA inclusa allo stesso cambio indicativo. Il costo per persona scende sotto i 17 €, perché l'IP dedicato è una quota fissa che si diluisce.

Indico Core come punto di ingresso serio proprio per l'IP dedicato: senza quello si ottiene un tunnel cifrato, utile ma insufficiente a risolvere il nodo centrale, cioè restringere chi può raggiungere le risorse.

Verifica prezzi e piani aggiornati su NordLayer

Il verdetto onesto su cosa NON fa. Non è un antivirus: se il portatile del collaboratore è già compromesso, il tunnel trasporta diligentemente anche il malware. Non è un backup: contro un ransomware la salvezza è una copia offline, non una rete privata. Non ferma il phishing: se qualcuno inserisce le credenziali su una pagina falsa, nessun gateway lo impedisce — l'IP dedicato riduce il danno, non l'errore. E non sostituisce le valutazioni privacy: il registro dei trattamenti va scritto comunque.

Le credenziali: dove uno studio perde più tempo che soldi

Il gestore di password è la voce con il rapporto costo/beneficio più favorevole dell'intero pacchetto, e quasi sempre la più rimandata.

NordPass Business costa 3,99 €/utente/mese IVA esclusa sul piano annuale, cioè 4,87 € IVA inclusa, e scende a 3,59 € (4,38 € IVA inclusa) sul biennale. Per uno studio da 5 persone significa circa 24 €/mese IVA inclusa, sotto i 300 € l'anno.

Cosa cambia concretamente:

• Cassaforti condivise per area, non per persona. Le credenziali delle banche dati e dei portali stanno in un contenitore assegnato a un gruppo. Chi entra nel gruppo le ottiene, chi ne esce le perde. Nessuno le "ha" davvero.
• Offboarding in un minuto. Quando un praticante finisce il tirocinio o un collaboratore lascia lo studio, si revoca l'accesso alla cassaforte. Senza quello, l'unica alternativa seria è cambiare tutte le password condivise — che nessuno fa, ed è il motivo per cui negli studi girano credenziali di persone andate via due anni fa.
• Fine della password riciclata. Il problema non è che la password del portale sia debole: è che sia la stessa dell'account personale di qualcuno, finita in una violazione di cui nessuno sa nulla.
• Note sicure e allegati. Utile per i codici di accesso a portali che ancora viaggiano via PEC.

Sul confronto con l'alternativa più citata ho scritto un pezzo dedicato, NordPass vs 1Password per le PMI italiane, e una prova più operativa sull'uso quotidiano in team italiani: lì trovate limiti e differenze reali, incluse quelle che pesano contro NordPass.

Vedi i piani NordPass Business

Cosa fare prima di comprare qualsiasi cosa

Metà dei problemi di uno studio legale si chiude a costo zero. Questa parte viene prima, non dopo.

1. Inventario di chi accede a cosa. Un foglio, due colonne: persona e risorse raggiungibili. Nella maggior parte degli studi questo esercizio produce una sorpresa entro le prime cinque righe.
2. Secondo fattore su posta e PEC. È la misura singola con il ritorno più alto in assoluto, e non costa nulla.
3. Cifratura dei dischi dei portatili. BitLocker su Windows Pro, FileVault su Mac. Un portatile rubato in trasferta con il disco in chiaro è una violazione di dati; con il disco cifrato, in condizioni normali, è un problema assicurativo.
4. Backup 3-2-1 con una copia offline. Tre copie, due supporti, una fuori sede e scollegata. Contro il ransomware è l'unica difesa che funziona sempre.
5. Istruzioni scritte a collaboratori e praticanti. Serve sul piano GDPR e serve sul piano deontologico: è il modo documentabile di aver adempiuto a quel dovere di attivarsi dell'art. 28.
6. Procedura per le 72 ore. Chi si chiama, chi decide, chi notifica. Il momento sbagliato per scoprirlo è il momento in cui serve.

Il verdetto ingegneristico

L'ordine di priorità che consiglierei a uno studio da cinque persone che parte oggi:

Prima i sei punti a costo zero della checklist. Sono la parte che regge in caso di contestazione disciplinare o di ispezione, e non richiedono budget.

Poi il gestore di password: circa 24 €/mese IVA inclusa, effetto immediato sul disordine delle credenziali e sull'offboarding.

Infine, se lo studio ha risorse raggiungibili da remoto — gestionale in cloud, NAS, server — l'accesso di rete gestito con IP dedicato: circa 107–110 €/mese IVA inclusa. Se invece lavorate esclusivamente su servizi cloud di terzi già protetti con secondo fattore e non avete nulla di vostro esposto, questa voce è meno urgente e potete rimandarla senza sensi di colpa.

