In una sola notte un ex dipendente con un ruolo di responsabilità copia decine di migliaia di file dal repository documentale. Nessun allarme si attiva: credenziali valide, permessi in ordine, e il traffico di un utente che scarica documenti come ha sempre fatto. Poche settimane dopo si dimette, e oggi lavora per un concorrente diretto. È il caso che spiega meglio di ogni altro perché la protezione dei documenti aziendali è diventata una voce concreta del piano di sicurezza: la ricostruzione è arrivata dai log centralizzati e le evidenze sono finite davanti a un giudice, ma il tracciato ha documentato l’accaduto senza impedirlo.
Nei progetti che seguiamo l’episodio ha quasi sempre la stessa forma: dimissioni, un preavviso, un accesso ancora attivo e un archivio condiviso mai segmentato. I controlli costruiti attorno all’infrastruttura riconoscono le anomalie di chi tenta di entrare, mentre le azioni legittime di chi è già dentro passano senza attrito. Il file esce integro e leggibile.
Il perimetro è presidiato, i documenti che lo attraversano molto meno
Nelle aziende strutturate i livelli difensivi sono coperti con disciplina: firewall e segmentazione sulla rete, protezione e rilevamento sugli endpoint, autenticazione a più fattori sulle identità, monitoraggio continuo che correla gli eventi. È un impianto efficace contro l’attaccante esterno.
La spesa in sicurezza, però, si sta spostando dai livelli infrastrutturali al dato, ed è la lettura che SealPath porta ai propri partner: i documenti si muovono più di quanto qualsiasi architettura perimetrale sia stata progettata per gestire. Un contratto nasce in un tenant Microsoft 365, viene condiviso con uno studio esterno, scaricato su un portatile personale, allegato a un messaggio, salvato su un NAS di reparto che nessuno censisce da anni.
Dove si ferma la prevenzione della perdita di dati
Gli strumenti di prevenzione della perdita di dati intervengono sui canali: bloccano un allegato, impediscono una copia verso una chiavetta, segnalano un caricamento anomalo. Presidiano il passaggio, non il documento. Quando la condivisione è autorizzata, e nella maggior parte dei casi lo è, la difesa si esaurisce lì. Resta scoperta la categoria di eventi più difficile da intercettare, quella in cui chi porta via i dati ha tutti i diritti per farlo.
Nel quadro normativo il tema non è nuovo. L’articolo 32 del Regolamento generale sulla protezione dei dati chiede misure tecniche adeguate al rischio e cita la cifratura fra quelle appropriate. I limiti di applicazione, però, emergono tardi: cifrare il disco o il canale protegge il dato dentro l’infrastruttura, mentre il documento condiviso con l’esterno resta scoperto. Chi ha già affrontato gli adempimenti informatici del GDPR conosce la distanza fra la misura dichiarata e quella dimostrabile.
Come funziona la protezione dei documenti aziendali quando il file lascia l’azienda?
La protezione resta scritta dentro il file: cifratura e permessi viaggiano con il documento, si verificano a ogni apertura e possono essere revocati da remoto in qualsiasi momento, ovunque il file si trovi.
La categoria tecnica si chiama E-DRM, Enterprise Digital Rights Management, in Italia spesso indicata come IRM, Information Rights Management. Aesir ha selezionato SealPath, piattaforma che applica al singolo documento una cifratura basata su Microsoft RMS e vi associa una policy granulare: chi può visualizzare, chi può modificare, chi può copiare il contenuto, chi può stampare. Il formato non è un vincolo. Rientrano i file Office, i PDF, le immagini e i file di progettazione CAD, che negli strumenti generalisti restano quasi sempre fuori copertura.
Il meccanismo separa il possesso del file dal diritto di leggerlo, e da questa separazione discende tutto il resto. Chi riceve un documento protetto senza rientrare nella policy apre un contenuto illeggibile. Chi esce dalla policy perde il diritto di accesso anche se il file è sul suo disco da settimane, perché l’autorizzazione viene verificata a ogni apertura. Applicato al caso iniziale, le decine di migliaia di file copiate durante il preavviso sarebbero diventate inservibili nel momento stesso della revoca.
