La guida completa alla documentazione interna sicura per i team

Se fatta correttamente, la documentazione interna permette a un’azienda di rimanere coerente e allineata mentre cresce. Se fatta male, diventa un rischio.

Quando la documentazione interna viene considerata solo in un secondo momento, ne derivano due problemi.

Il primo è la disorganizzazione, che si traduce in versioni errate, Policy introvabili e materiali di onboarding che nessuno ha aggiornato da quando l’azienda aveva la metà delle sue dimensioni attuali. Il secondo è l’esposizione dei dati: dati sensibili archiviati in posti in cui non dovrebbero trovarsi.

La maggior parte dei team sta gestendo il primo problema (anche se si sente sopraffatta). Il secondo problema è più difficile da risolvere, ma notevolmente più pericoloso se non viene gestito.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Ecco una guida pratica per la gestione della conoscenza interna che protegge i dati sensibili senza rendere più difficile il lavoro del tuo team.

Il problema dell’organizzazione

Quando i documenti interni sono disorganizzati, te ne accorgerai presto. Soprattutto a causa della frustrazione e della confusione che questo causa in tutta la tua azienda.

Ad esempio, ammettiamo che nel tuo drive ci siano tre versioni del manuale dei dipendenti, oltre a materiali di onboarding che non sono stati aggiornati da quando l’azienda aveva solo 10 persone a libro paga. Questo rende l’onboarding lento e inconsistente, e dà ai nuovi assunti un’impressione sbagliata su come funziona la tua azienda.

O ammettiamo che diverse Policy aziendali importanti non si trovino in una cartella chiaramente segnata, ma siano sepolte da qualche parte in un Thread di email. I manager si ritrovano a dover indovinare le Policy e non possono applicarle in modo coerente. Un dipendente riceve una risposta, un altro ne riceve una diversa.

La disorganizzazione si può risolvere con il sistema giusto (ci arriveremo a breve). Ma c’è un secondo problema che non puoi risolvere con una migliore struttura di cartelle.

Il problema della sicurezza

Per quanto la tua archiviazione dei documenti sia ben organizzata, se i processi e gli strumenti che gestiscono tali documenti sono carenti, le informazioni sensibili saranno esposte.

Potrebbe trattarsi di fasce salariali archiviate in un Google foglio condiviso, codice sorgente o chiavi API incollate in un Canale Slack, un contratto di un cliente inviato per email come allegato, o note di colloqui con i candidati che contengono informazioni di identificazione personale, inoltrate con noncuranza e che ora si trovano in sei caselle di posta.

Quando pratiche facilmente trascurabili come queste causano una violazione dei dati, non devi più fare i conti solo con colleghi frustrati e processi ostacolati. Ti trovi invece di fronte a danni d’immagine e severe sanzioni finanziarie.

Gran parte di questi dati, che si tratti di registri dei dipendenti, informazioni sui clienti o dettagli finanziari, costituisce dati personali o sensibili ai sensi del GDPR. Ciò significa che chiunque li gestisca è responsabile di come vengono archiviati, condivisi e di come vi si accede. E gli incidenti non rimuovono la colpevolezza.

Nel 2022, un membro del personale delle risorse umane di UNIQLO ha risposto a una richiesta di busta paga inviando accidentalmente per email un PDF contenente i dati salariali di 446 dipendenti. L’autorità spagnola per la protezione dei dati ha multato UNIQLO per 270.000 €(nuova finestra). La violazione non è stata causata da hacker. È stata causata dall’assenza di misure organizzative relative a un normale processo delle risorse umane.

Come creare un sistema di documentazione interna che risolva entrambi i problemi

Pensa a ciò che stai creando come a una wiki aziendale sicura. Avrai bisogno di quattro categorie di documentazione interna, ciascuna con diversi livelli di sensibilità e requisiti di accesso.

Categoria 1: Conoscenza di riferimento

Questo è il materiale che ogni dipendente dovrebbe essere in grado di trovare autonomamente: Policy aziendali, linee guida del brand, guide pratiche, documentazione degli strumenti, organigrammi. Proteggere questa categoria non significa limitare l’accesso, ma garantirne l’accuratezza. Concentrati sul controllo delle versioni (un’unica versione corrente, non cinque copie contrastanti in circolazione) e su una chiara attribuzione di responsabilità (una persona specifica incaricata di tenere aggiornato ciascun documento).

Categoria 2: Conoscenza del team e dei progetti

Qui è dove si svolge effettivamente la maggior parte del lavoro quotidiano: piani di progetto, documentazione dei processi, note sulle riunioni, roadmap, playbook interni. Non richiede un accesso a livello aziendale, quindi proteggilo con permessi a livello di team o di progetto. Come per la conoscenza di riferimento, ogni documento ha bisogno di un responsabile designato e di una frequenza di revisione, altrimenti diventerà presto obsoleto.

Categoria 3: Dati riservati e regolamentati

Questa è la categoria a più alto rischio, e riguarda tutti i dipartimenti: rapporti e previsioni finanziarie, contratti legali, registri dei dipendenti e dei clienti, piani strategici, credenziali di sicurezza. Questi elementi richiedono un accesso strettamente limitato alle persone o ai team specifici che ne hanno bisogno. (Una password non è sufficiente in questo caso. Hai bisogno della crittografia end-to-end.)

