Organizzazione

Politica di viaggio aziendale: oltre il documento di 40 pagine

Costruire una politica di viaggio che venga davvero usata, con un livello di protezione calibrato per destinazione.

Pubblicato il January 29, 2026 16 min di lettura Exposed

Ultima revisione: March 10, 2026

Una multinazionale mi porge la sua politica di viaggio. 47 pagine. Sezione 12.3: «I collaboratori devono evitare di utilizzare reti Wi-Fi non sicure.» Nessuna definizione di «non sicura». Nessuno strumento fornito. Nessuna formazione associata. Chiedo al CISO cosa fa un commerciale alle 6 del mattino quando un doganiere gli prende il portatile. Silenzio. Il documento esiste. Anche il rischio, però.

La trappola abituale

Una politica di viaggio che non è operativa è teatro di conformità. Esiste per rispondere «sì» a una riga di un revisore, non per cambiare ciò che accade sul campo. Protegge l’azienda nel senso giuridico più pigro — «avevamo una politica» — e non protegge nessuno nel momento che conta. La domanda utile non è «avete una politica di viaggio?». È «i vostri collaboratori sanno cosa fare quando il loro dispositivo viene sequestrato alla frontiera all’alba, in un paese di cui non parlano la lingua?». In nove aziende su dieci, la risposta è no. Comprese quelle che hanno le loro 47 pagine firmate.

Il discorso dominante tratta la politica come un deliverable. La si redige, la si fa validare dall’ufficio legale, la si distribuisce all’arrivo del collaboratore, la si archivia nell’intranet, e si spunta la casella. Nessuno la rilegge. Nessuno verifica che sia applicabile. Nessuno la mette alla prova. Invecchia senza che la si tocchi, fino all’audit successivo in cui la si riapre per cambiare la data.

Questa meccanica produce un documento che descrive un mondo ideale e ignora il mondo reale. Il collaboratore, invece, vive nel mondo reale. Ha un aereo da prendere, una riunione con il cliente entro dodici ore, un telefono che si surriscalda, una VPN aziendale che non si connette dalla hall dell’albergo, e nessuna idea del numero da chiamare se qualcosa va storto. Il documento non gli serve a nulla. Peggio: dà a lui, e dà alla sua direzione, la sensazione che una protezione esista. È il peggio dei due mondi — il costo della redazione, più il rischio non coperto, più la falsa sicurezza.

La politica teatrale ha anche un costo nascosto che nessuno calcola: scredita l’intera funzione sicurezza. Un collaboratore che ha letto una volta un documento inapplicabile impara che la sicurezza, in questa azienda, è scartoffie. Trasferisce questo giudizio alla prossima consegna, che sarà magari quella che conta davvero.

Modello di minaccia reale

Il viaggio sposta il collaboratore fuori dal vostro perimetro di controllo e lo colloca in un ambiente in cui altri attori hanno il vantaggio del terreno. Non è un’astrazione. I vettori sono concreti, documentati, e ciascuno corrisponde a una fase precisa dello spostamento.

La frontiera. All’ingresso di certi paesi, un agente può chiedere di ispezionare, copiare o trattenere un dispositivo. Negli Stati Uniti, la perquisizione dei dispositivi elettronici alla frontiera non richiede un mandato — è un’eccezione costituzionale ben consolidata. In altre giurisdizioni, il rifiuto di sbloccare un dispositivo è un reato punibile con il carcere. È la perquisizione alla frontiera, ed è il primo scenario che una politica seria deve coprire, perché è legale, frequente, e coglie il collaboratore alla sprovvista. La divulgazione forzata della password mette il viaggiatore davanti a una scelta a cui nessun documento di 47 pagine lo ha preparato.

La rete locale. Il Wi-Fi pubblico di un aeroporto, di un albergo, di un centro congressi, è terreno ostile per impostazione predefinita. Intercettazione, falsi punti di accesso, captazione di traffico in chiaro. Nei paesi in cui l’operatore telefonico è sotto controllo statale, è l’infrastruttura stessa a essere l’avversario. Un IMSI-catcher nella hall di una fiera di settore non è una fantasia da film di spionaggio — è un apparecchio disponibile sullo scaffale.