Che cosa mostra il tracciato in tempo reale
Sul piano operativo l’amministratore vede il tracciato in tempo reale: quale documento è stato aperto, da chi, da quale postazione, e soprattutto quali tentativi sono stati bloccati. Il tentativo negato compare mentre la vicenda è in corso, quindi mentre l’azienda può ancora intervenire. Restano i gesti che nessuna cifratura intercetta, la fotografia dello schermo e la trascrizione a mano: la filigrana con l’identità di chi ha aperto il documento serve proprio a quello, perché rende attribuibile lo scatto.
Due modi di applicare la policy, con conseguenze organizzative diverse
La protezione dei documenti aziendali si applica in due modi, e la scelta incide sull’organizzazione più che sulla tecnologia. Il primo è manuale: l’autore del documento applica la policy, definisce il gruppo di utenti abilitati e assegna i permessi. Funziona su insiemi ristretti e critici, dove chi produce il file sa quanto vale: contratti, perizie, disegni tecnici relativi a progetti brevettati, documentazione sanitaria.
Il secondo modo agisce sul contenitore. La policy si applica al repository, che sia una raccolta SharePoint, un drive cloud, un file server o una cartella di rete, e tutto ciò che vi entra nasce già protetto. Quando i volumi crescono è la scelta praticabile, perché non dipende dalle abitudini di chi salva il file di fretta il venerdì pomeriggio.
L’integrazione nativa con Microsoft 365
Nelle aziende italiane il tenant Microsoft 365 è quasi sempre il luogo in cui i documenti nascono, circolano e restano, quindi è lì che la protezione deve entrare senza attriti. SealPath si integra in modo nativo con l’ecosistema Microsoft: la cifratura poggia su Microsoft RMS, le applicazioni Office aprono i file protetti senza software aggiuntivo e i connettori verso SharePoint Online, OneDrive ed Exchange applicano le policy direttamente sulle raccolte, sulle cartelle sincronizzate e sugli allegati in uscita. Le identità restano quelle già presenti nel tenant, quindi i gruppi in uso diventano i gruppi della policy e non si crea una seconda anagrafica da mantenere allineata.
Come si determina il perimetro iniziale
Il perimetro iniziale si determina in analisi e non richiede di censire l’intero archivio storico. Si parte dai repository che alimentano i processi a maggior valore, tipicamente commesse, offerte, progettazione e personale: si verifica chi vi accede oggi e con quali permessi, e si protegge quel sottoinsieme.
| Modalità | Dove si applica | Quando conviene |
|---|---|---|
| Protezione manuale per documento | Sul singolo file, applicata dall’autore | Insiemi ristretti e ad alto valore: contratti, perizie, disegni sotto brevetto |
| Protezione automatica sul repository | Su raccolte SharePoint, drive cloud, file server, cartelle di rete | Archivi condivisi con volumi elevati e molte mani che scrivono |
| Protezione sugli allegati di posta | Nel client di posta, al momento dell’invio | Scambi ricorrenti con fornitori, studi professionali, collaboratori esterni |
| Protezione guidata dalla classificazione | Etichette di riservatezza che innescano la policy | Organizzazioni con un modello di classificazione documentale già in esercizio |
Che cosa cambia quando la sicurezza incentrata sui dati viene erogata come servizio
Il modello che Aesir Srl propone ai propri clienti trasferisce l’onere operativo della gestione, e per una direzione amministrativa la differenza si legge su tre voci. L’impegno interno, perché policy, configurazioni e avvisi restano in carico a chi eroga il servizio e il cliente riceve un rapporto periodico invece di presidiare una console. La responsabilità, che diventa contrattuale e verificabile su livelli di servizio scritti. La forma del costo, che passa da un investimento iniziale in licenze e infrastruttura a un canone dimensionato sugli utenti coperti.
