La classificazione dei dati aiuta le aziende a smettere di trattare ogni singola informazione come se comportasse lo stesso rischio. L’email di un fornitore, una nota su un processo interno, una registrazione di pagamento di un cliente e un codice di recupero dell’amministratore non dovrebbero circolare all’interno dell’azienda in base alle stesse regole.
I dati sensibili sono archiviati in tutta la tua rete aziendale: transitano attraverso CRM, caselle di posta in arrivo, archiviazioni cloud, fogli di calcolo, sistemi HR, piattaforme di supporto, software finanziari e strumenti dei fornitori. Senza un sistema condiviso per classificarli, i team spesso si affidano all’istinto: se qualcosa sembra sicuro da condividere o probabilmente necessita di approvazione, sceglieranno la via più rapida e semplice.
Questo può funzionare per un po’, ma non è scalabile. Una chiara Policy di classificazione dei dati fornisce alla tua azienda un linguaggio comune per decidere quali informazioni possono essere pubbliche, quali devono rimanere interne, quali necessitano di controlli più severi e quali devono essere disponibili solo per ruoli specifici.
Che cos’è la classificazione dei dati?
Perché la classificazione dei dati è importante
Un framework semplice per la classificazione dei dati
Esempi di classificazione dei dati per i team aziendali
In che modo la classificazione determina il controllo degli accessi
Condividere i dati classificati in modo sicuro
Come creare una Policy di classificazione dei dati
In che modo Proton Pass for Business supporta la classificazione dei dati
Rendi la classificazione parte della protezione quotidiana dei dati
Che cos’è la classificazione dei dati?
La classificazione dei dati è il processo di etichettatura dei dati aziendali in base alla loro sensibilità e alla gravità dei danni che potrebbero causare in caso di esposizione, modifica, perdita o uso improprio. In pratica, significa raggruppare le informazioni in livelli chiari in modo che le persone sappiano come archiviarle, condividerle, proteggerle e, infine, eliminarle.
Un sistema di classificazione utile si integra nel lavoro quotidiano. Offre ai dipendenti un modo rapido per capire quando le informazioni possono circolare liberamente, quando necessitano di approvazione e quando l’accesso deve essere limitato a un piccolo gruppo. L’obiettivo è rendere evidente la decisione più sicura prima che i dati vengano copiati, condivisi, esportati o archiviati in un luogo non idoneo.
La guida del National Cyber Security Centre del Regno Unito sulla gestione delle risorse(nuova finestra) tratta le informazioni come una risorsa che necessita di visibilità, proprietà e protezione. Questo è un modo utile per inquadrare la classificazione: prima di decidere chi può accedere ai dati sensibili, devi sapere quali sono questi dati e dove si trovano.
Perché la classificazione dei dati è importante
Non puoi proteggere ciò che la tua azienda non ha identificato. Questo vale in particolare per le PMI, che di solito non dispongono delle risorse per proteggere ogni sistema e ogni tipo di informazione con lo stesso livello di controllo. Prima che un’azienda possa decidere chi deve accedere ai dati sensibili, quali sistemi necessitano di protezioni più forti o dove la MFA e la condivisione sicura sono più urgenti, deve sapere quali informazioni detiene e quali dati contano di più.
La classificazione dei dati è il primo passo in una strategia pratica di protezione dalle violazioni dei dati. Separa le informazioni aziendali di routine dai dati che potrebbero causare danni reali se esposti, modificati, persi o condivisi con la persona sbagliata.
Questo è particolarmente utile in un contesto in cui le informazioni si diffondono tra CRM, caselle di posta in arrivo, archiviazione cloud, sistemi HR, strumenti di supporto, software finanziari, esportazioni e piattaforme di fornitori. La classificazione offre ai dipendenti un segnale chiaro: cosa può essere gestito normalmente, cosa richiede l’approvazione e cosa dovrebbe essere disponibile solo per ruoli specifici.