La SIM e il telefono. Comprare una SIM locale in un paese sconosciuto significa affidare il proprio numero e il proprio traffico a un operatore di cui non si sa nulla. Il SIM swap mirato a un dirigente in trasferta, che dirotta i suoi SMS di recupero, è un’operazione alla portata di un attaccante motivato. Il telefono lasciato nella camera d’albergo durante una riunione è un telefono che si deve considerare potenzialmente compromesso al rientro.

La camera e la cassaforte. Il dispositivo lasciato in camera non è al sicuro, nemmeno nella cassaforte. Il personale ha un passe-partout. In certi contesti, anche i servizi locali. L’evil maid attack — l’alterazione fisica di un dispositivo durante un’assenza — prende di mira proprio i viaggiatori che pensano che riporre il portatile basti.

Il rientro. Il dispositivo che torna da una zona sensibile può riportare con sé ciò che ha contratto. Un impianto, un profilo di configurazione malevolo, un certificato iniettato. Senza una procedura di rientro, questo carico entra tranquillamente nella rete aziendale, e l’incidente sul campo diventa un incidente corporate.

Ciò che rende pericolosi questi vettori non è la loro sofisticazione. È che prendono di mira un collaboratore solo, stanco, sotto pressione di tempo, senza nessuno da chiamare. La minaccia sfrutta la solitudine operativa del viaggiatore. Una politica che non riduce questa solitudine non riduce alcun rischio.

L’approccio giusto

Il punto di svolta sta in una frase: una politica di viaggio che funziona sta su una pagina A3 affiggibile, ed è integrata negli strumenti, non inviata via mail una volta all’anno. Tutto il resto discende da questi due principi — la concisione e l’integrazione.

Tre tier di paesi, non un gradiente sfumato

La prima decisione è classificare le destinazioni in tre tier, e solo tre. Non un sistema a sette livelli che nessuno ricorda.

Tier 1 — Standard. Europa occidentale, Nord America, paesi a bassa tensione e con uno Stato di diritto solido. Rischio residuo normale. Misure di base: dispositivo cifrato, MFA hardware sugli account critici, VPN aziendale disponibile, gestore di password. Niente di eccezionale — è l’igiene che questi collaboratori dovrebbero già avere in ufficio.

Tier 2 — Rafforzato. Zone a tensione moderata, o destinazioni standard con un viaggiatore esposto: accesso a dati sensibili (HR, finanza, dossier clienti), visibilità mediatica, funzione ricercata. Misure rafforzate: dispositivo di viaggio dedicato ad accesso limitato, eSIM aziendale piuttosto che una SIM locale sconosciuta, briefing pre-partenza sistematico, nessuna connessione ai sistemi sensibili dal Wi-Fi dell’albergo.

Tier 3 — Massimo. Paesi ad alta sorveglianza, missioni M&A attive, contenziosi in corso, dirigenti esposti. Dispositivo di viaggio vergine — non il solito portatile alleggerito, ma un dispositivo che non ha mai contenuto dati sensibili. Comunicazioni cifrate end-to-end (E2EE). Nessun accesso diretto ai sistemi aziendali; tutto passa attraverso un ambiente intermedio usa e getta. Protocollo di sequestro documentato e ripetuto prima della partenza. Procedura di rientro obbligatoria con quarantena del dispositivo.

La classificazione dei paesi non è un’opinione. Si basa su fonti stabili — raccomandazioni dell’ACN, avvisi ai viaggiatori del Ministero degli Affari Esteri, feedback dei vostri stessi viaggiatori — e viene rivista due volte all’anno. Un paese può cambiare tier dopo un’elezione, una crisi, o un cambiamento legislativo. La griglia è viva.

L’A3 affiggibile

L’output di tutto questo lavoro non è un PDF di 47 pagine. È una pagina A3 che il viaggiatore può affiggere, fotografare, o ricevere come scheda per destinazione. Si articola in quattro blocchi: il tier della destinazione, l’equipaggiamento richiesto per quel tier, la checklist di partenza, e il processo di rientro. Sul retro, l’essenziale delle situazioni di emergenza: dispositivo sequestrato, dispositivo rubato, sospetto di compromissione, e un solo numero da chiamare, disponibile 24/7.

Un collaboratore che parte con una scheda di una pagina «cosa fai se il tuo portatile viene sequestrato in Tier 3» è meglio preparato di chi ha firmato 47 pagine al suo arrivo in azienda e non ci ha mai più ripensato. La concisione non è una semplificazione del contenuto. È la condizione perché venga letto e ricordato.

