Il 62% delle violazioni di dati registrate a livello globale coinvolge un elemento umano: una credenziale sottratta, un errore di configurazione, una condivisione fatta nel modo sbagliato. Il 48% passa da una terza parte, un fornitore o un partner a cui l’azienda aveva concesso un accesso legittimo (Verizon Data Breach Investigations Report, 2026).
Sono due numeri che raccontano la stessa cosa da due angoli diversi: nella maggior parte dei casi l’attaccante non forza nulla. Entra dalla porta principale, con credenziali vere o con l’accesso di qualcuno che aveva il permesso di stare lì. Questo dato smonta un’assunzione che ha guidato vent’anni di investimenti in sicurezza: se il perimetro tiene, il dato è al sicuro. Il perimetro può tenere perfettamente e il dato uscire lo stesso, perché a muoverlo è un account autorizzato, non un intruso che ha scavalcato il firewall.
Indice degli argomenti
Il modello perimetrale nasce per un mondo che i dati hanno lasciato da anni
Firewall, VPN, segmentazione di rete, autenticazione a più fattori: sono misure corrette, e nessuna analisi seria suggerisce di abbandonarle. Restano insufficienti per una ragione strutturale: proteggono l’accesso al sistema che contiene il dato, non il dato stesso. Una volta che la credenziale è compromessa, o che il fornitore terzo ha già un accesso legittimo, il file che circola dentro quel perimetro è leggibile esattamente come quello di chiunque altro. Il modello nasce in un’epoca in cui i dati risiedevano su server aziendali, dietro un numero limitato di canali di uscita, tutti controllabili dallo stesso reparto IT. Oggi un documento riservato nasce su un laptop, viene sincronizzato su un cloud personale, condiviso con un consulente esterno, aperto da un’applicazione di intelligenza artificiale non governata dall’azienda. Il perimetro, nel frattempo, resta un concetto di rete. Il dato non ci abita quasi più.
Zero Trust cambia la domanda, non solo gli strumenti
Il principio Zero Trust, formalizzato dal NIST nello standard SP 800-207, parte da un’assunzione semplice: nessun utente, dispositivo o applicazione va considerato affidabile per il solo fatto di trovarsi dentro la rete aziendale. Ogni accesso va verificato, ogni volta, indipendentemente dalla provenienza.
Applicato solo agli accessi di rete, questo principio migliora sensibilmente la postura di sicurezza, ma lascia scoperto lo stesso punto cieco del modello perimetrale: cosa succede al contenuto una volta che l’accesso è stato concesso. Un utente verificato che scarica un file resta, da quel momento, l’unico controllo rimasto tra il dato e il mondo esterno. Se il suo dispositivo viene compromesso, se il file finisce su uno strumento non approvato, se un fornitore terzo con accesso legittimo subisce a sua volta una violazione, il principio Zero Trust applicato alla sola rete non ha più nulla da dire. La versione file-centric di Zero Trust sposta la verifica dal punto di ingresso al dato stesso. Stabilire se un utente può entrare in un sistema non basta: serve fissare, file per file e in ogni momento del suo ciclo di vita, chi può aprirlo, modificarlo, copiarlo o inoltrarlo, e revocare quel diritto anche dopo che il documento ha lasciato l’ambiente aziendale.
Le quattro condizioni che rendono verificabile un’architettura Zero Trust file-centric
Un’etichetta commerciale non basta a distinguere un’architettura Zero Trust file-centric reale da una che si limita a spostare il linguaggio del marketing sullo stesso perimetro di sempre. Quattro condizioni permettono di verificarla.
Protezione persistente
Il file deve restare cifrato per l’intero ciclo di vita, non solo mentre transita sulla rete aziendale o mentre risiede su uno storage controllato. Se il documento diventa leggibile nel momento in cui esce dall’ambiente presidiato, per esempio una volta scaricato su un dispositivo personale o inoltrato via posta elettronica, la protezione dichiarata è solo perimetrale con un nome diverso.
Controlli di accesso granulari
Il permesso concesso a un file non può essere una condizione binaria, aperto o chiuso, valida per sempre dal momento della condivisione. Deve poter distinguere chi legge da chi modifica, prevedere scadenze automatiche, e soprattutto restare modificabile dopo l’invio: revocare l’accesso a un documento già condiviso, senza doverlo richiamare fisicamente, è la differenza tra un controllo reale e una policy dichiarata sulla carta.