Supporta inoltre la conformità. L’Information Commissioner’s Office (ICO) del Regno Unito, l’autorità responsabile dell’applicazione della protezione dei dati e delle linee guida sul GDPR del Regno Unito(nuova finestra), si aspetta che le organizzazioni applichino misure tecniche e organizzative adeguate. La classificazione aiuta a renderlo pratico, adattando la protezione alla sensibilità dei dati.
Per la prevenzione delle violazioni, il principio è semplice: i dati sensibili non dovrebbero essere accessibili a più persone del necessario. La guida di Proton sulla prevenzione della perdita di dati per le aziende spiega come ridurre l’esposizione non necessaria prima di un incidente possa limitare i danni successivi.
Un framework semplice per la classificazione dei dati
Un framework di classificazione non deve essere complicato. Quattro livelli sono solitamente sufficienti per le piccole e medie imprese:
- Pubblico
- Interno
- Riservato
- Ristretto
Pubblico
I dati pubblici sono informazioni approvate per l’uso esterno. Una versione pubblicata di questo articolo che stai leggendo, ad esempio, sarebbe un dato pubblico: può essere letto, è sicuro da condividere apertamente ed è indicizzato senza creare rischi significativi per la sicurezza o la privacy.
Altri esempi includono:
- Testi del sito web
- Comunicati stampa
- Offerte di lavoro pubbliche
- Materiali di vendita approvati
- Pagine dei prodotti
- Descrizioni aziendali pubbliche.
Le informazioni pubbliche richiedono comunque una revisione della precisione e del brand, ma di solito non necessitano di un controllo rigoroso degli accessi una volta approvate.
Interno
I dati interni sono destinati esclusivamente ai dipendenti e ai collaboratori approvati, ma non alla distribuzione pubblica. L’esposizione potrebbe non causare danni gravi, ma può creare confusione, rischi per la reputazione o problemi operativi.
Alcuni esempi includono:
- Documenti sui processi interni
- Note del team
- Procedure operative standard
- Materiali di formazione
- Piani di progetto non sensibili
- Calendari interni
- Elenchi generali di contatti dei fornitori.
I dati interni devono rimanere all’interno dei sistemi aziendali approvati. Ad esempio, la bozza di un brief di campagna, una checklist di onboarding o le note di una riunione di pianificazione del team potrebbero non essere altamente sensibili, ma appartengono comunque allo spazio di lavoro approvato dell’azienda, non a una cartella personale, a una casella di posta in arrivo privata o a un download non gestito.
Riservato
I dati riservati sono informazioni commerciali sensibili o informazioni di identificazione personale (PII) che potrebbero danneggiare l’azienda, i clienti, i dipendenti o i partner se esposte. L’accesso deve essere limitato ai ruoli approvati con una chiara esigenza aziendale.
Alcuni esempi includono:
- Record dei clienti
- File dei dipendenti
- Contratti
- Termini commerciali
- Report finanziari
- Dettagli della pipeline di vendita
- Ticket di supporto contenenti dati personali
- Piani aziendali non pubblicati
- Accordi non pubblici con i fornitori
I dati riservati dovrebbero essere accessibili solo ai ruoli approvati. Non dovrebbero trovarsi in drive personali, cartelle condivise aperte, fogli di calcolo non gestiti o caselle di posta in arrivo in cui nessuno controlla gli accessi. Se devono essere condivisi all’esterno, l’azienda dovrebbe utilizzare un’archiviazione cloud aziendale crittografata end-to-end (E2EE) e limitare la condivisione ai destinatari autorizzati con un chiaro scopo aziendale.
Ristretto
I dati ristretti rappresentano la categoria più sensibile. In caso di esposizione, uso improprio o modifica, l’azienda potrebbe dover affrontare gravi conseguenze finanziarie, legali, operative o di sicurezza.