Integrazione agli strumenti di prenotazione

Il punto che separa una politica viva da una politica morta: l’integrazione al momento della prenotazione. Quando un collaboratore prenota un viaggio verso una destinazione Tier 2 o Tier 3, il sistema di prenotazione attiva automaticamente il processo giusto — allerta alla sicurezza, generazione della scheda destinazione, richiesta del dispositivo di viaggio all’IT, pianificazione del briefing pre-partenza. Nessuno deve ricordarsi di avviare la procedura. Il sistema la avvia.

È l’esatto contrario della mail annuale. La mail presuppone che il collaboratore, al momento giusto, mesi dopo, si ricordi di una consegna e la applichi di sua iniziativa. L’integrazione non presuppone nulla. Agisce al momento del trigger — la prenotazione — e mette lo strumento giusto nelle mani del viaggiatore giusto prima della partenza.

Il kit fornito, non descritto

Una politica che esige un dispositivo cifrato senza fornirlo trasferisce l’onere sul collaboratore, che non ha né il budget né il mandato. La regola è semplice: se uno strumento è necessario per applicare la politica, l’azienda lo fornisce. Dispositivo di viaggio, eSIM aziendale, gestore di password, cavo di ricarica senza trasferimento dati per le colonnine sconosciute, e per il Tier 3, un dispositivo di comunicazione d’emergenza configurato prima della partenza.

L’escalation e il rientro, i due anelli che si dimenticano

Il collaboratore deve poter raggiungere qualcuno di competente a qualsiasi ora. Un incidente sul campo non si verifica mai durante l’orario d’ufficio della sede. Un numero di helpdesk che chiude alle 18 non protegge nessuno a Singapore. La persona all’altro capo del filo deve poter decidere — revocare un accesso, avviare una cancellazione da remoto, attivare la cellula di crisi. Se l’IT non ha questa disponibilità internamente, un fornitore di risposta agli incidenti raggiungibile 24/7 la fornisce.

Il rientro non è opzionale per i Tier 2 e 3. Il dispositivo torna all’IT per la verifica — sistematicamente, non «se pensate che ci sia un problema». Il collaboratore segnala ogni tentativo di incidente, anche quelli che non hanno dato esito. Per il Tier 3, il dispositivo resta in quarantena per il tempo di un esame, e il viaggiatore svolge un debrief. È l’anello che trasforma un potenziale incidente sul campo in un non-evento, prima che entri nella rete.

Cosa comporta concretamente

Angle de lecture

Particulier RSSI / DSI CEO

Per Lei, come persona

Lei è il collaboratore che subisce la politica di viaggio. Vuole partire con il Suo portatile personale, il Suo telefono personale, e lavorare tranquillo dal Marriott. La politica Le chiede l’opposto, e Lei la vive come una punizione. Guardiamo cosa Le chiede davvero, e perché non è una vessazione.

Le chiede di partire con un dispositivo fornito piuttosto che il Suo. Non per controllarLa. Perché se il Suo portatile personale viene sequestrato alla frontiera o compromesso sul Wi-Fi dell’albergo, è la Sua intera vita a partire con esso — le Sue foto, i Suoi conti bancari, le Sue mail personali, non solo il dossier cliente. Il dispositivo di viaggio protegge Lei, tanto quanto protegge l’azienda.

Le chiede di non connettersi ai sistemi sensibili dalla rete dell’albergo. Perché quella rete non è la Sua, e Lei non ha alcun modo di sapere chi ascolta. Usi la connessione fornita, l’eSIM, il tunnel messo a disposizione. È più lenta, a volte. È anche ciò che fa sì che nessuno legga sopra la Sua spalla.

Le chiede di segnalare ogni incidente al rientro, anche quello che «non ha dato esito». Non per accusarLa. Perché un dispositivo che ha passato una settimana in una zona a rischio può riportare qualcosa senza che Lei lo veda, e un controllo di quindici minuti Le evita di essere, senza saperlo, la porta d’ingresso di un incidente.

La politica non è lì per complicarLe il viaggio. È lì perché al rientro l’unico ricordo che ne conservi sia il jet lag.

