I sistemi di gestione documentale (DMS) sono l’equivalente software dello schedario di un ufficio. È qui che la tua azienda archivia, categorizza, organizza o protegge la documentazione riservata. Probabilmente ne hai già uno in uso.

Potrebbe essere Google Drive, SharePoint o un sistema di archiviazione cloud aziendale interno che hai creato tu stesso. Potresti usarlo per raccogliere contratti, fatture, estratti conto bancari, dati dei dipendenti o brochure di prodotti. Ma il modo in cui gestisci questi documenti potrebbe anche essere il motivo per cui rischi di subire perdite finanziarie astronomiche, sanzioni di settore e azioni legali.

Perché? Perché i sistemi DMS sono stati creati per tenere in ordine i tuoi documenti, non per proteggere i dati dalle minacce emerse negli ultimi anni.

Ecco come si presenta effettivamente una gestione sicura dei documenti e perché il sistema che stai usando in questo momento potrebbe non garantirla.

Cos’è un sistema di gestione documentale?

Un sistema di gestione documentale è un qualsiasi software utilizzato come archivio centrale per memorizzare, tracciare e distribuire documenti digitali. Con le giuste pratiche di archiviazione, un DMS può rimuovere la necessità di documenti cartacei e tenere a portata di mano i file archiviati difficili da tracciare.

Un DMS può aiutarti a::

  • Archiviare e organizzare i file: in un’unica Posizione in cui ogni documento che un tempo era sparso in cartelle, allegati email e file fisici è accessibile e ricercabile con una sola ricerca, indipendentemente da chi lo ha creato o quando.
  • Tracciare chi ha visto o contribuito a un file: puoi avere una vista strutturata dell’intero processo di approvazione per ricontrollare le modifiche al documento. Con i permessi e le impostazioni di gestione delle credenziali puoi anche limitare l’esposizione interna e tenere al sicuro i documenti riservati.
  • Mantenere un audit trail difendibile: regole predefinite possono aiutarti ad archiviare o eliminare i documenti dopo periodi prestabiliti, per aiutarti a soddisfare gli standard di conformità. Puoi anche tracciare ogni visualizzazione, modifica o download per rendere conto alle autorità di regolamentazione.
  • Automatizzare i flussi di lavoro di approvazione: notifiche e avvisi possono instradare i documenti attraverso fasi di richiesta di approvazione, fasi di firma e cicli di revisione, così non dovrai rincorrere le persone di persona.

I tre sistemi di gestione documentale più comuni — e perché non proteggono i tuoi dati

Le tre piattaforme seguenti sono state create per la collaborazione e la scalabilità, e offrono entrambe le cose. Ma le aziende dovrebbero pretendere di più dal proprio DMS.

Le violazioni dei dati avvengono ogni giorno e le PMI sono particolarmente a rischio. Ben il 25% delle PMI ha subito una violazione o un attacco informatico l’anno scorso. E anche se la tua azienda non subisce una violazione, potresti non essere più conforme a normative come il GDPR o l’HIPAA, oppure fallire gli audit rispetto a standard come l’ISO 27001 perché richiedono una protezione proattiva dei dati. La vulnerabilità stessa è motivo di sanzione.

Pensando alla sicurezza, analizziamo le piattaforme che molti responsabili IT e CEO scelgono per impostazione predefinita.

Microsoft SharePoint

Perché è la scelta predefinita in ufficio: SharePoint è profondamente incorporato nell’ecosistema Microsoft 365, il che lo rende il percorso di minor resistenza per le aziende che già utilizzano Outlook, Teams o Excel. Gestisce grandi volumi di documenti, supporta impostazioni di autorizzazione granulari e si integra con il resto dello stack Microsoft senza ulteriore configurazione. Per i team che lavorano su Microsoft 365, funziona.

In che modo introduce rischi per la sicurezza: le vulnerabilità di SharePoint sono in gran parte strutturali. Funziona secondo l’ampio modelo di accesso ai dati di Microsoft, il che significa che Microsoft conserva la capacità di accedere ai tuoi contenuti archiviati per scopi che includono l’erogazione del servizio, la conformità e le richieste delle forze dell’ordine. La crittografia viene applicata, ma Microsoft detiene le chiavi. I tuoi documenti sono protetti da attacchi esterni, ma non dalla piattaforma stessa. SharePoint ha anche una storia di problemi di configurazione errata: le impostazioni di condivisione eccessivamente permissive sono facili da impostare e facili da dimenticare, e la dispersione interna dei dati — documenti condivisi tra i team senza una chiara proprietà o scadenza — è una comune modalità di fallimento della conformità.

Cosa cercare invece: un sistema in cui il fornitore non possa accedere ai tuoi contenuti per progettazione — non per Policy. Cerca la crittografia end-to-end con chiavi che controlli, impegni chiari sulla residenza dei dati e impostazioni di condivisione che abbiano come valore predefinito il privilegio minimo anziché l’accesso aperto.