Alcuni esempi includono:
- Credenziali dell’amministratore
- Codici di recupero
- Segreti di autenticazione
- Dettagli di pagamento del cliente
- Record delle risorse umane altamente sensibili
- File relativi a controversie legali
- Report sugli incidenti di sicurezza
- Log di accesso privilegiato
- Chiavi crittografiche
- Dettagli di accesso al backup
I dati ristretti richiedono i controlli più rigorosi: accesso limitato, autenticazione forte e gestione delle credenziali, archiviazione cloud crittografata end-to-end, condivisione sicura e tracciabilità.
| Livello di classificazione | Sensibilità | Esempi | Livello di accesso | Regole di condivisione |
| Pubblico | Bassa | Articoli pubblicati, testi del sito web, comunicati stampa, offerte di lavoro pubbliche, materiali di vendita approvati | Approvato per l’uso esterno | Può essere condiviso pubblicamente una volta esaminato e approvato |
| Interno | Moderata | Note del team, bozze di brief di campagna, checklist di onboarding, documenti sui processi interni | Dipendenti e collaboratori approvati | Conservare all’interno dei sistemi aziendali approvati |
| Riservato | Alta | Record dei clienti, File dei dipendenti, contratti, report finanziari, ticket di supporto con dati personali | Solo ruoli approvati | Condividere solo con i destinatari autorizzati e per un chiaro scopo aziendale |
| Ristretto | Massima | Credenziali dell’amministratore, codici di recupero, dettagli di pagamento, report sugli incidenti di sicurezza, log di accesso privilegiato | Utenti designati o gruppi strettamente controllati | Non condividere tramite email, chat, screenshot o documenti non gestiti |
Esempi di classificazione dei dati per i team aziendali
La classificazione diventa più semplice quando i team riescono a riconoscerla nel proprio lavoro. I team finanziari possono considerare pubblica una pagina dei prezzi visibile all’esterno, mentre fatture, File sulle buste paga, documenti fiscali e record di pagamento sono solitamente riservati. Le credenziali bancarie e l’accesso come amministratore alle piattaforme di pagamento dovrebbero essere ristretti perché possono esporre informazioni, modificare le impostazioni o movimentare denaro.
In pratica, tale accesso dovrebbe essere controllato tramite autorizzazioni basate sui ruoli, autenticazione forte, revisioni periodiche degli accessi e un gestore di password aziendale che aiuti i team a gestire e controllare le credenziali alla base dei sistemi sensibili.
I dati delle risorse umane seguono un modello simile. Un’offerta di lavoro può essere pubblica, mentre i contratti di assunzione, le informazioni sugli stipendi, i registri delle malattie, i dettagli sui benefit e i dati dei candidati sono solitamente riservati. Le indagini sensibili, le credenziali dell’amministratore HR e l’accesso generale ai record dei dipendenti dovrebbero essere ristretti.
Questa non è un’anomalia storica: la sanzione dell’ICO del 2022 contro Interserve(nuova finestra), per un totale di 4,4 milioni di sterline, è un chiaro avviso che i dati dei dipendenti devono essere classificati e protetti come informazioni aziendali sensibili, non trattati come normale documentazione interna.
Anche i team di vendita, customer success, marketing e IT hanno bisogno di confini chiari. I record dei clienti e i ticket di supporto che contengono informazioni personali o a livello di account sono spesso riservati. Il lavoro di segmentazione interna, la pianificazione delle campagne e i report sulle prestazioni possono essere interni o riservati, a seconda che includano dati a livello di cliente, sensibilità commerciale o strategie aziendali non pubbliche.
La documentazione dei fornitori dovrebbe essere classificata in base al suo contenuto, soprattutto se include dettagli di accesso, termini commerciali o informazioni sulla sicurezza. I dataset di clienti esportati, l’accesso come amministratore CRM, l’accesso come amministratore a piattaforme pubblicitarie come Google Ads o Meta Business Manager, le credenziali di backup, i codici di recupero, i log di accesso privilegiato e le credenziali degli strumenti di sicurezza dovrebbero essere ristretti perché un singolo File o account esposto può avere ripercussioni su molte più persone rispetto a un singolo individuo.
