Quando si parla di sicurezza informatica, l’immagine che viene in mente è sempre la stessa: un hacker, da qualche parte, che tenta di entrare.
Ma i dati della tua organizzazione possono uscire anche senza che nessuno li rubi. Il collaboratore che si manda il fascicolo di un cliente sulla mail personale per lavorarci la sera. Chi sincronizza una cartella di lavoro sul proprio Drive privato, per comodità. Un allegato che parte per errore alla persona omonima sbagliata.
Non sono attacchi. Sono errori onesti, fatti da persone che stanno solo cercando di fare il proprio lavoro.
E, nella maggior parte dei casi, è proprio così che i dati escono davvero: non con un’irruzione, ma con una distrazione.
Ne avevamo già parlato quando abbiamo raccontato quanto sia frequente un attacco informatico oggi, ma qui il punto è diverso: non serve nemmeno un attaccante.
Microsoft Purview affronta esattamente questo doppio scenario, esterno e interno, con un approccio che si costruisce su più livelli.
Un’etichetta su ogni file, prima ancora di aprirlo
Il primo livello è la classificazione. Ogni documento riceve un’etichetta di riservatezza (come “Confidenziale”, “Solo uso interno”) che determina il livello di protezione che quel file porta con sé, ovunque vada.
È un cambio di prospettiva importante: la protezione non dipende più da dove il file si trova (una cartella protetta, un server interno), ma dal file stesso. Un documento etichettato come confidenziale resta protetto anche se finisce per errore fuori dal perimetro che pensavi di controllare — su una chiavetta USB, in un’email, su un servizio cloud personale.
Per uno studio o un’azienda, questo significa poter distinguere in modo semplice un bilancio in bozza da una comunicazione già pubblica, senza dover ricordare a memoria quale cartella è “quella sicura”.
Quando il sistema dice “no” prima che il danno sia fatto
Qui entra la Data Loss Prevention (DLP), il cuore della protezione contro le fughe involontarie.
Le policy DLP funzionano bloccando comportamenti specifici, prima che si trasformino in un problema: la copia di dati sensibili su una chiavetta USB, il caricamento su servizi cloud personali non autorizzati dall’azienda, l’invio di informazioni riservate attraverso canali che l’organizzazione non controlla.
Il punto tecnico interessante è che il sistema non si limita a leggere il testo: usa un’analisi approfondita dei contenuti — non una semplice scansione — capace di riconoscere pattern come un IBAN o un codice fiscale anche quando compaiono in un contesto inaspettato, come una chat o un allegato con nome generico. E la protezione oggi non si ferma più dentro Microsoft 365: si estende anche al traffico web e ai dispositivi endpoint, per accompagnare i dati anche quando escono dagli strumenti Microsoft.
C’è un dettaglio recente che vale la pena conoscere, perché anticipa il prossimo capitolo di questa storia: le stesse policy DLP possono ora essere applicate anche a Copilot, impedendo che l’assistente utilizzi o restituisca informazioni sensibili in risposta a una richiesta. È il segno di dove si sta spostando il problema, non più solo file e cartelle, ma anche i prompt che scriviamo agli assistenti AI.
Un avviso, non una punizione
L’ultimo livello è forse il più sottovalutato, e anche il più umano: i Policy Tips, avvisi in tempo reale che compaiono quando un utente sta per compiere un’azione rischiosa.
Non è un blocco secco e non è una segnalazione al reparto IT. È un promemoria che arriva nel momento esatto in cui serve:“stai per condividere un file che contiene dati sensibili, sei sicuro?” e che lascia alla persona la possibilità di correggersi prima che l’errore si compia.
È un dettaglio di design che cambia la percezione della sicurezza. La maggior parte degli errori che portano a una fuga di dati non nasce da cattiva volontà, nasce da distrazione: si scrive di fretta, si clicca sul primo contatto suggerito, non si pensa alle conseguenze di un upload. Un avviso a quel punto, ben calibrato, funziona più di qualsiasi regolamento interno perché arriva mentre la persona sta decidendo, non dopo.
Con etichette, blocchi e avvisi in tempo reale, gran parte del rischio “tradizionale” — chiavette, cartelle condivise per errore, email al destinatario sbagliato — è già coperto. Ma nell’ultimo periodo i dati sensibili hanno trovato una nuova via d’uscita, meno visibile delle precedenti: i chatbot e gli strumenti di intelligenza artificiale che i collaboratori usano di propria iniziativa, spesso senza che lo studio ne sia nemmeno consapevole. Ne parleremo nel prossimo articolo della serie.
Se vuoi capire come impostare queste protezioni nel tuo ambiente Microsoft 365, in MyDigit affianchiamo studi e imprese nella configurazione di Purview. Contattaci!
