Nel 98% delle organizzazioni italiane che incontriamo c'è SharePoint. Quasi nessuna ha cifrato i file che ci conserva. La colpa non è degli IT director: è di un'assunzione sbagliata, quella che permessi di accesso e protezione del dato siano la stessa cosa. Non lo sono. Questo articolo spiega la differenza e quello che serve per colmarla.

In poche parole

• SharePoint gestisce i permessi di accesso, non cifra i file. Un utente autorizzato può scaricare un documento e portarlo ovunque: fuori dall'azienda, su un dispositivo personale, su un servizio cloud non governato. Quel file è leggibile.
• Microsoft Purview, incluso nel pacchetto E5 a circa 150 euro per utente all'anno, cifra i file Office. Per gli altri formati, o non applica protezione oppure cambia l'estensione: un JPEG diventa PJPEG, un TXT diventa PTXT. Non si aprono con Photoshop, Notepad o Adobe Reader.
• CyberGrant Connector per SharePoint cifra tutti i formati, mantiene le estensioni originali, consente l'editing diretto nel browser e in locale senza passaggi aggiuntivi, e non richiede alcuna migrazione dei documenti.
• La protezione segue il file anche quando viene sincronizzato su un dispositivo personale: se il dispositivo non è autorizzato, il file si scarica ma non si apre.
• L'admin Azure non può aprire i file protetti dal Connector. La segregazione è reale.
• La cifratura usa CRYSTALS-Kyber, lo standard post-quantum NIST FIPS 203 (agosto 2024).

 

Cosa protegge davvero SharePoint?

Se gestisci SharePoint per un'organizzazione di medie o grandi dimensioni, probabilmente hai già risposto alla stessa domanda decine di volte. "I file su SharePoint sono al sicuro?" La risposta dipende da cosa si intende per sicuro.

SharePoint protegge l'accesso: chi può entrare, chi può leggere, chi può modificare, chi può scaricare. È uno strumento di collaborazione e governance documentale, e su questo piano funziona bene. Il problema nasce quando si assume che proteggere l'accesso equivalga a proteggere il file.

Appena un documento esce dal perimetro di SharePoint, sotto forma di download, allegato email, sincronizzazione su OneDrive o copia su USB, il contenuto è in chiaro. Non perché qualcosa abbia fallito: è proprio il comportamento previsto. SharePoint ha fatto il suo lavoro, ossia controllare chi aveva il permesso di scaricare. Da quel momento, la protezione finisce.

Il 62% delle violazioni di dati coinvolge un elemento umano, il 48% passa da una terza parte o da un fornitore (Verizon Data Breach Investigations Report, 2026). In entrambi i casi, spesso l'accesso era legittimo. Un dipendente che porta file a casa, un fornitore esterno che sincronizza una cartella di progetto, un collaboratore che termina il contratto con documenti già scaricati in precedenza: SharePoint non vede questi scenari perché non sono anomalie. Sono operazioni legittime.

Questa non è una critica a SharePoint. È una descrizione di ciò per cui non è stato progettato.

 

Purview cifra tutti i file su SharePoint?

Microsoft ha una risposta a questa lacuna: Microsoft Purview, incluso nel pacchetto E5. La risposta è parziale, e capire dove si ferma è più utile che sapere dove arriva.

Purview cifra i file Office: Word, Excel, PowerPoint, Outlook. Su questi formati la protezione funziona, con qualche limite sulla condivisione esterna che vedremo fra poco.

Per tutti gli altri formati, il comportamento cambia. Un JPEG caricato su un sito SharePoint protetto da Purview diventa PJPEG. Un TXT diventa PTXT. Per aprire quei file serve il visualizzatore proprietario Microsoft: Photoshop non li riconosce, Notepad non li apre, Adobe Reader senza un'integrazione complessa non funziona. Un'azienda che lavora con PDF di progetto, immagini, file AutoCAD, sorgenti software o qualsiasi formato non Office si trova davanti a una scelta: lasciare quei file senza protezione o accettare di non poterli aprire con gli strumenti che usa ogni giorno.

C'è un secondo limite, meno visibile ma rilevante in molti contesti. Un amministratore del tenant Azure con accesso privilegiato può aprire i file protetti da Purview. Non è un bug: è il modello di fiducia di Microsoft. In un'organizzazione dove l'infrastruttura Azure è gestita da un fornitore esterno di servizi, o dove si vuole separare la custodia del dato dall'amministrazione del tenant, questo diventa un problema reale.

