Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
Il cloud non è vietato, ma va configurato sul lavoro reale dello studio. Servono verifiche sul fornitore, accessi selettivi, protezione degli account e controllo delle condivisioni, soprattutto quando i fascicoli contengono informazioni di terzi.
La situazione.
Scenario illustrativo. Uno studio professionale crea un’unica cartella online per ricevere documenti dai clienti. Un collegamento copiato da una vecchia email permette a un nuovo cliente di navigare anche nelle sottocartelle altrui. Tra i file figurano dichiarazioni, documenti di dipendenti e spese sanitarie. Un collaboratore uscito dallo studio conserva ancora un account attivo e il tecnico non sa quali file siano stati scaricati.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Il collegamento permette un accesso più ampio di quello necessario alla singola pratica e può essere inoltrato a terzi.
- 02
I fascicoli contengono dati di clienti, familiari e lavoratori, con livelli di delicatezza differenti.
- 03
Lo studio non ha una procedura verificata per revocare credenziali, controllare download e ripristinare i documenti.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La sicurezza del cloud dipende anche da decisioni dello studio: un prodotto affidabile non corregge automaticamente autorizzazioni troppo estese. Occorre verificare come vengono creati gli spazi dei clienti, chi può invitare altri utenti e quali documenti risultano visibili con il solo possesso di un link. I ruoli del fornitore e degli eventuali ulteriori soggetti coinvolti devono essere valutati sulle operazioni effettive, comprese assistenza, copie e accessi dall’estero.
Se si scopre una condivisione impropria, la priorità operativa è contenerla e ricostruirne l’estensione. Non basta cambiare il collegamento e considerare chiusa la questione: bisogna valutare la violazione dei dati e gli eventuali adempimenti in base ai rischi concreti. I tempi di conservazione dei fascicoli richiedono poi una verifica delle specifiche attività professionali e degli obblighi applicabili; non vanno equiparati alla durata dell’abbonamento cloud.
Cosa fare, in pratica.
- 01
Separare gli spazi per cliente e impostare autorizzazioni minime con account nominativi: provare l’accesso dal punto di vista di un utente esterno prima di usare il portale in produzione.
- 02
Verificare accordi, misure di sicurezza, subfornitori e localizzazione dei trattamenti; valutare le garanzie richieste quando sono coinvolti trasferimenti verso paesi terzi.
- 03
Attivare protezioni degli account e una procedura di ingresso, cambio mansioni e uscita dei collaboratori, includendo sessioni già aperte, dispositivi sincronizzati e accessi del tecnico.
- 04
Gestire l’incidente con evidenze disponibili, registrando file interessati, possibili destinatari e misure adottate; predisporre inoltre copie di sicurezza e verificare un ripristino campione.
L’errore da evitare.
Confondere la presenza di una password sul servizio con la corretta segregazione dei fascicoli e lasciare che il link universale sostituisca i permessi.
Tre verifiche da portare con te.
- Un cliente può raggiungere esclusivamente il proprio spazio?
- Collaboratori cessati e link inutilizzati vengono revocati?
- Lo studio può ricostruire una condivisione errata e recuperare i file?
Un portale utile allo studio deve riflettere le pratiche e i ruoli. La prova di accesso effettuata come cliente spesso rivela problemi invisibili dall’account amministratore.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.