La maggior parte degli ospedali statunitensi condivide dati sanitari protetti con laboratori, assicurazioni e medici invianti attraverso piattaforme che smettono di proteggere i file nel momento in cui escono dalla rete. Il file viaggia senza cifratura, l’accesso non si può revocare e l’audit trail finisce al pulsante invia. È il vuoto strutturale che l’enforcement HIPAA continua a far emergere.
CyberGrant FileGrant affronta la condivisione conforme a HIPAA in un altro modo: la protezione vive dentro il file dalla creazione e per ogni condivisione successiva, con una cifratura quantum-safe che resiste fuori dalla rete. Questa guida mette a confronto sei piattaforme pensate per ospedali statunitensi che lavorano su Microsoft 365, per valutare quale mantiene protetti i dati sanitari dopo che hanno superato il perimetro.
I punti chiave
Scegliere una piattaforma di file sharing per un ospedale non è come sceglierla per un’azienda qualsiasi. I dati sanitari portano con sé obblighi precisi sotto la HIPAA Security Rule, e un vuoto in uno solo di questi può far partire un’azione di enforcement. Abbiamo valutato ogni piattaforma su criteri che corrispondono ai rischi reali di tutti i giorni.
Il problema di fondo della maggior parte delle piattaforme è architetturale: proteggono il canale, non il file. Quando il dato sanitario arriva al destinatario, resta scoperto. FileGrant di CyberGrant ribalta il modello. Ogni file viene cifrato alla creazione con la cifratura quantum-safe Lock&Go (CRYSTALS-Kyber, NIST FIPS 203) e quella cifratura resta sul file ovunque vada.
Per un ospedale che condivide referti radiologici con uno specialista esterno o invia dati di trial a una CRO, questo significa che il documento resta cifrato anche sul dispositivo del destinatario. L’accesso si può revocare in qualsiasi momento, anche dopo il download. L’audit trail registra ogni azione: chi ha aperto il file, da quale IP, a che ora.
Connector di CyberGrant estende questa protezione dentro SharePoint e OneDrive, cifrando i documenti già presenti nelle librerie esistenti senza toccare permessi o flussi di lavoro. Il personale clinico continua a lavorare nello stesso ambiente Microsoft 365. Il livello di sicurezza per loro è trasparente.
Funzioni di CyberGrant FileGrant
Pro e contro di CyberGrant FileGrant
| Pro | Contro |
|---|---|
| La cifratura file-centric persiste fuori dalla rete e dopo la condivisione: i dati sanitari restano protetti anche su endpoint non gestiti | Il rollout iniziale richiede coordinamento con gli amministratori Microsoft 365 per configurare Connector sulle librerie SharePoint esistenti |
| La revoca post-condivisione dà controllo in tempo reale su chi può accedere ai documenti clinici, riducendo gli obblighi di notifica | Il deployment on-premise, disponibile per i vincoli di residenza del dato, richiede più pianificazione infrastrutturale di una soluzione solo cloud |
| La gestione delle chiavi a conoscenza zero lascia all’ospedale il controllo esclusivo delle chiavi, senza accesso del vendor ai dati sanitari | Funzioni avanzate come la classificazione AI e la protezione anti-scraping sono disponibili sul piano enterprise |
Box offre una piattaforma di content management cloud che include funzioni di conformità HIPAA sui piani dedicati al settore sanitario. Fornisce BAA, controlli di accesso basati su ruolo e log di audit dettagliati. Box include anche un viewer DICOM e la filigrana, utili nei flussi di imaging.
Gli ospedali che già usano Box per la collaborazione generale possono attivare le impostazioni conformi a HIPAA sui piani idonei. La piattaforma si integra con applicazioni cliniche e amministrative attraverso un ampio ecosistema di partner. Box applica cifratura ai dati at rest e in transit con AES-256 e protocolli TLS.
