Fare le domande giuste prima di assumere

La differenza tra un incarico solido e un problema si decide prima che il lavoro cominci: nelle risposte che ottieni, per iscritto, da chi sta per toccare i tuoi sistemi. Un operatore legittimo non si innervosisce se viene interrogato; anzi, ha risposte pronte: le fornisce a ogni cliente da anni.

Questa pagina offre una checklist operativa: le domande da porre, una a una, in cinque blocchi — identità e impresa, metodo, limiti legali, consegna, protezione dei dati. Per ogni domanda trovi una buona risposta e, accanto, il campanello d'allarme che rende decisiva quella risposta.

Nessun professionista legittimo accede a sistemi, account o dispositivi senza il consenso scritto di chi li controlla. Chi propone il contrario non ti vende sicurezza: ti vende un problema legale.

Identità e impresa: chi sta davvero dietro l'offerta

Il primo blocco separa le imprese identificabili dai profili anonimi che spariscono al primo problema.

"Qual è la vostra ragione sociale, la partita IVA e l'indirizzo di fatturazione?"
Buona risposta: dati fiscali completi e coerenti con i registri pubblici; un operatore serio emette fattura regolare senza che tu debba insistere.
Campanello d'allarme: "lavoro solo in criptovaluta, il nome non serve". Chi non vuol essere identificato non potrà mai rispondere di un errore.

"Firmate un contratto scritto prima di iniziare qualsiasi attività tecnica?"
Buona risposta: sì, con oggetto, ambito, durata, corrispettivo e responsabilità definite; il contratto arriva prima del primo comando inviato a un sistema.
Campanello: "partiamo subito, poi mettiamo nero su bianco". A quel punto avresti già pagato un lavoro illegittimo, anche con uno scopo buono.

Referenze e competenze documentate

"Potete fornire referenze di clienti reali e contattabili che confermino il lavoro svolto?"
Buona risposta: contatti attivi o casi d'uso descritti con dettagli concreti, che puoi verificare in autonomia.
Campanello: referenze "private" non raggiungibili o nomi che si rivelano inesistenti.

"Quali certificazioni o esperienze documentate dimostrano la vostra competenza?"
Buona risposta: certificazioni riconoscibili del settore, contributi a conferenze o materiale professionale documentato che puoi controllare in autonomia.
Campanello: "conosco i sistemi meglio di chi li certifica". La competenza si dimostra con prove, non si dichiara.

Il metodo: come lavorerà sul tuo sistema

Il secondo blocco chiarisce cosa succederà in pratica, in quale ordine e con quali strumenti: qui un incarico professionale si differenzia da una promessa in chat.

"In che cosa consiste la fase di ricognizione e quali informazioni raccoglierete prima di toccare i sistemi?"
Buona risposta: una descrizione precisa della fase informativa, limitata a dati pubblici o forniti da te, con indicazione di come e dove verranno registrate.
Campanello: richieste di credenziali complete o documenti sensibili "per partire meglio" prima ancora che esista un contratto.

"Che strumenti e tecniche utilizzerete, e perché sono proporzionati all'obiettivo?"
Buona risposta: strumenti noti e spiegati, così un altro professionista potrà verificare e ripetere il lavoro.
Campanello: "uso strumenti proprietari che non posso mostrarti". L'opacità sul metodo lascia tutto affidato alla sua parola.

"Cosa resta esattamente nel perimetro: quali ambienti, domini e applicazioni?"
Buona risposta: un elenco puntuale messo per iscritto, con esclusioni chiare; l'operatore dichiara che non lavorerà fuori perimetro.
Campanello: "diamo un'occhiata a un po' tutto". Senza confini scritti, qualsiasi incidente durante il test diventa parola contro parola.

"Qual è il documento di accesso scritto, chi lo firma e per quali finestre temporali vale?"
Buona risposta: una lettera di autorizzazione con periodo di validità, sistemi inclusi, orari consentiti e referenti di contatto.
Campanello: "il consenso lo chiariremo mentre procediamo". La legalità si decide prima di cominciare; non si aggiusta in corso.

I limiti legali: cosa l'operatore non farà mai

Il terzo blocco scarta la maggior parte delle offerte ingannevoli in pochi secondi: chiede all'operatore di dichiarare i propri confini.