Tracciabilità completa
Ogni apertura, modifica o tentativo di accesso al file deve generare un log verificabile, con l’identità di chi ha agito, il dispositivo usato e l’esito dell’operazione. È la differenza tra poter dimostrare, in sede di audit o di notifica di violazione, esattamente chi ha avuto accesso a un dato e quando, oppure dover ricostruire quella catena a posteriori, spesso senza riuscirci.
Criteri chiari di valutazione del fornitore
Con il 48% delle violazioni che passa da una terza parte, la sicurezza del file dipende anche da chi la fornisce. Chi valuta un’architettura di questo tipo dovrebbe poter rispondere, con dati verificabili e non con dichiarazioni generiche, a domande precise su dove risiedono le chiavi di cifratura, chi vi ha accesso, incluso il personale del fornitore stesso, e quale roadmap è dichiarata verso standard di cifratura resistenti al calcolo quantistico, come CRYSTALS-Kyber, lo standard indicato dal NIST.
Una checklist operativa per scegliere una soluzione file-centric
Le quattro condizioni si traducono in domande concrete da porre prima di adottare, o rinnovare, una soluzione di questo tipo:
• Il file resta cifrato anche fuori dalla rete aziendale, su dispositivi non gestiti e servizi cloud non approvati?
• I permessi di accesso possono essere modificati o revocati dopo la condivisione, senza richiamare fisicamente il documento?
• Ogni apertura, modifica o tentativo di accesso genera un log utilizzabile in sede di audit o di notifica di violazione entro i termini previsti dalla normativa?
• Il fornitore dichiara con precisione dove risiedono le chiavi di cifratura e chi, all’interno della propria organizzazione, può accedervi?
• Esiste una roadmap dichiarata, con tempistiche, verso algoritmi di cifratura post-quantum, o l’architettura si basa solo su standard che un computer quantistico sufficientemente potente renderebbe obsoleti?
• La classificazione del contenuto avviene in modo automatico, o dipende dal giudizio dell’utente al momento della creazione del file, riproponendo lo stesso margine di errore umano che genera il 62% delle violazioni?
Nessuna di queste domande riguarda una funzionalità specifica di un prodotto. Riguardano tutte una condizione strutturale: se il fornitore non può rispondere con dati verificabili, la protezione dichiarata è probabilmente perimetrale, non file-centric.
La governance del dato è già un obbligo normativo
La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, sposta la responsabilità della gestione del rischio cyber sui vertici aziendali e impone, all’articolo 21, misure che includono esplicitamente la sicurezza della catena di fornitura. Con quasi la metà delle violazioni che origina da una terza parte, questo requisito non è un adempimento formale: è la fotografia esatta di dove si concentra il rischio.
L’articolo 32 del GDPR chiede, dal 2018, misure tecniche e organizzative adeguate al rischio, inclusa la cifratura dei dati personali. Il Regolamento (UE) 2022/2554 (DORA), operativo per il settore finanziario, estende una logica simile alla resilienza operativa digitale, compresa la gestione del rischio verso i fornitori ICT terzi. Tre riferimenti normativi diversi, tre settori diversi, la stessa direzione: la conformità si dimostra sul dato e sulla sua tracciabilità, non su un elenco di strumenti installati in azienda.
Cosa resta scoperto quando l’attaccante è già dentro
Per anni la domanda di chi progettava la sicurezza aziendale è stata come tenere fuori chi non doveva entrare. Il 48% di violazioni che passano da fornitori con accesso legittimo, insieme al 62% legato a errore umano, dice che quella domanda da sola non basta più a orientare un budget o una scelta tecnologica. Quella che conta oggi riguarda cosa resta esposto quando qualcuno, autorizzato o meno, è già dentro, e per quanto tempo resta leggibile un file una volta che ha lasciato il perimetro che l’azienda pensava di controllare.
Finché la sicurezza resterà una proprietà della rete e non del dato che la attraversa, ogni nuovo obbligo normativo, dalla NIS2 alla DORA, troverà le aziende a rincorrere lo stesso confine mobile. Le quattro condizioni verificabili, e la checklist che ne discende, servono a spostare la domanda da dove comincia sulla carta a dove finisce davvero: nel momento in cui il file, comunque e ovunque, arriva nelle mani sbagliate.
Partecipa alla community