Scegliere gli strumenti di collaborazione: criteri per la protezione dei dati e l'integrazione

Da caso eccezionale a dotazione di base: perché gli strumenti di collaborazione fanno oggi parte dell’infrastruttura essenziale

Il lavoro a distanza dipende da una buona comunicazione e da uno scambio fluido. Se mancano gli strumenti adeguati, i team incontrano rapidamente limiti operativi.

Gli strumenti di social collaboration centralizzano le informazioni, facilitano il coordinamento e rendono la collaborazione a distanza efficiente e trasparente.

Per le PMI svizzere, chat, videoconferenze, gestione documentale e pianificazione dei progetti fanno parte dell’infrastruttura di base e non sono più soluzioni di nicchia.

I criteri di selezione centrali includono la protezione dei dati e l’integrazione; si aggiungono la facilità d’uso, la scalabilità e il consumo di risorse.

Chiarire prima il flusso di lavoro, poi scegliere lo strumento

La scelta del software dipende dal bisogno concreto e dal budget, non dall’ampiezza delle funzionalità.

Chi chiarisce innanzitutto il flusso di lavoro – chi lavora con chi su quali dati e in quali fasi – ne deduce i criteri rilevanti.

Gli ambiti di impiego tipici sono chat, videoconferenze, gestione documentale e pianificazione dei progetti; non ogni team ha bisogno di tutti e quattro.

Un team che richiede molto coordinamento definisce priorità diverse rispetto a uno che gestisce principalmente il versioning dei documenti.

Criteri importanti sono la facilità d’uso, la sicurezza dei dati e la scalabilità; a seconda dell’ambito di impiego, vanno ponderati in modo diverso.

In materia di protezione dei dati, tre aspetti meritano un esame particolare: il ricorso a incaricati del trattamento e sub-incaricati, la sicurezza del trattamento dei dati e la trasmissione di dati personali verso Paesi terzi.

Selezione in cinque passi: dal flusso di lavoro alla decisione motivata

Chi tratta i dati di chi? Il trattamento per conto terzi come questione centrale nei servizi cloud

Con i servizi cloud, il fornitore agisce generalmente come incaricato del trattamento per conto del cliente ai sensi dell’art. 9 LPD.

Il cliente può essere egli stesso responsabile del trattamento oppure agire a sua volta come incaricato del trattamento.

In qualità di responsabile, il cliente ha l’onere di garantire che i trattamenti siano conformi alla legge sulla protezione dei dati e che i diritti delle persone interessate non vengano compromessi dall’esternalizzazione.

L’utilizzatore del cloud deve accertarsi e tutelarsi contrattualmente affinché siano rispettati i requisiti per un trattamento per conto terzi conformemente all’art. 9 LPD.

A tale scopo, il PFPDT rinvia alle sue spiegazioni sull’outsourcing, ovvero sul trattamento per conto terzi.

I sub-incaricati fanno parte di questa catena. Il PFPDT indica il ricorso a incaricati e sub-incaricati del trattamento come un aspetto della protezione dei dati che richiede particolare attenzione nei servizi cloud.

La sicurezza del trattamento dei dati include la crittografia end-to-end durante la trasmissione e a riposo, nonché la crittografia dei dati a riposo (Data At Rest Encryption) sui server.

Il controllo degli accessi e l’autenticazione comprendono 2FA/MFA, impostazioni di accesso individuali e controllo delle password, nonché accessi basati sui ruoli.

In Microsoft Teams, i file di phishing nelle chat, il social engineering e la manipolazione dell’MFA sono rischi noti. Le contromisure includono un’autenticazione resistente al phishing con verifica numerica, regole di accesso condizionale, limitazione ai domini approvati e accessi per ospiti verificati.

Per Slack sono pertinenti 2FA/MFA e whitelist di dominio; i canali condivisi esternamente vanno monitorati.

Checklist sulla protezione dei dati per gli strumenti di collaborazione cloud

Luogo di archiviazione e comunicazione di dati all’estero: cosa chiarire prima dell’introduzione

Se l’utilizzo di servizi cloud comporta una comunicazione di dati all’estero, prima della comunicazione va verificato se essa soddisfi i requisiti legali.

Il PFPDT sottolinea, nei servizi cloud, oltre al trattamento per conto terzi, la sicurezza del trattamento dei dati e la trasmissione di dati personali verso Paesi terzi.

Per valutare uno strumento, occorre chiarire concretamente: dove vengono archiviati i dati? Chi vi può accedere? Quali sub-incaricati sono coinvolti?

Per la verifica della comunicazione di dati all’estero, il PFPDT rinvia alle relative spiegazioni.

Facilità d’uso e scalabilità: criteri che determinano l’accettazione e la crescita

La facilità d’uso decide se uno strumento viene effettivamente utilizzato nella quotidianità.

Domande di verifica: quanto velocemente possono unirsi nuovi collaboratori? Il funzionamento è garantito sui dispositivi effettivamente utilizzati dal team? Quanti passaggi richiede un coordinamento tipico?

La scalabilità decide se uno strumento cresce insieme all’azienda.

Domande di verifica: è possibile integrare ulteriori team o sedi senza cambiare soluzione? Costi e amministrazione restano gestibili con l’aumento del numero di utenti?

Verificare l’interazione con le applicazioni esistenti

Gli strumenti di collaborazione raramente operano in isolamento.

Il PFPDT cita come esempi di servizi cloud con riferimento a persone gli strumenti Office 365 per la collaborazione online, gli strumenti di gestione online degli indirizzi e-mail, i sistemi CRM online e il caricamento di file su un server accessibile via Internet.

