Molti titolari d’azienda ritengono che trasferire i dati sui server di Microsoft o Google garantisca automaticamente un’immunità totale da perdite o intrusioni.
🛡️ La tua azienda è protetta contro i cyber attacchi?
Richiedi un'analisi preliminare delle vulnerabilità per mettere al sicuro i tuoi dati operativi.
La realtà operativa segue il principio della responsabilità condivisa:
Il fornitore del cloud garantisce la sicurezza fisica dell’infrastruttura, dei data center e del software applicativo.
L’azienda cliente rimane la sola e unica responsabile della gestione delle identità, dei privilegi di accesso e delle modalità con cui i file vengono distribuiti all’esterno.
Le falle più critiche riscontrate nelle verifiche sui sistemi di condivisione documentale riguardano tre aspetti specifici:
Per accelerare la consegna di preventivi, progetti o fogli di calcolo, i collaboratori generano spesso collegamenti aperti che non richiedono alcuna autenticazione. Questi link rimangono attivi a tempo indeterminato, possono essere inoltrati a chiunque o indicizzati accidentalmente, consentendo a estranei di visionare interi archivi contenenti dati personali, accordi di riservatezza e formule proprietarie.
Quando un dipendente, un consulente o uno stagista termina la collaborazione, la cancellazione della casella email non disattiva in automatico i permessi accordati sui singoli canali di SharePoint o drive di gruppo. Di conseguenza, persone che non lavorano più per l’organizzazione mantengono un accesso costante e invisibile a cartelle riservate dai propri dispositivi personali.
Spesso i team interni attivano repository alternativi (come cartelle Dropbox o Drive personali) per aggirare limiti di spazio o policy di blocco. Questi spazi operano al di fuori di ogni controllo di backup, tracciamento dei log e crittografia, moltiplicando i punti di vulnerabilità.
Un archivio cloud accessibile pubblicamente costituisce una violazione di sicurezza a tutti gli effetti (data breach). Le recenti ordinanze ingiuntive pubblicate sul portale del Garante per la Protezione dei Dati Personali ribadiscono un principio chiave: l’omessa adozione di misure tecniche adeguate a prevenire l’accesso indiscriminato a dati riservati comporta sanzioni dirette a carico del titolare del trattamento, oltre all’obbligo di notifica all’Autorità entro 72 ore.
Disattivare la condivisione pubblica globale: Riconfigurare la console di amministrazione (tenant) in modo che i file possano essere condivisi esternamente solo verso specifici indirizzi email verificati, inibendo i link aperti.
Impostare scadenze obbligatorie sui link esterni: Forzare l’eliminazione automatica dei diritti di visualizzazione esterna dopo 7 o 14 giorni.
Revoca immediata degli accessi ex dipendenti: Strutturare una procedura rigorosa di de-provisioning che chiuda sessioni, revochi i token attivi e disconnetta i dispositivi mobili registrati.
Verifica periodica con audit di conformità e sicurezza perimetrale sul cloud: Analizzare i log di accesso almeno due volte l’anno per individuare cartelle orfane e flussi di download anomali.