Il totale della configurazione completa per cinque persone si colloca intorno ai 130 €/mese IVA inclusa. Va confrontato non con il rischio di una sanzione, che è aleatorio, ma con l'ipotesi molto più concreta di dover spiegare a un cliente, a un Consiglio dell'Ordine e a un'autorità di controllo perché quel fascicolo era raggiungibile da internet con una sola password. Il punto non è comprare sicurezza: è non trovarsi a dover dimostrare a posteriori di aver fatto quello che l'art. 28 chiede di fare prima.

Cybersecurity per la tua professione

Gli altri approfondimenti verticali e normativi pubblicati su NextGenTool.it:

• NordLayer per studi commercialisti: prezzi e configurazione — l'articolo gemello, con Zero Trust e gateway spiegati per esteso
• NIS2 per le PMI italiane: obblighi 2026 — chi rientra davvero e chi no
• GDPR: le misure tecniche di sicurezza richieste — l'art. 32 tradotto in configurazioni concrete
• GDPR per studi commercialisti e dati fiscali — utile per capire dove il regime forense è più severo
• NordPass vs 1Password per PMI italiane — confronto diretto tra i due gestori
• NordPass per team italiani — prova sul campo della gestione condivisa
• Kaspersky per PMI italiane — la protezione endpoint, livello complementare a questo
• Kaspersky Small Office Security Premium: prezzi — configurazione per studi sotto le 25 postazioni

Domande frequenti

Un avvocato è obbligato per legge a usare una VPN?
No. Nessuna norma italiana o europea impone una tecnologia specifica. L'art. 32 GDPR ragiona per adeguatezza al rischio, e la deontologia forense ragiona per diligenza: entrambi indicano un risultato da raggiungere, non un prodotto da comprare. Detto questo, se lo studio ha risorse raggiungibili da internet e le protegge con la sola password, dimostrare l'adeguatezza delle misure davanti a una contestazione diventa difficile.

Se subisco un ransomware e i fascicoli finiscono online, commetto il reato di rivelazione di segreto professionale?
No, non in via automatica. L'art. 622 c.p. richiede il dolo, cioè la volontà di rivelare o impiegare il segreto: la vittima di un'intrusione non integra quella fattispecie, mentre chi è entrato nel sistema risponde semmai di accesso abusivo ex art. 615-ter c.p. Restano però pienamente in gioco la responsabilità disciplinare — che si valuta sulla diligenza e sulle misure adottate prima — la responsabilità civile verso il cliente e gli obblighi GDPR, notifica entro 72 ore compresa.

Il praticante può accedere a tutti i fascicoli dello studio?
Tecnicamente sì, se nessuno ha configurato permessi differenziati: è la situazione di default della maggior parte dei gestionali. Sul piano deontologico il praticante è a sua volta tenuto al segreto ai sensi dell'art. 28 comma 3, ma quell'obbligo grava anche sul dominus, che deve adoperarsi perché sia rispettato. Sul piano GDPR il principio di minimizzazione spinge nella stessa direzione. Concedere accesso solo alle pratiche assegnate non è diffidenza verso il collaboratore: è la configurazione corretta.

Posso mandare al cliente i documenti via WhatsApp?
È una pratica diffusa e comprensibile, ma è la scelta peggiore tra quelle disponibili. Il trasporto è cifrato, ma il documento finisce nella galleria del telefono del cliente, spesso in un backup su cloud personale e su un dispositivo che nessuno controlla — e lo studio perde ogni possibilità di revocare l'accesso. PEC, area riservata del gestionale o link protetto con scadenza sono alternative altrettanto rapide e molto più difendibili.

Se il gestionale è già in cloud con HTTPS, la rete privata serve ancora?
HTTPS protegge il traffico durante il trasporto: risolve il problema di chi intercetta, non quello di chi bussa. La pagina di login resta raggiungibile da qualunque indirizzo del pianeta, quindi esposta a tentativi automatizzati e a credenziali rubate. Con un IP dedicato in allowlist quella stessa pagina diventa accessibile solo dalla rete dello studio: sono due misure complementari, non alternative.

Uno studio individuale con un solo collaboratore ha senso che spenda queste cifre?
Il gestore di password sì, senza esitazione, anche per una persona sola. L'accesso di rete gestito è meno ovvio, soprattutto perché il minimo di 5 utenti fa pagare postazioni non usate: se lavorate su servizi cloud di terzi con secondo fattore attivo e non avete un NAS o un server raggiungibile dall'esterno, potete concentrarvi sulla checklist a costo zero e rivedere la decisione quando lo studio cresce.

Admeto Verde, Founder NextGenTool.it — "Ingegnere Industriale, 15 anni di esperienza in PMI strutturate". Il motto è sempre quello: il digital che funziona ha le stesse regole di una catena di produzione: misuri, ottimizzi, ripeti.

Nota metodologica: non sono un avvocato, e a un pubblico di avvocati non serve che sia io a spiegare il loro codice deontologico. I riferimenti normativi citati servono a inquadrare il rischio tecnico; le valutazioni sull'adeguatezza delle misure nel singolo studio vanno fatte con il proprio DPO o consulente privacy.