Funzioni di Box
Pro e contro di Box
| Pro | Contro |
|---|---|
| L’ampio ecosistema di integrazioni collega Box alle applicazioni cliniche e amministrative già in uso | Le funzioni di conformità HIPAA sono disponibili solo sui piani di fascia alta, il che le rende poco accessibili a reparti o ambulatori periferici |
| Filigrana e permessi granulari aiutano a ridurre la distribuzione non autorizzata dei documenti clinici | La cifratura protegge i dati at rest e in transit, ma non resta sul file dopo il download su un dispositivo locale |
| L’interfaccia cloud familiare riduce l’attrito di adozione per il personale non tecnico | L’accesso non si può revocare dopo il download, e questo lascia scoperto il controllo sui dati sanitari inviati all’esterno |
Egnyte offre una piattaforma di content governance che supporta la conformità HIPAA tramite controlli di accesso, classificazione dei file e reportistica di audit. Firma il BAA e offre modelli di deployment cloud e ibrido. Il motore di classificazione di Egnyte può analizzare i file alla ricerca di identificatori sanitari e segnalare i documenti che richiedono protezione aggiuntiva.
Per strutture sanitarie di medie dimensioni che gestiscono file su più sedi, l’architettura ibrida consente il caching locale mantenendo la governance centralizzata. La piattaforma supporta la conformità a HIPAA, GDPR e altri quadri normativi attraverso policy automatizzate e reportistica.
Funzioni di Egnyte
Pro e contro di Egnyte
| Pro | Contro |
|---|---|
| Il deployment ibrido supporta organizzazioni multi-sede che hanno bisogno di accesso locale e controllo centralizzato | La cifratura si applica ai dati at rest e in transit, ma non segue il file una volta condiviso fuori dall’ambiente Egnyte |
| La classificazione automatica dei dati sanitari riduce il carico di revisione manuale | La revoca dell’accesso dopo la condivisione non è disponibile una volta che il destinatario ha scaricato il file |
| La reportistica collega l’attività sui file ai requisiti HIPAA, semplificando la preparazione agli audit | Il motore di classificazione richiede una taratura iniziale sui pattern e sulle convenzioni di nomenclatura specifiche dell’organizzazione |
Kiteworks offre una piattaforma di controllo del dato focalizzata sullo scambio sicuro di file nei settori regolamentati. Fornisce cifratura AES-256 at rest, SSL/TLS in transit, permessi basati su ruolo e log di audit completi. Firma il BAA e si posiziona come piattaforma governance-first per le organizzazioni sanitarie che scambiano dati sanitari con i propri business associate.
La piattaforma supporta flussi di managed file transfer, email protetta e scambio dati esterno attraverso una console amministrativa centralizzata. Gli amministratori definiscono le policy su chi può condividere file, con chi e a quali condizioni. Kiteworks offre anche il wipe remoto dei file archiviati nel suo container mobile sicuro.
Funzioni di Kiteworks
Pro e contro di Kiteworks
| Pro | Contro |
|---|---|
| L’architettura governance-first dà agli amministratori controllo centralizzato su policy di condivisione, permessi e regole di accesso | La piattaforma richiede risorse amministrative dedicate per configurare e mantenere le policy su reparti e partner esterni |
| La virtual appliance irrobustita riduce la superficie di attacco per chi preferisce on-premise o private cloud | La cifratura protegge i dati at rest e in transit, ma non resta sul file dopo il download fuori dalla piattaforma |
| Il wipe remoto aggiunge protezione ai dati sanitari presenti sui dispositivi mobili del personale clinico | La console amministrativa ha una curva di apprendimento che può richiedere formazione per team IT non abituati a piattaforme di governance basate su policy |
SharePoint è già presente nella maggior parte degli ambienti IT ospedalieri statunitensi. Configurato correttamente all’interno di un piano Microsoft 365 Enterprise abilitato per HIPAA e coperto da un BAA firmato con Microsoft, supporta la collaborazione documentale conforme. Offre controllo di versione, co-authoring e integrazione con Teams, Outlook e le altre applicazioni Microsoft 365.