Se mancano interfacce tra uno strumento di collaborazione e applicazioni già in uso come e-mail, CRM o archiviazione documentale, i dati vengono gestiti in duplicato o si creano percorsi indiretti.

Ciò aumenta l’onere e può compromettere la qualità dei dati.

Dal punto di vista della protezione dei dati, va verificato quali dati personali fluiscono tra quali applicazioni, se questi flussi sono necessari per la rispettiva finalità e chi vi ha accesso.

Prima dell’introduzione, occorre quindi chiarire quali applicazioni esistenti devono essere collegate e dove confluiscono i dati.

OAuth è una piattaforma di autenticazione tramite la quale le applicazioni condividono credenziali di accesso o accedono ad altri servizi. Le autorizzazioni OAuth sono spesso permanenti e possono causare vulnerabilità di sicurezza involontarie.

L’integrazione non sicura di fornitori terzi figura tra i rischi per la sicurezza di strumenti di collaborazione come Slack, Microsoft Teams o Zoom.

Una scarsa integrazione con i sistemi legacy, la comunicazione decentralizzata e l’errore umano aumentano il rischio.

Per la conformità, la conservazione dei dati, l’accesso e l’archiviazione vanno regolati secondo standard definiti.

Consumo energetico e di dati: un criterio di selezione raramente considerato

Nel 2021, Greenspector ha esaminato complessivamente 19 applicazioni di videoconferenza su un Samsung S7 con Android 8.

Sono stati testati tre scenari della durata di un minuto ciascuno: sola conferenza audio, audio con video su entrambi i lati e audio con condivisione dello schermo.

Sono stati misurati il consumo di energia, il flusso di dati e le emissioni di CO2 stimate.

Microsoft Teams ha consumato in tutti gli scenari la minor quantità di energia al minuto (27,27 mAh), seguito da Go To Meeting (28,79 mAh) e Google Meet (30,11 mAh).

Teams ha richiesto solo la metà dell’energia dell’ultima classificata, Discord.

L’app svizzera Infomaniak kMeet si è piazzata al 12° posto su tutti e tre gli scenari.

Un minuto di sola conferenza audio consuma in media il 39 percento in meno di energia rispetto a una conferenza con telecamera attivata; rispetto allo scenario con condivisione dello schermo, il risparmio è dell’1,5 percento.

Nel flusso di dati, Bigbluebutton ha guidato in tutti gli scenari (4,49 megabyte al minuto), seguito da Tixeo (6,21 MB) e Google Meet (6,30 MB).

Bigbluebutton ha generato 10 volte meno dati rispetto all’ultima classificata, Discord.

Infomaniak kMeet si è collocata qui al 17° posto, ma al secondo posto nella condivisione dello schermo con audio.

Nel bilancio CO2 stimato, Google Meet era in testa (0,164 grammi di equivalente CO2), seguito da Tixeo (0,166 gEqCO2) e Microsoft Teams (0,167 gEqCO2).

Google Meet ha prodotto 2,5 volte meno CO2 rispetto a Discord.

Questi numeri integrano la protezione dei dati, la facilità d’uso, la scalabilità e l’integrazione come criterio di selezione. Il fabbisogno di risorse differisce in modo misurabile a seconda dello scenario d’uso e dell’applicazione.

Consumo di energia al minuto delle app di videoconferenza più parsimoniose (in mAh)

Energia, flusso di dati e CO2: ulteriori valori misurati nel test Greenspector 2021

Tracciabilità: tenere aggiornate attività di trattamento, misure e contratti

La scelta di uno strumento implica lavoro di documentazione.

L’utilizzatore del cloud, in qualità di responsabile, deve accertarsi e tutelarsi contrattualmente affinché il trattamento per conto terzi soddisfi i requisiti ai sensi dell’art. 9 LPD.

Un software di gestione della protezione dei dati può supportare questo lavoro.

Secondo la fornitrice, l’app ELIZA Datenschutzmanagement consente di documentare e gestire le attività di trattamento, effettuare valutazioni d’impatto sulla protezione dei dati (DPIA), definire e monitorare le misure tecniche e organizzative (TOM) e stabilire le basi giuridiche.

Serve inoltre a gestire e documentare i sub-contraenti, elaborare le richieste degli interessati e creare automaticamente in formato Word i contratti di trattamento per conto terzi (AVV).

Una documentazione aggiornata facilita gli audit e l’evasione delle richieste di informazione delle persone interessate, poiché trattamenti, misure e contratti sono registrati in modo ricostruibile.

Tra i compiti ricorrenti figurano: registrare nuovi trattamenti, verificare le TOM, tenere aggiornati i sub-incaricati e adeguare i contratti di trattamento per conto terzi in caso di modifiche.

Compiti ricorrenti per la tracciabilità

Ponderare i criteri e motivare la decisione

Ogni azienda pondera i criteri in base alle proprie esigenze e al proprio budget.

Protezione dei dati, facilità d’uso, scalabilità, integrazione e consumo di risorse non hanno lo stesso peso per ogni team.

La decisione dovrebbe essere documentata: quali criteri sono stati decisivi? Quali requisiti relativi al trattamento per conto terzi e alla comunicazione di dati sono stati chiariti? Quali interfacce sono necessarie?

Per un eventuale cambio successivo, l’azienda rimane interoperabile se i dati sono esportabili, i contratti regolano la restituzione o la cancellazione e la documentazione registra in modo ricostruibile i trattamenti e i sub-incaricati.

Per la protezione dei dati, crittografia, controllo degli accessi e autenticazione vanno chiariti prima dell’introduzione.

Nell’integrazione, va verificato quali autorizzazioni OAuth esistono e se sono limitate.