Non nasce da cattive intenzioni ma da necessità pratiche: serve condividere un file grande e si usa un servizio gratuito, serve comunicare in fretta e si apre un gruppo su una chat personale, serve un gestionale semplice e qualcuno si abbona da solo con la carta aziendale.
Il problema non è lo strumento ma l’invisibilità. Dati aziendali finiscono in servizi che nessuno ha valutato, intestati ad account personali, senza backup e senza possibilità di revoca. Quando quella persona lascia l’azienda, i dati restano dove sono.
Non nasce dalla disobbedienza, nasce da uno strumento che manca
Sono i servizi che le persone iniziano a usare per lavoro senza che l’azienda lo sappia: un archivio in cloud personale per scambiare file pesanti, una chat privata per coordinarsi, uno strumento di intelligenza artificiale in cui si incolla un documento per farselo riassumere.
La reazione istintiva — vietare — non funziona quasi mai, perché quelle scelte nascono da un bisogno reale che gli strumenti aziendali non coprono. Se non c’è un modo semplice per mandare un file da duecento megabyte a un cliente, qualcuno ne troverà uno.
Il metodo che funziona è l’opposto: capire quale esigenza sta dietro l’uso, dare uno strumento ufficiale che la soddisfi altrettanto bene, e solo a quel punto chiudere l’alternativa. Vietare senza sostituire sposta il fenomeno, non lo elimina.
Il rischio concreto, in tre punti
Non è teorico e si manifesta in modi molto pratici.
I dati escono dal perimetro
Documenti aziendali finiscono su account personali che l’azienda non controlla e da cui non può recuperarli quando quella persona se ne va.
Nessuno sa dove stanno
Il registro dei trattamenti descrive una realtà diversa da quella vera, e in caso di richiesta di accesso o di incidente non si può rispondere con precisione.
Gli accessi non si revocano
Quando un collaboratore lascia l’azienda si chiudono gli account aziendali. Quelli personali che usava per lavoro restano attivi, con dentro quello che ci aveva messo.
Perché conta per un’azienda
È fra le prime cose che emergono in un assessment e fra le più difficili da ricostruire a posteriori, perché per definizione non è documentata da nessuna parte.
L’errore che vediamo più spesso
Vietare non funziona: le persone hanno adottato quegli strumenti perché quelli ufficiali non risolvevano il problema. La strada che funziona è chiedere cosa usano e perché, e poi fornire un’alternativa altrettanto comoda.