Il punto critico è che con SharePoint la conformità dipende interamente dalla configurazione. Microsoft fornisce gli strumenti, ma è il team IT dell’ospedale a dover limitare i permessi di condivisione, applicare le policy DLP e formare il personale. La configurazione errata è la causa più frequente di esposizione dei dati sanitari negli ambienti SharePoint.
Funzioni di SharePoint
Pro e contro di SharePoint
| Pro | Contro |
|---|---|
| È incluso nella maggior parte degli abbonamenti Microsoft 365 ospedalieri, senza costi di licenza aggiuntivi per la collaborazione di base | La conformità HIPAA dipende dalla configurazione manuale del team IT, e le impostazioni predefinite non sono pronte per HIPAA |
| L’integrazione stretta con Teams, Outlook e OneDrive consente di condividere file dentro flussi di lavoro familiari | I file condivisi all’esterno tramite link perdono la protezione dopo il download, senza possibilità di revoca |
| Policy DLP e Information Barriers offrono controlli configurabili per l’analisi dei dati sanitari e la segmentazione per reparto | Le funzioni di audit avanzate richiedono licenze di compliance aggiuntive (Microsoft Purview) per monitoraggio e alerting |
Se sostituire SharePoint non è un’opzione, e nella maggior parte degli ospedali non lo è, l’alternativa è aggiungere cifratura persistente alle librerie già in uso.
FileCloud offre una piattaforma di file sharing con opzioni di deployment flessibili: self-hosted, cloud o ibrido. Per gli ospedali con requisiti stringenti di residenza del dato, il modello self-hosted consente di mantenere i dati sanitari interamente su infrastruttura controllata dall’organizzazione. FileCloud firma il BAA e include un compliance center HIPAA che collega le impostazioni di sicurezza ai requisiti normativi.
L’elemento distintivo per i reparti con molta imaging è l’anteprima nativa DICOM, che consente ai clinici di visualizzare radiografie, TAC e risonanze direttamente nella piattaforma. Questo riduce la necessità di viewer separati e mantiene i flussi radiologici dentro un ambiente governato.
Funzioni di FileCloud
Pro e contro di FileCloud
| Pro | Contro |
|---|---|
| Il deployment self-hosted dà all’ospedale il controllo completo su dove risiedono i dati sanitari, rispondendo ai vincoli di residenza del dato | Il self-hosting richiede infrastruttura server dedicata, manutenzione, patching e risorse IT interne per tenere aggiornata la piattaforma |
| L’anteprima DICOM nativa supporta i flussi radiologici senza un’applicazione viewer separata | La cifratura copre i dati at rest e in transit, ma la protezione non resta sul file dopo il download fuori dall’ambiente FileCloud |
| Il compliance center offre una mappatura chiara tra configurazione di sicurezza e requisiti normativi | Funzioni di sicurezza avanzate come Smart DLP richiedono piani di fascia superiore, non sempre inclusi nei deployment base |
Le tre colonne qui sotto sono quelle che decidono se un file esfiltrato è leggibile. Per il quadro completo di come la cifratura persistente del file cambia un programma DLP, conta il modello più dell’elenco delle funzioni.
| Piattaforma | Revoca post-condivisione | Cifratura persistente del file | Cifratura post-quantum |
|---|---|---|---|
| CyberGrant FileGrant | ✓ | ✓ | ✓ |
| Box | ✗ | ✗ | ✗ |
| Egnyte | ✗ | ✗ | ✗ |
| Kiteworks | ✗ | ✗ | ✗ |
| SharePoint | ✗ | ✗ | ✗ |
| FileCloud | ✗ | ✗ | ✗ |
La HIPAA Security Rule definisce le misure tecniche che qualsiasi piattaforma che tratta dati sanitari deve supportare. Conoscerle aiuta a capire se la dichiarazione di conformità di un vendor si traduce in protezione reale per i dati dei pazienti.