Il terzo limite riguarda la condivisione esterna. Inviare un file protetto da Purview a un collaboratore fuori dall'azienda richiede la creazione di un utente nel sistema Azure del mittente. Non è un passaggio impossibile, ma aggiunge un flusso di onboarding che spesso rallenta la condivisione o viene aggirato.

 

Come funziona il Connector di CyberGrant per SharePoint

CyberGrant Connector per SharePoint porta la protezione file-centric direttamente nell'ambiente SharePoint e OneDrive. I file restano dove si trovano: nessuna migrazione, nessun cambiamento nelle librerie, nessuna modifica alle policy di permesso che l'organizzazione ha già configurato negli anni.

La logica è quella che utilizziamo già per gli share di rete con RemoteGrant: i file vengono cifrati automaticamente al caricamento, secondo regole definite a livello di sito o di cartella. L'organizzazione decide quali aree proteggere. Il resto dell'ambiente SharePoint rimane invariato.

Apertura nel browser. I file cifrati si aprono direttamente da SharePoint nel browser, tramite FileGrant, sfruttando l'autenticazione Microsoft già integrata. L'utente non cambia interfaccia, non si autentica su un sistema separato. Vede il file, lo apre, lo modifica.

Apertura in locale. Chi sincronizza i file con OneDrive li apre in locale con doppio clic, come ha sempre fatto. RemoteGrant intercetta l'apertura, decifra in memoria, il documento si apre con l'applicazione nativa. Nessuna copia temporanea viene creata su disco: quando si chiude il file, non rimane traccia locale del contenuto decifrato.

Tutti i formati, nessuna eccezione. JPEG con Photoshop, PDF con il lettore aziendale, PSD, AutoCAD, sorgenti software: il Connector cifra qualsiasi formato e mantiene l'estensione originale. Un JPEG cifrato rimane JPEG. Uno sviluppatore che vuole aprire un file di testo con Notepad può farlo. Un grafico che vuole aprire un PSD con Photoshop può farlo. Il contenuto è protetto; l'esperienza utente non cambia.

Editing diretto e salvataggio in libreria. Aprire, modificare e salvare un documento cifrato avviene senza passaggi aggiuntivi. Le modifiche vengono scritte direttamente nella libreria SharePoint, nella versione aggiornata e ancora cifrata. Non serve deproteggere, modificare, riproteggere, ricaricare. Si apre, si edita, si salva.

Condivisione con l'esterno senza creare utenti Azure. Da SharePoint, con un clic destro, è possibile condividere un file cifrato con un collaboratore esterno tramite FileGrant. Il destinatario riceve il documento con le protezioni attive: blocco screenshot, blocco copia-incolla, revoca post-condivisione. Non serve creare un account Azure.

Protezione dall'admin Azure. La segregazione del dato rispetto all'infrastruttura è una caratteristica dell'architettura, non una configurazione. L'admin Azure non può aprire i file protetti dal Connector, anche con accesso privilegiato al tenant. La custodia del contenuto rimane separata dall'amministrazione dell'infrastruttura.

 

Cosa cambia concretamente per il CIO

La prima conseguenza è sulla postura verso i fornitori di servizi gestiti. Se il tenant Azure è gestito da terze parti, la protezione del contenuto sensibile non dipende più dalla fiducia nel fornitore. I file sono cifrati: anche chi ha accesso amministrativo pieno al tenant non li può aprire.

La seconda riguarda i dispositivi non autorizzati. Oggi, un utente che sincronizza SharePoint su OneDrive personale porta i file aziendali fuori dal perimetro controllato. Con il Connector, il file si sincronizza comunque, ma non si apre su un dispositivo non riconosciuto come autorizzato. Il contenuto è inutilizzabile senza il contesto corretto.

La terza è sul flusso di lavoro. Con Purview, chi vuole modificare un file non Office deve deproteggerlo manualmente prima di aprirlo con l'applicazione nativa, poi riproteggerlo. Con il Connector, questo flusso non esiste. Si apre, si edita, si salva. La protezione non interrompe il lavoro.

Commercialmente, il Connector non è un prodotto separato: è un'estensione di FileGrant. Chi vuole la protezione su SharePoint acquista FileGrant. Chi vuole anche l'apertura sicura in locale aggiunge RemoteGrant. Non è acquistabile come licenza standalone.

 

La crittografia post-quantum sui file SharePoint

La cifratura del Connector usa CRYSTALS-Kyber, lo standard post-quantum definito da NIST con la pubblicazione di FIPS 203 (ML-KEM) nell'agosto 2024. È lo stesso standard che utilizziamo in tutta la suite FileGrant.