Google Drive

Perché è la scelta predefinita in ufficio: Google Drive è la scelta predefinita per le aziende già inserite nell’ecosistema Google — Gmail, Docs, Sheets, Meet. È veloce da configurare, non richiede costi generali IT e le sue funzionalità di collaborazione in tempo reale sono davvero le migliori della categoria. Per i piccoli team che hanno bisogno di muoversi rapidamente, fa il suo lavoro.

In che modo introduce rischi per la sicurezza: il modello di business di Google si basa sui dati. Anche nell’ambito di un accordo Google Workspace, Google conserva ampi diritti per elaborare i tuoi contenuti — per il miglioramento del servizio, l’infrastruttura pubblicitaria e la conformità alle richieste legali. Come per SharePoint, la crittografia è standard, ma Google detiene le chiavi. C’è anche la questione della dispersione: Drive rende semplicissimo condividere documenti all’esterno, il che significa che i file sensibili possono finire per essere tranquillamente accessibili a chiunque disponga di un link, spesso senza che il proprietario originale se ne renda conto.

Cosa cercare invece: una piattaforma che tratti i tuoi documenti come tuoi — non come dati da elaborare. La crittografia a zero accessi, in cui il fornitore non può leggere i tuoi file in nessuna circostanza, e controlli di condivisione esterna che richiedono un’azione deliberata anziché un singolo clic.

Dropbox

Perché è la scelta predefinita in ufficio: Dropbox ha costruito la sua reputazione sulla semplicità. Sincronizza istantaneamente i file su tutti i dispositivi, funziona bene con strumenti di terze parti e ha una curva di apprendimento bassa che lo rende popolare tra i team più piccoli e i freelance. Per l’archiviazione e la condivisione semplice dei file, è difficile trovare difetti nell’usabilità.

In che modo introduce rischi per la sicurezza: Dropbox crittografa i file in transito e a riposo — ma, di nuovo, detiene esso stesso le chiavi crittografiche. Ciò significa che i dipendenti di Dropbox, e per estensione le richieste governative, possono accedere ai tuoi contenuti. Ha anche una storia di violazioni notevole: un incidente del 2012 ha esposto le credenziali di 68 milioni di utenti e la piattaforma ha ricevuto critiche per il tempo impiegato a rivelare la portata di tale violazione. Per le aziende che gestiscono dati regolamentati, la copertura di conformità di Dropbox è anche inferiore rispetto alle alternative aziendali, il che può creare lacune rispetto ai requisiti GDPR o HIPAA.

Cosa cercare invece: un’archiviazione creata da zero per la conformità alla sicurezza informatica — con crittografia end-to-end, residenza dei dati documentata e un fornitore la cui architettura renda l’accesso ai tuoi file tecnicamente impossibile, non solo contrattualmente vietato.

Come si presenta effettivamente una gestione sicura dei documenti

Le tre piattaforme sopra menzionate non sono insicure per caso. Sono state create per la collaborazione e la scalabilità, e offrono entrambe le cose. La sicurezza non era il problema che quei provider stavano cercando di risolvere.

Se la sicurezza dei dati è una priorità per la tua azienda, queste sono le funzionalità che distinguono un DMS davvero sicuro da uno che ne ha solo l’aspetto.

  • Crittografia a conoscenza zero: il tuo DMS dovrebbe crittografare i tuoi documenti prima che lascino il tuo dispositivo. Ciò significa che il fornitore non avrà mai accesso ai tuoi contenuti — né per l’erogazione del servizio, né in risposta a richieste legali. Se il fornitore detiene le chiavi crittografiche, ti stai fidando della sua Policy. Se non può detenerle per progettazione, non devi farlo.
  • Architettura open source e audit indipendenti: è facile fare dichiarazioni sulla sicurezza. Cerca fornitori la cui architettura sia open source — nel senso che chiunque possa ispezionarla — e la cui postura di sicurezza sia verificata da audit indipendenti di terze parti, non solo da affermazioni interne.
  • Certificazioni di conformità riconosciute: le certificazioni ISO 27001, SOC 2 Type II e HIPAA non sono solo caselle da spuntare. Sono la prova che i controlli di sicurezza di un fornitore sono stati testati rispetto a uno standard esterno. Se operi in un settore regolamentato, queste non sono facoltative.
  • Giurisdizione e residenza dei dati: la sede legale del tuo fornitore determina quali governi possono imporre l’accesso ai tuoi dati. Le piattaforme con sede negli Stati Uniti rientrano nel CLOUD Act. Assicurati di sapere quali leggi regolano i tuoi documenti — e se questo è accettabile per la tua azienda.
  • IA rispettosa della privacy: se il tuo DMS include funzionalità di intelligenza artificiale, conferma che l’IA operi senza visibilità sui contenuti dei tuoi documenti — e che i tuoi dati non vengano utilizzati per addestrare il modello sottostante.

Scegliere un DMS che protegga effettivamente i tuoi dati

Il sistema di gestione documentale che scegli determina chi può vedere i file più sensibili della tua azienda per tutto il tempo in cui li conservi. Proton Workspace unisce l’archiviazione sicura dei documenti con strumenti di collaborazione di gruppo, così la tua azienda ottiene le funzionalità di collaborazione di cui hai bisogno senza consegnare a un fornitore le chiavi dei tuoi dati.