Quattro categorie di misure tecniche riguardano direttamente la condivisione file: i controlli di accesso, che limitano l’accesso ai soli utenti autorizzati; i controlli di audit, che registrano ogni interazione con i file protetti; i controlli di integrità, che verificano che il file non sia stato alterato in transito; la sicurezza della trasmissione, che cifra i dati durante il trasferimento.
Il Business Associate Agreement è obbligatorio ogni volta che un fornitore crea, riceve, conserva o trasmette dati sanitari per conto dell’organizzazione. Senza un BAA firmato, usare una piattaforma per dati sanitari viola HIPAA a prescindere dalle capacità tecniche della piattaforma stessa. Tutte le piattaforme di questa guida offrono un BAA, ma portata e condizioni variano: conviene leggere il testo prima di dare per scontato che la copertura si estenda a tutte le funzioni e a tutti i modelli di deployment.
La maggior parte delle piattaforme cifra i dati at rest sui propri server e in transit tra gli endpoint. Quella cifratura scompare nel momento in cui il file viene scaricato. Se un dipendente inoltra un referto all’indirizzo sbagliato, o se viene rubato un portatile con dati sanitari scaricati, il file resta scoperto.
La cifratura file-centric cambia l’equazione. Quando la protezione è incorporata nel file alla creazione, il documento resta cifrato ovunque finisca. Un dispositivo rubato restituisce dati illeggibili. Una mail sbagliata contiene un file che senza autorizzazione non si apre.
Secondo la Breach Notification Rule di HIPAA, una cifratura che rende i dati sanitari “inutilizzabili, illeggibili o indecifrabili” per chi non è autorizzato può qualificare l’incidente come non soggetto a notifica. CyberGrant FileGrant applica questo principio a livello architetturale: ogni file è cifrato con chiavi a conoscenza zero che restano all’ospedale, e l’accesso si revoca anche dopo il download. Il risultato pratico è una superficie di attacco più piccola e meno incidenti che fanno scattare gli obblighi di notifica.
La differenza tra CyberGrant FileGrant e le altre piattaforme di questa lista è strutturale, non incrementale. Tutte le concorrenti proteggono i file mentre si trovano sui server del vendor. FileGrant protegge i file ovunque vadano, compresi dispositivi e reti che l’ospedale non controlla.
Per un CISO ospedaliero che sta valutando la condivisione file in ottica HIPAA, la distinzione ha conseguenze operative dirette. La revoca post-condivisione consente di togliere l’accesso a un documento clinico dopo averlo condiviso con un laboratorio esterno o con un’assicurazione. La gestione delle chiavi a conoscenza zero significa che CyberGrant non ha mai accesso né alle chiavi né ai dati sanitari. La cifratura post-quantum (CRYSTALS-Kyber, approvata dal NIST) protegge i file dalle minacce di decifratura future, un aspetto che conta quando una cartella clinica deve restare riservata per decenni.
CyberGrant copre anche rischi che le piattaforme di file sharing tradizionali lasciano aperti. L’anti-screen capture blocca gli screenshot non autorizzati durante le call su Zoom, Meet e Teams. L’anti-AI scraping impedisce agli LLM pubblici di estrarre il contenuto dei documenti protetti. L’esposizione qui è documentata, non teorica: il personale clinico incolla informazioni sui pazienti dentro strumenti AI pubblici, e in Europa il regolatore ha già messo la regola nero su bianco. Le linee guida ENISA 2026 per il procurement degli ospedali stabiliscono che dati sanitari, personali e di sicurezza non vanno inviati a servizi AI esterni senza un’autorizzazione espressa ed esplicita. Negli Stati Uniti nessuna norma nomina ancora l’AI in modo altrettanto diretto. Ma per la HIPAA Security Rule il caricamento su un servizio AI esterno resta una divulgazione di dati sanitari, e deve comunque passare i controlli di accesso.