Per Lei, CISO / Direzione IT / dirigente

Il passaggio da una politica teatrale a una politica operativa cambia il Suo inquadramento su cinque punti. Nessuno è un dettaglio di implementazione — ciascuno sposta una decisione di governance.

1. La politica è un prodotto, non un documento. Lei smette di misurare il successo sulla qualità della redazione o sullo spessore del deliverable. Lo misura sull’uso: tasso di briefing realizzati prima della partenza, tasso di dispositivi di rientro passati al controllo, tempo di risposta sul numero d’emergenza. Un prodotto ha metriche d’uso. Un documento non ne ha. Conseguenza diretta: integrare queste metriche nel reporting di sicurezza trimestrale, allo stesso titolo delle vulnerabilità aperte. Ciò che non è misurato non è applicato.

2. La conformità NIS 2 esige una gestione dei rischi, non un raccoglitore. La direttiva impone ai soggetti essenziali e importanti una gestione dei rischi di cybersicurezza che copre la sicurezza delle operazioni, di cui la mobilità fa parte. Una politica di viaggio non applicata è un rischio non trattato, e la responsabilità dell’organo di direzione è ormai esplicita e personale. Conseguenza diretta: la politica di viaggio entra nel perimetro della gestione dei rischi documentata e verificabile, non in un fascicolo HR dimenticato. La direzione firma il livello di rischio accettato per tier.

3. L’integrazione agli strumenti è una decisione di architettura, non un’opzione di comodità. Collegare l’attivazione della procedura al sistema di prenotazione presuppone un lavoro tra IT, ufficio acquisti viaggi e sicurezza. È il punto più strutturante e il più trascurato. Senza di esso, si ricade nella mail annuale. Conseguenza diretta: arbitrare questo cantiere come un progetto di integrazione, con un budget e un responsabile, non come un aggiornamento di procedura. Il ritorno sull’investimento si misura in incidenti non avvenuti.

4. Il dovere di diligenza del datore di lavoro è impegnato, civilmente e penalmente. Inviare un collaboratore in zona Tier 3 senza preparazione, senza strumenti, senza procedura d’emergenza, espone il datore di lavoro. In caso di incidente — sequestro, compromissione, lesione fisica —, la domanda del giudice o dell’assicuratore non sarà «avevate una politica?» ma «i vostri collaboratori avevano i mezzi per applicarla?». Un documento privo di strumenti è inopponibile. Conseguenza diretta: la tracciabilità della preparazione (briefing datato, kit consegnato, scheda trasmessa) diventa un elemento di protezione giuridica, da conservare. Protegge l’azienda e il dirigente personalmente.

5. La governance dei dati sensibili non si ferma al perimetro IT. La DLP, il CASB, il SIEM proteggono l’organizzazione all’interno del perimetro. Non coprono il direttore legale solo in una camera d’albergo a Shanghai. La protezione delle funzioni esposte in mobilità è un capitolo distinto, con le sue misure e il suo responsabile. Conseguenza diretta: prevedere una voce «protezione dei viaggiatori sensibili» nel piano di sicurezza, distinta dalla sicurezza del SI generico.

Per Lei, alla direzione generale

La politica di viaggio non è un documento tecnico da delegare al CISO e dimenticare. È un arbitraggio, e un arbitraggio è una decisione di chi dirige. Da un lato, l’attrito che Lei impone alle Sue squadre: dispositivi dedicati, briefing, controlli al rientro, lentezze. Dall’altro, il rischio che accetta in cambio. Nessun altro all’infuori di Lei può posizionare il cursore tra i due, perché nessun altro risponde del business.

Tre domande dirimono questo dossier, e sono Sue.

Quanti livelli di paesi si distinguono? Un solo livello, e Lei sovra-vincola il commerciale che va a Monaco mentre sotto-protegge il giurista che parte per una due diligence a Shenzhen. Troppi livelli, e nessuno se li ricorda. Il numero giusto, di norma, è tre. Ma è Lei che valida dove passa la frontiera tra «standard» e «rafforzato».

Chi decide che un viaggio è a rischio? Se è il collaboratore stesso, al momento di prenotare, Lei non ha una politica, ha un augurio. La decisione deve attivarsi automaticamente, sulla destinazione, senza dipendere dalla memoria o dalla buona volontà di chi parte.

