Il vostro business sul telefono di qualcun altro: il costo nascosto dei messenger personali

Venerdì un responsabile commerciale discute uno sconto con un cliente, gli invia il contratto e concorda i termini di pagamento. Lunedì si dimette. La sua email aziendale viene disattivata, il badge bloccato, il portatile torna all’IT. Ma le trattative restano nel suo messenger personale, insieme ai contatti del cliente, ai documenti e agli accordi che non esistono da nessun’altra parte. L’azienda ha chiuso il dipendente fuori dall’ufficio. Lui però ha ancora accesso a una parte del business.

Ecco come si presenta un rischio facile da ignorare finché tutto funziona. I messenger personali sono comodi e familiari, e una conversazione si avvia in pochi secondi. Proprio per questo le informazioni di lavoro finiscono, senza che nessuno se ne accorga, in luoghi in cui l’azienda non può gestire pienamente come vengono conservate, condivise ed eliminate.

In un unico account convivono foto di famiglia, offerte commerciali, discussioni sugli stipendi e documenti dei clienti. Basta sbagliare destinatario e un file interno diventa proprietà di qualcun altro, almeno nei fatti. Uno smartphone smarrito o un account violato aprono la strada alle conversazioni di lavoro. E un ex dipendente può conservare l’accesso alle chat e ai materiali scaricati anche dopo aver lasciato l’azienda.

Per una fuga di dati non serve che qualcuno violi la rete aziendale. Basta che il documento giusto ne esca una volta sola.

La crittografia da sola non risolve il problema. Può proteggere i messaggi in transito, ma non impedisce di inviare un file alla persona sbagliata, di copiarlo o di usare un account già aperto. Un canale sicuro non equivale a un ambiente aziendale gestito.

Quando la storia del vostro lavoro si trova in account personali, il vostro business dipende da chi li possiede.

• Chi ricostruirà gli accordi dopo una controversia con un dipendente?
• Come si passa un cliente a un nuovo responsabile?
• Dove si trova la versione definitiva e approvata di un’offerta?
• Che cosa succede se l’account o la chat vengono eliminati, o se la persona che vi serve smette di rispondere?

Le possibilità di eliminazione e recupero variano da un servizio all’altro. Ma senza un archivio aziendale un’impresa rischia di perdere l’unica copia di informazioni importanti a cui ha accesso.

Un account personale non trasforma ogni documento di lavoro che contiene in proprietà personale del dipendente. Il pericolo è altrove: l’azienda può avere diritti legali sulle informazioni, ma nessun mezzo tecnico per recuperarle rapidamente e impedirne la diffusione.

Nemmeno la responsabilità scompare insieme al controllo. Se in queste chat vengono trattati dati personali di clienti o dipendenti, l’organizzazione deve proteggerli adeguatamente ed essere in grado di dimostrarlo. Scegliere un messenger consumer non costituisce di per sé una violazione automatica delle leggi del Kazakistan o del GDPR europeo. Ma copie fuori controllo, una cerchia di destinatari sconosciuta e l’assenza di regole di conservazione rendono molto difficile rispettarne i requisiti. «I nostri dipendenti hanno scelto di comunicare così» non spiega perché informazioni riservate siano finite in decine di account personali.

C’è poi un altro livello di dipendenza: l’infrastruttura e la giurisdizione del fornitore. Servizi business come Microsoft Teams, Zoom o Google Workspace offrono alle aziende strumenti di amministrazione. Ma anche un prodotto cloud aziendale richiede di valutare chi controlla i dati, chi vi ha accesso tecnico e quali leggi si applicano al fornitore. Il CLOUD Act statunitense consente di obbligare un fornitore soggetto alla giurisdizione USA a consegnare determinati dati in suo possesso, custodia o controllo, indipendentemente da dove siano conservati. Una richiesta di un’autorità straniera non è, di per sé, una base sufficiente per trasferire dati personali. Per un’azienda questo significa chiarire in anticipo i possibili conflitti tra obblighi e leggi, invece di scoprire le condizioni di accesso quando una simile richiesta è già arrivata.

Un’azienda ha bisogno di un messenger aziendale prima di tutto per riprendere il controllo delle proprie informazioni di lavoro

Un ambiente di comunicazione gestito deve consentire di creare account aziendali, assegnare permessi, revocare l’accesso quando qualcuno lascia l’azienda e conservare la cronologia del lavoro secondo regole definite. Al momento della scelta, verificate come gestisce i log, il backup, il ripristino e l’accesso dei partecipanti esterni. La parola «aziendale» nel nome di un prodotto, o il badge di «account business verificato» su Telegram o WhatsApp, non garantisce nulla di tutto ciò.

Un esempio di questo approccio è aXtura. La piattaforma riunisce messaggistica, chiamate, videoconferenze, condivisione di file e accesso ai servizi interni in un ambiente installato sull’infrastruttura dell’organizzazione stessa. Per un’azienda, il valore di questa architettura sta nella possibilità di decidere autonomamente dove ospitare i dati e chi può accedervi.

Detto questo, un server proprio e un prodotto sviluppato in Kazakistan non garantiscono di per sé la protezione. Contano la configurazione specifica, i contratti, il lavoro degli amministratori, gli aggiornamenti, la gestione delle chiavi e le procedure di trattamento dei dati. La protezione va integrata nei processi dell’organizzazione in ogni fase della gestione delle informazioni.

Infine, anche la piattaforma giusta sarà inutile se i dipendenti continuano a lavorare nelle chat personali. La migrazione richiede un accesso mobile comodo, un modo chiaro per comunicare con i partecipanti esterni, formazione e regole per il passaggio dei materiali di lavoro. Chat, chiamate, file e servizi interni devono aiutare le persone a svolgere il proprio lavoro senza ricorrere continuamente a strumenti non gestiti.

Un messenger gratuito può costare caro a un’azienda: cronologia delle trattative persa, condizioni contrattuali esposte, un passaggio di consegne con il cliente andato male e nessun modo di capire fin dove sia arrivata una fuga di dati.

Potete verificare a che punto siete con una semplice domanda: se domani un dipendente chiave se ne va, l’azienda conserverà i suoi accordi di lavoro e potrà controllare chi vi ha accesso da quel momento in poi?

Se la risposta dipende dalla sua buona volontà, una parte del vostro business è già fuori dal vostro controllo.