"Quale autorizzazione serve nel mio caso specifico, e a chi va chiesta?"
Buona risposta: ti spiega esattamente quali consensi scritti devono arrivare dal titolare o dal legale rappresentante di ogni sistema interessato.
Campanello: "basta che lo dichiari tu". Se il sistema è tuo ma non lo documenti, la posizione resta fragile; se non è tuo, nessuna dichiarazione la rende lecita.

"Cosa non farete mai, anche se vi pago di più?"
Buona risposta: un elenco dichiarato: nessun accesso a account altrui senza il consenso del titolare, nessuna sorveglianza di dispositivi privati, nessun aggiramento di protezioni fuori dal perimetro, nessun dato usato per scopi estranei all'incarico.
Campanello: "facciamo qualunque cosa, se paghi". Chi ignora i confini legali per gli altri li ignora anche per i tuoi dati.

"Se durante il test trovate dati sensibili o un incidente in corso, come li gestite?"
Buona risposta: un protocollo scritto su cosa viene segnalato, a chi e con quali tempistiche, senza divulgazione fuori dal contratto.
Campanello: la proposta di "approfittarne" per monitorare dipendenti o partner non compresi nell'autorizzazione.

La consegna: cosa otterrai alla fine

"Com'è strutturato il report: riceverò una parte esecutiva e una tecnica?"
Buona risposta: due livelli di lettura — vulnerabilità, prove, impatto e correzioni per chi deve sistemare; sintesi con priorità e rischi per chi decide.
Campanello: "ti mando uno screenshot dell'accesso". Senza report scritto, l'incarico non lascia nulla di verificabile.

"In quali tempi riceverò il report, e come vengono gestiti eventuali ritardi?"
Buona risposta: scadenze scritte nel contratto, con una clausola sui ritardi e sulle revisioni.
Campanello: tempistiche da definire "a lavoro avviato", forse dopo il pagamento integrale.

"Prevedete un retest dopo che avrò applicato le correzioni?"
Buona risposta: sì, incluso o quotato in anticipo: verificare che la correzione sia effettiva è parte del servizio.
Campanello: "finito il test, non ci sentiamo più". Chiudere un incarico senza verificare le correzioni trasforma la fiducia in rischio residuo.

La protezione: dati, assicurazione e rischi residui

"Avete un'assicurazione di responsabilità professionale pertinente al lavoro?"
Buona risposta: una polizza in corso, con termini dichiarati, che copre i danni accidentali durante un'attività come la tua.
Campanello: "non serve: non sbagliamo mai". Chi non ammette alcun margine di errore ti sta trasferendo l'intero rischio su di te.

"Firmate un accordo di riservatezza reciproco?"
Buona risposta: un NDA bilaterale che protegge le informazioni di entrambe le parti, allegato al contratto.
Campanello: un documento a favore dell'operatore soltanto, che protegge lui ed espone te.

"Dove finiscono i dati raccolti durante l'incarico e quanto tempo restano?"
Buona risposta: archiviazione e conservazione scritte, periodo definito, accesso limitato a chi lavora al progetto.
Campanello: copie dei dati su chiavette non protette o su account personali senza regole documentate.

"Come cancellate i dati a fine incarico e come posso verificarlo?"
Buona risposta: cancellazione o distruzione documentata a chiusura dell'incarico, con conferma scritta al cliente.
Campanello: "li teniamo per ricontattarti". Conservare oltre l'incarico non è prudenza: è un rischio appeso a te.

Come usare questa checklist, davvero

Tre regole rendono questa lista operativa: domande poste per iscritto prima di discutere la tariffa; risposte allegate al contratto, così diventano obblighi; ogni campanello d'allarme che chiude la trattativa. Un truffatore ti spinge a decidere subito, perché il tempo che spendi a verificare è lo stesso che lo smaschera.

Cyberlord

Cyberlord lavora su questi binari: identità dichiarata, contratto scritto, autorizzazione documentata prima di ogni attività tecnica, protezione dei dati con garanzie scritte, report tecnico ed esecutivo, retest su richiesta e cancellazione dei dati a fine incarico.

Cyberlord risponde a queste domande per iscritto?
Sì: questa checklist è la stessa traccia usata per impostare ogni nuovo progetto, dal perimetro alla cancellazione.

Devo inviare password o credenziali prima dell'incarico?
No. Le credenziali, se davvero necessarie, si condividono solo dopo autorizzazione scritta e su un canale sicuro concordato.