Se l’ospedale lavora su Microsoft 365, Connector di CyberGrant cifra i file nelle librerie SharePoint e OneDrive già in uso, senza migrazione e senza cambiare i flussi di lavoro. I team clinici continuano a lavorare nello stesso ambiente. La cifratura per loro è trasparente, per un attaccante è invisibile. Richiedi una valutazione gratuita per vedere come FileGrant si inserisce nell’infrastruttura attuale.
Una piattaforma conforme deve supportare le misure tecniche previste dalla Security Rule: controlli di accesso, audit, verifica dell’integrità e sicurezza della trasmissione. Deve inoltre firmare un Business Associate Agreement con l’organizzazione sanitaria. Niente di tutto questo garantisce che il file resti protetto dopo il download. CyberGrant FileGrant aggiunge cifratura persistente a livello di file e revoca post-condivisione, cioè quello che riduce l’esposizione all’obbligo di notifica invece di limitarsi a documentarla.
Sì, all’interno di un piano Microsoft 365 Enterprise idoneo, configurato con policy DLP e restrizioni di accesso adeguate e coperto da un BAA con Microsoft. La responsabilità della configurazione resta interamente al team IT, e la configurazione errata è la causa più frequente di esposizione dei dati sanitari negli ambienti SharePoint. Connector di CyberGrant aggiunge cifratura persistente ai file già presenti in SharePoint e OneDrive, senza sostituire Microsoft 365 e senza migrare nulla.
Gli ospedali condividono ogni giorno cartelle cliniche con laboratori, specialisti, assicurazioni e CRO. Se un file arriva al destinatario sbagliato, o se un rapporto di fornitura si chiude, la revoca post-condivisione consente di togliere l’accesso subito. CyberGrant FileGrant revoca l’accesso in pochi secondi anche dopo il download, trasformando una potenziale violazione HIPAA in un incidente circoscritto.
Secondo l’IBM Cost of a Data Breach Report 2025 una violazione nel settore sanitario costa in media 7,42 milioni di dollari, il valore più alto fra tutti i settori per il dodicesimo anno consecutivo. Lo stesso report indica per gli Stati Uniti una media di 10,22 milioni su tutti i settori, un record. Una cifratura file-centric che persiste fuori dalla rete riduce sia la probabilità dell’incidente sia il suo costo regolatorio.
Sì. CyberGrant offre deployment on-premise con gestione delle chiavi a conoscenza zero: le chiavi di cifratura non lasciano mai l’infrastruttura dell’ospedale e CyberGrant non può leggere i file. È il modello adatto a chi ha vincoli stringenti di residenza del dato e vuole il controllo completo su dove i dati sanitari vengono conservati e trattati.
Purview classifica ed etichetta i contenuti dentro il tenant Microsoft 365 e vi applica le policy. Non cifra tutti i tipi di file, e i file che copre restano leggibili per l’amministratore del tenant e per Copilot. Connector di CyberGrant si affianca a Purview invece di sostituirlo: applica cifratura quantum-safe a conoscenza zero ai documenti in SharePoint e OneDrive, compresi i formati non Office che Purview lascia scoperti, in modo che i documenti clinici cifrati non siano leggibili né dagli amministratori del tenant, né da dispositivi non autorizzati, né da Copilot.
Non necessariamente. La Breach Notification Rule di HIPAA si applica ai dati sanitari non protetti, cioè a quelli che non sono stati resi inutilizzabili, illeggibili o indecifrabili per chi non è autorizzato. Una cifratura che soddisfa quello standard può escludere l’incidente dall’obbligo di notifica. La condizione pratica è che la cifratura regga ancora nel momento in cui il file viene esposto. CyberGrant FileGrant cifra alla creazione e mantiene la cifratura sul file ovunque vada: è questo che rende il safe harbor utile anche fuori dalla rete dell’ospedale.