In che modo la classificazione determina il controllo degli accessi
Una volta classificati i dati, l’accesso smette di essere una semplice impostazione di autorizzazione generica e diventa una decisione aziendale. La questione non è più solo se qualcuno possa aprire un sistema, ma se il suo ruolo ne giustifichi l’accesso alle informazioni contenute all’interno.
Un team di supporto potrebbe aver bisogno delle conversazioni con i clienti, ma non di tutti i File dei clienti esportati. Il team finanziario potrebbe aver bisogno dei record di pagamento e di contabilità, ma non delle indagini delle risorse umane. Un collaboratore esterno potrebbe aver bisogno dell’accesso a un singolo spazio di lavoro di progetto, non all’intero Archivio dei File dei clienti dell’azienda.
Per i dati riservati e ristretti, l’accesso deve lasciare una traccia di controllo. L’azienda deve sapere chi ha effettuato l’accesso e a cosa, perché esiste tale accesso e se le autorizzazioni vengono revocate immediatamente dopo un cambio di ruolo o l’offboarding.
Un gestore di password per i team IT supporta la gestione centralizzata, la condivisione sicura, le Policy, la reportistica e i log dell’amministratore, il provisioning SCIM e le integrazioni SSO. Questo aiuta i team a limitare l’accesso alle credenziali che sbloccano i sistemi sensibili, invece di lasciare le password nei browser, nei fogli di calcolo o nei thread delle chat.
Condividere i dati classificati in modo sicuro
Le regole di condivisione dovrebbero seguire la sensibilità delle informazioni. Una risorsa pubblicata può circolare liberamente una volta approvata, ma un contratto, un File di un cliente, un record di pagamento o un codice di recupero richiedono un maggiore controllo. Più i dati sono sensibili, meno persone dovrebbero riceverli e più il metodo di condivisione dovrebbe essere ponderato.
Questo è particolarmente importante per le email. Molte aziende inviano ancora informazioni sensibili tramite allegati, screenshot o testo copiato, perdendo poi traccia di dove finiscono tali informazioni. La guida di Proton su come inviare in modo sicuro informazioni sensibili via email spiega i modi più sicuri per gestire le informazioni sensibili quando l’email è necessaria.
Le credenziali e i segreti richiedono regole più rigide rispetto ai documenti ordinari. Le password, i codici di recupero, le chiavi di accesso e i dettagli di accesso dell’amministratore non dovrebbero essere inviati tramite email, chat, screenshot o documenti condivisi. Dovrebbero essere archiviati e condivisi tramite un gestore di password aziendale come Proton Pass for Business, dove l’accesso può essere controllato, esaminato e revocato in modo più sicuro.
Inizia con un audit dei dati
Prima di redigere una Policy di classificazione dei dati, mappa dove si trovano già i dati aziendali. Il primo audit non deve essere perfetto. Deve solo mostrare quali sistemi contengono informazioni sensibili, chi può accedervi e dove potrebbero esistere copie non controllate.
Inizia con le posizioni quotidiane come CRM, piattaforme HR, software finanziari, archiviazione cloud, caselle di posta elettronica, drive condivisi, strumenti di supporto, gestori di password, portali dei fornitori, download, esportazioni e backup.
| Campo | Cosa registrare |
| Posizione | Dove si trovano i dati |
| Tipo di dati | Dati relativi a clienti, dipendenti, finanziari, credenziali o operativi |
| Livello di classificazione | Pubblico, interno, riservato o ristretto |
| Proprietario | Persona o team responsabile |
| Accesso | Chi può visualizzarlo, modificarlo, esportarlo o condividerlo |
| MFA | Se l’autenticazione a più fattori è abilitata |
| Condivisione con i fornitori | Se terze parti possono accedervi |
| Stato di conservazione | Conservare, esaminare, eliminare o anonimizzare |
Come creare una Policy di classificazione dei dati
Una Policy di classificazione dei dati dovrebbe essere sufficientemente breve da poter essere utilizzata dai dipendenti e abbastanza specifica da guidare decisioni reali. Dovrebbe definire i livelli di classificazione, spiegare a chi appartengono i dati sensibili e collegare ciascun livello all’accesso, all’archiviazione, alla condivisione, alla conservazione e alla revisione.
