Un lunedì mattina, in pieno periodo di chiusura, Sophie B. si imbatte in un dettaglio all'apparenza innocuo: da mesi una collaboratrice invia le buste paga di diversi clienti tramite una piccola app di condivisione gratuita installata sul suo telefono personale. Nulla di malevolo — solo più rapido della posta interna in una giornata frenetica. Nessuno l'aveva deciso, nessuno l'aveva autorizzato e, soprattutto, nessuno nella direzione lo sapeva. È esattamente così che mette radici lo shadow IT.
Lo shadow IT, gli strumenti che sfuggono all'azienda
Lo shadow IT indica tutti gli strumenti, le applicazioni e i servizi digitali usati per il lavoro senza che la direzione o il responsabile informatico li abbia scelti, autorizzati o anche solo notati. Una casella di posta personale per aiutare un cliente una sera, un'app di note online, un convertitore di PDF trovato sul web, un account gratuito di condivisione file, un foglio di calcolo parcheggiato sul cloud privato di un collaboratore: ciascuno rende un servizio, nessuno è mai stato una decisione.
Il termine suona un po' inquietante, ma il fenomeno è comune — e il più delle volte in buona fede. I vostri collaboratori non cercano di aggirare le regole: cercano di lavorare in fretta, con strumenti che già conoscono nella vita privata. Il problema non è la cattiva volontà, è l'invisibilità. Ciò che la direzione non vede non può inquadrarlo, né proteggerlo, né controllarlo.
Per uno studio fiduciario come quello di Sophie B. la posta in gioco è immediata. Un'attività di servizi senza informatico interno si regge in gran parte sulla fiducia: ognuno si organizza con i mezzi a disposizione. Solo che i dati che circolano non sono foto delle vacanze — sono salari, dichiarazioni fiscali, estratti conto bancari di decine di PMI clienti. Il giorno in cui una di queste informazioni finisce sul server gratuito di un'app di cui nessuno conosce il fornitore, sfugge all'azienda. E con essa una parte del segreto professionale su cui poggia l'intera relazione con il cliente.
È qui che si gioca il vero rischio dello shadow IT: la fuga di dati. Non necessariamente un attacco spettacolare — molto più spesso, una semplice perdita di controllo. Un account gratuito chiuso da un giorno all'altro, e i file diventano irraggiungibili. La stessa password debole riutilizzata ovunque, e una sola fuga apre più porte. Un servizio che archivia i documenti su server di cui ignorate l'ubicazione — a volte fuori dalla Svizzera — senza che abbiate mai firmato alcun contratto. Molti strumenti gratuiti, del resto, si finanziano con i dati: le loro condizioni d'uso, che nessuno legge, spesso permettono di analizzarli o conservarli ben oltre il vostro utilizzo.
La nLPD, la nuova legge svizzera sulla protezione dei dati, si aspetta però proprio che un'azienda adotti misure di sicurezza "adeguate" per i dati che detiene. È difficile proteggere ciò di cui non si conosce nemmeno l'esistenza. Lo shadow IT, quindi, non è solo una questione tecnica: è un angolo cieco che tocca direttamente la vostra responsabilità.
In parole semplici. Lo shadow IT non è un pirata che forza la porta. È una porta lasciata socchiusa senza accorgersene, perché più comoda dell'ingresso principale. Il pericolo non viene dallo strumento in sé — spesso del tutto valido — ma dal fatto che vive fuori dalla vostra vista: nessuno sa chi vi ha accesso, dove finiscono i file, né cosa ne resta il giorno in cui la collaboratrice che lo usava lascia l'azienda.
Cosa tenere a mente
Bastano tre idee per inquadrare il tema.
Innanzitutto, lo shadow IT non è una colpa da punire, è un segnale da ascoltare. Se una collaboratrice aggira lo strumento ufficiale, spesso è perché questo è troppo lento, troppo complicato o semplicemente assente. La reazione giusta non è sanzionare, ma capire il bisogno e offrire un'alternativa pulita. Altrimenti lo strumento nascosto tornerà da un'altra porta.
Poi, l'invisibilità è il cuore del problema. Un dato che passa da un canale conosciuto può essere inquadrato; un dato che passa da un canale ignorato no. Riprendere il controllo comincia quindi dal vedere, prima ancora di bloccare qualsiasi cosa.
Infine, per una PMI svizzera che maneggia dati sensibili la responsabilità resta vostra, qualunque sia lo strumento. Affidare un file di salari a un'app gratuita non trasferisce quella responsabilità al suo fornitore: in caso di fuga, è la vostra organizzazione a doverne gestire le conseguenze — e, se del caso, a notificare la violazione all'IFPDT, l'autorità svizzera per la protezione dei dati. Un cliente i cui dati sono trapelati non chiederà quale strumento fosse in causa: chiederà perché non lo sapevate.
I gesti da mettere in pratica questa settimana
Buona notizia: riprendere il controllo non richiede né budget, né informatico, né grande progetto. Bastano tre gesti semplici per iniziare, e stanno tutti in una settimana ordinaria, tra due pratiche.
1. Fare l'inventario, senza giudicare
Prendetevi trenta minuti in squadra e ponete una sola domanda: "con quali strumenti lavorate davvero, ogni giorno?" Non per sorvegliare — per scoprire. Annotate ogni applicazione, ogni servizio, ogni account usato per trattare dati aziendali, compresi quelli installati sui telefoni personali. L'obiettivo è una lista onesta, possibile solo se nessuno teme una sanzione. Presentate l'esercizio per quello che è: non un audit, ma un modo per attrezzare meglio la squadra. La lunghezza della lista vi sorprenderà probabilmente — è normale, ed è già metà del percorso, perché si protegge bene solo ciò che si è prima messo nero su bianco.
2. Decidere cosa è "ufficiale"
Per i bisogni più comuni — condividere un file voluminoso, scambiare un documento sensibile, prendere appunti, firmare un documento — scegliete uno strumento ufficiale e ditelo con chiarezza. In una PMI già dotata di una suite d'ufficio professionale, la maggior parte di queste funzioni esiste già, all'interno, senza installare nulla in più. L'idea non è vietare dieci strumenti, ma indicarne uno, semplice e noto a tutti, per ogni uso. Un canale ufficiale evidente fa sparire gran parte dello shadow IT senza nemmeno doverlo vietare.
3. Porre una regola semplice sui dati sensibili
Basta una frase, purché tutti la capiscano: i dati dei clienti — salari, documenti contabili, atti fiscali — non lasciano mai gli strumenti approvati dall'azienda. Niente account personali, niente app gratuite non approvate, niente chiavetta USB che gira in una borsa. Scrivetela, condividetela, ricordatela all'arrivo di ogni nuova persona. Una regola breve e viva protegge meglio di un regolamento di dieci pagine che nessuno apre mai.
A che punto siete davvero?
Questi tre gesti fanno arretrare lo shadow IT, ma da soli non rispondono alla vera domanda: dove, esattamente, la vostra organizzazione è solida, e dove poggia ancora su abitudini che nessuno ha mai verificato? È tutto il senso di un'autovalutazione strutturata.
Cyber Passport non certifica nulla e non vi dichiara "conformi" ad alcuna norma: vi aiuta a passare in rassegna, domanda dopo domanda, le vostre abitudini digitali — quali strumenti, quali dati, quali canali — per trasformare un'inquietudine diffusa in un quadro chiaro, condivisibile con i vostri clienti e revisori. Il resto, ossia il piano d'azione dettagliato per mettere ordine duraturo tra i vostri strumenti e riportare lo shadow IT alla luce, è oggetto di un blueprint dedicato.