Chi paga il materiale dedicato? Se la risposta è «il collaboratore si arrangia», la Sua politica è morta prima di esistere. Un dispositivo di viaggio costa qualche centinaio di euro. Un dossier che trapela durante una negoziazione costa la negoziazione. Anche l’arbitraggio di budget è Suo.

Il Suo CISO può redigere la politica, mantenerla, misurarla. Non può decidere al Suo posto il livello di attrito accettabile per il business. Questa è la parte che Lei non delega.

Errori che si vedono di continuo

La politica uniforme. La stessa regola per il commerciale a una fiera a Monaco e per il giurista in due diligence a Shenzhen. Sovra-vincola l’uno, sotto-protegge l’altro, e non viene rispettata da nessuno perché non corrisponde ad alcuna realtà.
Il «cosa» senza il «come». «Usate una VPN sulle reti pubbliche.» Quale? Come si attiva? Cosa fare se è bloccata, come nella maggior parte delle configurazioni in Cina? L’obbligo senza il mezzo produce inosservanza, non sicurezza.
La mail annuale. Una consegna inviata una volta all’anno non è una politica, è un promemoria che nessuno rilegge nel momento in cui ne avrebbe bisogno — mesi dopo, alle 23, in un aeroporto straniero.
Il numero d’emergenza in orario d’ufficio. Un helpdesk che chiude alle 18 ora di Roma mentre il collaboratore è in crisi a Tokyo non è un’escalation. È un’assenza di escalation travestita da procedura.
Il rientro ignorato. Si fa il briefing alla partenza, si dimentica al rientro. Il dispositivo che torna da una zona sensibile rientra senza controllo nella rete, e l’incidente sul campo diventa un incidente corporate, a volte settimane dopo.
Il kit descritto ma non fornito. Esigere un dispositivo di viaggio cifrato senza fornirlo significa chiedere al collaboratore di acquistare e configurare da solo uno strumento che non padroneggia. Il risultato: parte con il solito portatile, non preparato.
La griglia di tier congelata. Una classificazione dei paesi stabilita una volta e mai rivista diventa falsa al primo cambiamento geopolitico. Un paese Tier 1 può scivolare in Tier 3 dopo una crisi.

Checklist azionabile

N1 Classificare le destinazioni in tre tier (standard / rafforzato / massimo), non di più
N1 Ridurre la politica a una pagina A3 affiggibile: tier, equipaggiamento, partenza, rientro
N1 Fornire il kit per tier (dispositivo di viaggio, eSIM, gestore di password, cavo senza dati)
N2 Predisporre un numero d'emergenza raggiungibile 24/7 da una persona in grado di decidere
N2 Imporre un briefing pre-partenza datato per ogni viaggio Tier 2 e Tier 3
N2 Rendere obbligatorio il controllo del dispositivo al rientro per i Tier 2 e 3
N2 Documentare il protocollo di sequestro alla frontiera e ripeterlo prima delle missioni Tier 3
N3 Integrare l'attivazione della procedura al sistema di prenotazione viaggi
N3 Misurare il tasso di preparazione Tier 2/3 e integrarlo nel reporting di sicurezza trimestrale
N3 Far firmare il livello di rischio accettato per tier all'organo di direzione (NIS 2)
N3 Rivedere la griglia di classificazione dei paesi due volte all'anno
N3 Testare un incidente sul campo a vuoto una volta all'anno e misurare il tempo di risposta reale

Per approfondire

Le raccomandazioni dell’ACN sulla sicurezza digitale in mobilità forniscono la base tecnica del kit per tier. I lavori della IATA sulla sicurezza dei viaggi d’affari completano il versante logistico e geografico. Per la responsabilità dell’organo di direzione e il perimetro di gestione dei rischi, la direttiva NIS 2 è il riferimento da mettere in mano all’ufficio legale.

Sul versante operativo, tre articoli del manuale prolungano direttamente questo. La preparazione pre-partenza dettaglia il contenuto operativo del briefing e della scheda destinazione. Risposta agli incidenti sul campo copre ciò che accade quando l’escalation si attiva davvero. E Dirigente esposto tratta il profilo Tier 3 per eccellenza, quello il cui spostamento vale un dossier completo per chi sa osservarlo.

Fonti e approfondimenti

ACN — Linee guida sulla sicurezza in mobilità [official]
ANSSI — Raccomandazioni sicurezza digitale in mobilità [official]
IATA — Corporate Travel Security [official]