Una semplice Policy può includere:
- Scopo e ambito di applicazione: Cosa copre la Policy e a chi si applica.
- Livelli di classificazione: Pubblico, interno, riservato e ristretto, con esempi.
- Proprietà: Chi approva l’accesso e gestisce la revisione per le categorie di dati sensibili.
- Regole di accesso: Chi può accedere a ciascun livello e come l’accesso viene approvato o rimosso.
- Regole di condivisione: Quali canali sono approvati per ciascun livello di classificazione.
- Archiviazione e conservazione: Dove deve trovarsi ciascun tipo di dati e per quanto tempo deve essere conservato.
- Frequenza delle revisioni: Con quale frequenza vengono riesaminate la Policy e le regole di accesso.
- Processo di blocco legale: Quando le regole di eliminazione o conservazione devono essere messe in pausa durante indagini attive, controversie o contenziosi.
La Policy dovrebbe anche lasciare spazio al buon senso. Non tutti i documenti rientreranno perfettamente in una categoria. In caso di dubbio, i dipendenti dovrebbero sapere a chi rivolgersi e quale impostazione predefinita seguire. Per i dati sensibili, l’opzione predefinita più sicura è solitamente quella di limitare l’accesso fino a quando il legittimo proprietario non confermerà il contrario.
In che modo Proton Pass for Business supporta la classificazione dei dati
La classificazione dei dati indica alla tua azienda quali informazioni necessitano di una protezione più forte. Il controllo degli accessi trasforma questa decisione in pratica quotidiana.
Le credenziali fanno parte di questo livello di accesso. Se una password consente di accedere a dati ristretti, come impostazioni dell’amministratore, esportazioni di clienti, sistemi finanziari, codici di recupero o log di sicurezza, tale credenziale richiede una gestione più rigorosa rispetto a un login per un servizio interno a basso rischio.
Un sicuro gestore di password aziendale come Proton Pass for Business aiuta i team ad applicare queste decisioni di accesso nella pratica. Le credenziali possono essere archivate in casseforti crittografate, organizzate per team o funzione e condivise solo con le persone che ne hanno bisogno.
Gli amministratori ottengono inoltre una migliore visibilità sull’accesso alle credenziali grazie a report e log, mentre le Policy, le integrazioni SSO e il provisioning SCIM aiutano i team IT a gestire l’onboarding e l’offboarding in modo più coerente.
In questo modo è più facile far rispettare la classificazione nel lavoro quotidiano. Le credenziali finanziarie possono rimanere nell’ambito finanziario. L’accesso come amministratore HR può rimanere riservato ai responsabili HR autorizzati. I codici di recupero del backup e i login dell’amministratore privilegiati possono essere limitati alle persone responsabili del recupero e della sicurezza.
Rendi la classificazione parte della protezione quotidiana dei dati
La classificazione dei dati non è fine a se stessa. È un modo per rendere più facile l’applicazione della protezione dalle violazioni dei dati nel lavoro quotidiano.
Una volta che la tua azienda conosce quali dati sono più sensibili, il passo successivo consiste nel controllare chi può accedervi. Un gestore di password può aiutare i team a controllare e monitorare le credenziali che sbloccano i sistemi sensibili e i dati ristretti.
Controlla l’accesso ai dati classificati in tutta la tua organizzazione con un gestore di password aziendale.