Perché questo conta anche per SharePoint. I file che oggi vengono sottratti in forma cifrata potranno essere decifrati quando un computer quantistico sufficientemente potente sarà disponibile. È la logica "harvest now, decrypt later": qualcuno raccoglie i dati adesso e aspetta. Per i file con valore a lungo termine, contratti pluriennali, proprietà intellettuale, dossier clinici, l'orizzonte temporale della minaccia non è distante. È rilevante nella scelta della crittografia che si adotta oggi.

Microsoft Purview non offre crittografia post-quantum.

Per chi vuole approfondire il modello di protezione file-centric alla base di questa architettura: DLP tradizionale obsoleto: i limiti emersi con NIS2. Per la prospettiva tecnica sulla transizione post-quantum: Come prepararsi al futuro post-quantum.

Per tutte le specifiche tecniche del Connector: CyberGrant Connector per SharePoint.

Se vuoi valutare il Connector per il tuo ambiente SharePoint, trovi le specifiche tecniche e i requisiti su CyberGrant Connector per SharePoint, oppure richiedi una demo.

 

Domande frequenti sul CyberGrant Connector per SharePoint

 

Come si cifrano i file su SharePoint con CyberGrant Connector ?

La crittografia è automatica: si definiscono le regole a livello di sito o di cartella SharePoint, e tutti i file caricati in quell'area vengono cifrati con CRYSTALS-Kyber (NIST FIPS 203) senza che l'utente debba fare nulla. Le policy di permesso esistenti su SharePoint restano invariate; cambia solo il livello di protezione del contenuto. Non è necessario migrare i documenti né modificare la struttura delle librerie.

È possibile aprire e modificare un file cifrato su SharePoint con le applicazioni aziendali?

Sì, su tutti i formati. Un JPEG si apre con Photoshop, un PDF con il lettore aziendale, un file AutoCAD con il suo software, un file di testo con Notepad. Il Connector non cambia mai l'estensione del file. L'editing avviene direttamente nel browser o in locale tramite RemoteGrant: le modifiche vengono salvate nella libreria SharePoint senza passaggi aggiuntivi di protezione o ricaricamento.

Quali sono le differenze tra il Connector di CyberGrant per SharePoint e Microsoft Purview?

Microsoft Purview cifra i file Office (Word, Excel, PowerPoint). Per i file di altri formati, cambia l'estensione (JPEG diventa PJPEG) e richiede un visualizzatore proprietario. Il Connector CyberGrant cifra tutti i formati senza cambiare le estensioni. Purview non offre crittografia post-quantum; il Connector usa CRYSTALS-Kyber (NIST FIPS 203). Con Purview, la condivisione esterna richiede la creazione di un utente Azure; con FileGrant basta un clic destro da SharePoint. L'admin Azure può aprire i file Purview; non può aprire quelli protetti dal Connector.

Un amministratore Azure può accedere ai file cifrati con CyberGrant Connector?

No. La protezione dall'amministratore del tenant Azure è una caratteristica dell'architettura del Connector, non una policy configurabile. Anche con accesso privilegiato completo al tenant, l'admin non può aprire né esportare i file cifrati. Questo consente di separare la custodia del dato dall'amministrazione dell'infrastruttura, un requisito rilevante quando il tenant è gestito da fornitori esterni.

Come si condivide un file cifrato su SharePoint con un utente esterno all'azienda?

Da SharePoint, con un clic destro sul file cifrato, si avvia la condivisione tramite FileGrant. Il destinatario riceve il file con le protezioni attive: blocco screenshot, blocco copia-incolla, revoca post-condivisione. Non serve creare un account Azure per il destinatario. La condivisione eredita tutte le funzionalità di FileGrant, inclusa la possibilità di revocare l'accesso al documento dopo l'invio.

Il CyberGrant Connector per SharePoint richiede di spostare i documenti esistenti?

No. I file restano nelle librerie SharePoint esistenti. Non ci sono migrazioni, non cambia la struttura delle cartelle, non si ridefiniscono i permessi già configurati. L'organizzazione decide quali siti o cartelle proteggere: da quel momento, i nuovi file caricati in quelle aree vengono cifrati automaticamente. Il resto dell'ambiente SharePoint rimane invariato.

Cosa succede se un utente apre un file cifrato su un dispositivo personale?

Il file si sincronizza regolarmente tramite OneDrive, ma non si apre su un dispositivo non autorizzato. La cifratura rende il contenuto inutilizzabile senza il contesto corretto: serve un dispositivo riconosciuto come autorizzato dall'organizzazione. Questo vale anche per la sincronizzazione su PC personali di dipendenti in smart working.