Dati sensibili e app: nuove sfide per la privacy aziendale
Lo scambio di preventivi, la pubblicazione di aggiornamenti commerciali, l’interazione con i potenziali clienti avvengono ormai tramite una pluralità di canali digitali, esponendo costantemente i dati sensibili a rischi di tracciamento esterno.
Per promuovere l’attività e coordinare il lavoro, studi e imprese ricorrono quotidianamente a canali di messaggistica istantanea, servizi di posta elettronica generici, sistemi di videoconferenza gratuiti e profili o pagine aziendali sui social network.
Anche quando l’attività su queste piattaforme di condivisione e contatto è strettamente limitata ad ambiti lavorativi, la tutela delle informazioni non è garantita.
Questi strumenti integrano spesso nei propri contratti di licenza l’autorizzazione a raccogliere e registrare informazioni tecniche e metadati relativi alle sessioni di comunicazione.
Nello specifico, i sistemi acquisiscono dati di contatto, registri delle attività, informazioni sulla posizione e, in taluni casi, parole chiave estratte dai testi o dai file condivisi.
Tali flussi vengono elaborati tramite algoritmi automatizzati con lo scopo di ottimizzare i servizi o di tracciare profili di interesse commerciale.
Questa attività di analisi, orientata alla personalizzazione pubblicitaria e alla condivisione delle informazioni con reti partner, si traduce per l’organizzazione in una parziale perdita di controllo sulla riservatezza delle comunicazioni e sulla distribuzione dei dati aziendali all’esterno.
La convergenza tra vita privata e lavoro: quali sono i dati sensibili a rischio
L’esposizione delle informazioni aziendali tende ad amplificarsi nel momento in cui sui medesimi dispositivi dedicati all’attività professionale vengono installati applicativi concepiti per scopi personali o ricreativi.
Questa consuetudine operativa, piuttosto diffusa in contesti di smart working o all’interno di strutture professionali elastiche, favorisce l’adozione di programmi per l’intrattenimento, la messaggistica privata o l’elaborazione di contenuti multimediali. Molti di questi software operano tracciamenti in background che interessano l’intero dispositivo.
I rischi più rilevanti si collegano a quei programmi che richiedono autorizzazioni estese per accedere alle funzioni del dispositivo, come la memoria interna o i sensori di geolocalizzazione.
Alcune soluzioni che impiegano l’Intelligenza Artificiale per l’elaborazione di immagini o file audio, ad esempio, acquisiscono dati biometrici complessi che possono essere archiviati nei sistemi esterni degli sviluppatori.
Inoltre, l’analisi degli spostamenti fisici e delle ricerche personali potrebbe permette ai fornitori di associare le preferenze del singolo dipendente alle sue funzioni lavorative, generando profili informativi che possono interessare soggetti commerciali terzi e influenzare la sicurezza complessiva dei dati aziendali.
La condivisione dei contatti professionali e i profili di responsabilità legale
Un elemento di criticità nella gestione delle applicazioni installate sui dispositivi di lavoro — mobili, ma anche computer e laptop, su cui vengono spesso replicate le medesime app di messaggistica o posta elettronica — risiede nella trasmissione passiva di informazioni appartenenti a soggetti terzi, del tutto estranei alle scelte informatiche dell’organizzazione.
Al momento dell’installazione o del primo avvio, molte applicazioni richiedono l’autorizzazione ad accedere alla rubrica telefonica, al registro delle chiamate o all’archivio dei messaggi del dispositivo.
Acconsentire a queste richieste comporta il trasferimento automatico di numeri di telefono, indirizzi e-mail e dettagli di contatto di clienti, fornitori e partner commerciali verso server esterni.
Questa condivisione non autorizzata può configurare una violazione delle normative sulla tutela di dati sensibili e dati personali, espandendo il perimetro di responsabilità legale dello studio o dell’impresa.
I dati dei contatti aziendali, una volta acquisiti dai gestori delle piattaforme esterne, possono essere impiegati per alimentare database di marketing, esporre i clienti a comunicazioni commerciali indesiderate o mappare le reti di relazioni professionali dell’azienda.
Per l’organizzazione, questo meccanismo non solo compromette il rapporto di fiducia con clienti e fornitori, ma genera un concreto rischio di sanzioni.
Le indicazioni del Garante per una gestione protetta dei dispositivi
Per limitare la dispersione di informazioni e garantire la conformità nei trattamenti, il Garante per la protezione dei dati personali ha individuato alcune precauzioni operative essenziali da adottare nella scelta e nell’uso delle applicazioni.
Pur essendo rivolte alla generalità degli utenti, queste indicazioni risultano pienamente applicabili anche al contesto professionale, dove smartphone e tablet custodiscono quotidianamente informazioni riservate legate all’attività professionale, con un impatto potenzialmente più ampio in caso di esposizione.
Ecco le precauzioni da adottare:
- verifica preventiva dei canali di distribuzione: installare esclusivamente applicazioni provenienti dagli store ufficiali, i quali effettuano controlli di sicurezza standardizzati prima della pubblicazione dei software;
- analisi dei permessi d’uso: esaminare con attenzione le autorizzazioni richieste al momento dell’installazione. È opportuno limitare l’accesso alla rubrica, alla geolocalizzazione, alla fotocamera e al microfono solo quando strettamente necessario al funzionamento dell’applicazione, disattivando tali permessi per tutte le funzionalità accessorie;
- consultazione dell’informativa privacy: verificare preventivamente, attraverso l’informativa sul trattamento dei dati, quali informazioni vengano effettivamente raccolte dal produttore del software, dove vengano archiviate e per quali specifiche finalità vengano impiegate;
- gestione sicura delle credenziali d’accesso: evitare, quando possibile, di registrarsi alle nuove applicazioni usando le credenziali di altri profili (come i “social login”). È inoltre opportuno non memorizzare in modo permanente le password all’interno delle app, soprattutto per i servizi che gestiscono dati sensibili o transazioni finanziarie;
- monitoraggio costante dei dispositivi: rimuovere regolarmente le applicazioni non più usate e verificare periodicamente che i sistemi operativi e i software installati siano aggiornati alle ultime versioni di sicurezza rilasciate dagli sviluppatori.
L’adozione di queste abitudini consente di impiegare le tecnologie mobili con maggiore consapevolezza, riducendo in modo significativo la dispersione involontaria delle informazioni di lavoro.
CHIEDI UNA CONSULENZA NAMIRIAL
La tutela del patrimonio informativo aziendale richiede l’adozione di strumenti digitali capaci di individuare le vulnerabilità prima che vengano sfruttate da terzi.
CyberExpert è la piattaforma Namirial per testare, verificare e valutare l’efficacia delle misure di protezione adottate da un’organizzazione attraverso un’analisi esterna delle minacce informatiche, senza richiedere l’installazione di alcun software.
Attraverso tecniche di cyber intelligence, la piattaforma individua vulnerabilità dell’infrastruttura IT, data breach, malware e presenza di dati aziendali nel deep web. Al termine dell’analisi viene generato un report, con l’elenco delle criticità riscontrate, la relativa classe di rischio e le indicazioni per risolverle.
Per valutare lo stato di sicurezza della tua organizzazione e individuare eventuali vulnerabilità, compila il form che segue e chiedi una consulenza gratuita e senza impegno con gli esperti Namirial, che ti aiuteranno ad analizzare il livello di esposizione della tua infrastruttura e a individuare le soluzioni più adatte alle tue esigenze.