Due impianti per la protezione dei documenti aziendali
Sul piano tecnico gli impianti possibili sono due. Il primo appoggia la piattaforma sul cloud del produttore. Il secondo la installa sull’infrastruttura del fornitore di servizi gestiti, che la eroga poi in cloud privato, mantenendo i dati di protezione sotto la stessa governance del resto dei servizi. Le piattaforme che selezioniamo trattano i dati in datacenter europei, con certificazioni della famiglia ISO/IEC 27001 e requisiti in linea con NIS2, gli stessi standard applicati alla nostra infrastruttura: i datacenter Tier IV di proprietà, con replica, rappresentano il riferimento interno.
Gli eventi documentali si esportano via SDK e API REST verso il SIEM, e confluiscono nella stessa linea temporale degli eventi di rete e degli endpoint. Il tentativo di apertura bloccato nel cuore della notte viene letto dal SOC accanto a un accesso VPN inatteso dalla stessa utenza, e la correlazione produce una segnalazione che nessuna delle due fonti avrebbe generato da sola. Documentale, monitoraggio e sicurezza gestita convergono nel perimetro descritto nelle cinque Business Unit di Aesir. Le integrazioni verso il documentale già in uso si costruiscono sulle API delle due piattaforme e si confermano in analisi.
Sette verifiche prima di adottare una piattaforma di protezione documentale
Nei progetti di protezione dei documenti aziendali le difficoltà arrivano nelle prime settimane di esercizio, su punti che l’analisi poteva chiudere prima.
- Censire i repository dove risiedono i documenti sensibili, compreso ciò che sta fuori dal tenant principale: NAS di reparto, cartelle storiche, dispositivi personali usati per lavoro.
- Stabilire quali categorie documentali giustificano una policy. Proteggere tutto e proteggere nulla producono lo stesso effetto pratico sull’organizzazione.
- Verificare la copertura sui formati in uso, con attenzione ai file di progettazione, che pesano nelle aziende manifatturiere e impiantistiche.
- Nominare chi amministra le policy e chi risponde degli avvisi, prima di attivare la piattaforma.
- Provare i file protetti fuori rete e sulle postazioni dei collaboratori esterni, lo scenario in cui il progetto si gioca la credibilità.
- Pretendere che gli eventi documentali confluiscano nel sistema di correlazione già in esercizio, invece di aggiungere una console isolata.
- Scrivere la procedura di revoca alla cessazione di un rapporto di lavoro, con un responsabile nominato e un tempo massimo di esecuzione.
Le domande che arrivano dalle direzioni
La protezione dei documenti aziendali sostituisce il backup?
Le due misure rispondono a rischi distinti e convivono nello stesso piano. Il backup ripristina i dati dopo una perdita, un errore umano o un attacco ransomware. La protezione applicata al documento governa chi può leggerlo quando il file è uscito dall’infrastruttura. Si dimensionano insieme.
Che cosa accade ai file già protetti se cambiano le esigenze dell’azienda?
Le piattaforme E-DRM prevedono per l’amministratore una procedura di rimozione massiva della protezione. Va definita in analisi, documentata nel contratto e collaudata con il resto del progetto: una procedura provata vale molto più di una funzione dichiarata a catalogo.
Gli utenti devono cambiare il modo in cui lavorano?
L’apertura dei documenti protetti avviene nelle applicazioni già in uso: la suite Office, il lettore PDF, il software di progettazione. Chi è autorizzato apre il file come ha sempre fatto, anche senza connessione se la policy lo prevede. La differenza si manifesta per chi non è autorizzato, e nel tracciato che l’amministratore ha finalmente a disposizione.
Parliamone
Sulla protezione dei documenti aziendali la decisione si riduce a una verifica che qualsiasi direzione può fare in mezz’ora: che cosa succede a un documento di valore un minuto dopo che ha lasciato il perimetro. Se la risposta si ferma al tracciato, l’azienda può soltanto ricostruire. Se la risposta è la policy scritta dentro il file, l’azienda governa anche quello che accade fuori.
Se desidera approfondire il tema o valutare la situazione della sua azienda, può compilare la form in fondo alla pagina oppure scrivere a support@aesir-tech.it: prenotiamo una consulenza gratuita e partiamo dai suoi numeri.