Spazio di lavoro documentale collaborativo sicuro

Un link di cartella condivisa, una volta inoltrato, continua a funzionare per chiunque lo abbia. Non c’è traccia di chi sia finito per averlo, e nessun modo di revocare l’accesso a una persona senza romperlo per tutti.

Gli allegati sono peggio in un altro modo: una copia vive in ogni casella che ha attraversato, più ogni backup e ogni cartella di inviati lungo la catena. Cancellare l’originale non cambia quelle copie.

Nessuno dei due fallimenti sembra un incidente. L’accesso si accumula in silenzio, finché un dipendente uscito, un subappaltatore di un tempo o un vecchio link inoltrato è ancora una porta aperta sui documenti di un cliente di cui nessuno si ricorda.

I permessi di cartella chiedono «chi può aprire questa unità», che è la domanda sbagliata. Quella giusta è «chi deve vedere il fascicolo di questo cliente», e cambia per pratica e per persona, non per cartella.

L’accesso per ruoli risponde a questo: un revisore vede solo le pratiche assegnate, un cliente vede solo la propria richiesta, e un responsabile vede il team senza che ogni revisore veda tutto il perimetro del responsabile.

Rivedete gli accessi con un ritmo, non solo quando qualcuno se ne va. Un accesso che aveva senso all’apertura di una pratica viene di rado rivisto alla chiusura, ed è esattamente così che gli accessi obsoleti si accumulano.

Una password condivisa o è memorabile, e quindi indovinabile, o è impossibile da ricordare, e finisce scritta in un posto insicuro. In entrambi i casi non scade da sola e non identifica chi l’ha usata.

Un magic link legato all’email di una persona e a una finestra di validità limitata risolve entrambi: identifica il destinatario e smette di funzionare da solo, invece di esigere che qualcuno ricordi di disattivarlo.

Conta soprattutto per i contributori esterni — clienti, subappaltatori, revisori una tantum — che hanno bisogno di accesso per la durata di una pratica e non oltre. Un account permanente per un contributore unico è debito di accesso dal primo giorno.

La cifratura in transito e a riposo è un minimo, non un differenziatore. Chiedetela, ma non fermatevi lì. La domanda più utile è dove stanno fisicamente i dati e sotto le regole di quale giurisdizione.

Chiedete l’elenco completo dei subfornitori, non solo l’affermazione del fornitore principale. Invio email, backup e strumenti di registro sono spesso servizi distinti, e uno spazio può risultare ospitato nell’UE sulla carta mentre uno di quei subfornitori non lo è.

Chiedete che cosa succede a un documento dopo la cancellazione: se esce dai backup secondo un calendario o vi resta a tempo indeterminato. «Cancellato» deve avere un significato definito, non essere un’azione di interfaccia che si limita a nascondere il file.

Registrate gli eventi di accesso — chi ha visto, scaricato o approvato un documento, e quando — separatamente dai documenti. Quel registro permette di rispondere a «chi ha visto questo» senza riaprire il file.

Non raccogliete troppo in nome della sicurezza. Registrare l’intero contenuto dei documenti in un feed di attività non fa che duplicare dati sensibili in un secondo posto, che va protetto anch’esso.

Controllate anche l’accesso al registro stesso. Un dettaglio di chi ha consultato che cosa è sensibile di per sé, e non dovrebbe essere più aperto dei documenti che segue.