Questo tipo di dati, inoltre, non dovrebbe essere allegato alle email, salvato su drive personali o condiviso tramite link senza data di scadenza.

Proton Drive è un servizio di archiviazione cloud aziendale che gestisce questa categoria con una crittografia zero-knowledge — nemmeno Proton può leggerne i contenuti — oltre a controlli di accesso granulari che mantengono i dati sensibili dove devono stare.

Categoria 4: Materiali condivisi esternamente

Alcuni documenti devono lasciare temporaneamente il tuo sistema interno: pacchetti di onboarding per i nuovi assunti, File condivisi con collaboratori esterni o fornitori, materiali inviati ai clienti durante un progetto. Questo è delicato proprio perché spesso l’accesso deve essere concesso prima che un rapporto sia pienamente verificato. La soluzione è semplice: imposta una data di scadenza per i link, pianifica l’accesso in anticipo anziché concederlo ad hoc e revocalo nel momento in cui non è più necessario.

Proton Drive imposta le date di scadenza per i link come opzione predefinita, così i materiali condivisi scadono automaticamente senza che nessuno debba ricordarsi di revocarli.

Scegliere la piattaforma giusta per la gestione sicura della conoscenza interna

Il modello che abbiamo delineato può essere utilizzato su qualsiasi piattaforma. Ma non una piattaforma qualsiasi può garantire che il modello si applichi da solo anziché affidarsi alla memoria delle persone.

L’errore umano si insinua inevitabilmente quando ti affi di a processi manuali per impostare le date di scadenza sui link condivisi, verificare l’accesso durante l’offboarding e gestire i livelli di autorizzazione man mano che il team cresce. Ma con la piattaforma giusta, il tuo modello può essere applicato tramite l’automazione.

C’è un secondo requisito per la tua piattaforma: un design incentrato sulla privacy. Molte piattaforme destinate ai consumatori non sono progettate per archiviare informazioni sensibili: infatti, come impostazione predefinita, raccolgono il contenuto dei documenti per alimentare la loro indicizzazione di ricerca e le funzionalità di intelligenza artificiale.

La maggior parte delle aziende non si sognerebbe mai di archiviare i dati dei clienti in una cartella di Google Drive non protetta. I dati dei dipendenti meritano lo stesso standard. La piattaforma giusta gestirà sia l’applicazione delle regole sia la crittografia end-to-end.

Tre decisioni che manterranno in funzione il tuo sistema

Una buona piattaforma cloud applicherà il tuo modello di sicurezza, ma anche le migliori piattaforme non possono controllare e aggiornare i documenti al posto tuo.

La documentazione non aggiornata comporta due tipi di rischio.

C’è un rischio legale: ad esempio, una procedura disciplinare obsoleta può invalidare una causa in tribunale.

C’è un rischio culturale: quando la documentazione ufficiale non rispecchia la realtà, i dipendenti se ne accorgono e giungono alla conclusione che nessuno ha il controllo.

Segui queste tre regole e potrai evitare entrambi:

Ogni documento ha un responsabile designato (non un team). Una responsabilità condivisa all’interno di un team è una responsabilità che nessuno sente propria
Le date di revisione vengono impostate al momento della creazione, non aggiunte in seguito. È difficile difendere un documento in tribunale se non è stato revisionato per tre anni (or se non c’è traccia dell’ultimo controllo)
Archivia i documenti, non eliminarli. Eliminare i documenti è fonte di problemi se tu (o un ente regolatore) hai mai bisogno di accedervi. Archiviarli in una cartella chiaramente etichettata mantiene pulito il tuo sistema senza rendere i documenti irrecuperabili

Nulla di tutto questo richiede un responsabile della conoscenza dedicato. Bastano tre decisioni, prese una sola volta (e riesaminate trimestralmente).

Una checklist di conformità per la documentazione interna delle risorse umane

Ricorda: tu sei il titolare del trattamento dei dati. La responsabilità non spetta al tuo fornitore cloud, ma a te.

Sai chi ha accesso ai tuoi documenti più sensibili (dati finanziari, legali, dei dipendenti o dei clienti) e se questo elenco è aggiornato?
I documenti sensibili sono crittografati a riposo (at rest), e non solo in transito?
I link condivisi relativi a documenti sensibili hanno una data di scadenza?
Esiste un processo documentato per revocare l’accesso quando qualcuno se ne va o un progetto termina?
Puoi produrre un registro delle attività (audit trail) di chi ha effettuato l’accesso a cosa e quando?
I dati sensibili sono archiviati in una giurisdizione con severe leggi sulla privacy, come la Svizzera?
Ogni documento ha un responsabile designato e una data di revisione?
I documenti superati vengono archiviati anziché eliminati?

Se puoi rispondere sì a tutte queste domande, il tuo sistema di documentazione è in ottima forma.

Una base delle conoscenze sicura su cui i tuoi dipendenti possono fare affidamento, e una piattaforma per fornirla

Il modello contenuto in questa guida ti fornisce la struttura. Hai bisogno di una piattaforma che la applichi, in modo che gli standard di sicurezza che hai impostato non dipendano dalla memoria delle persone.

La risposta è Proton Workspace. Una suite di collaborazione sicura, basata sulla crittografia end-to-end e ospitata in Svizzera, una delle giurisdizioni con le leggi sulla privacy più severe al mondo. Proton Workspace offre al tuo team: