Ogni giorno le aziende scambiano migliaia di documenti riservati via posta elettronica. Di fatto, l’email nasce nel 1971 per recapitare messaggi, non per proteggerli. Inoltre, GDPR, NIS2 e DORA richiedono controlli che una casella email standard non può garantire.
Spesso ci si chiede: la posta elettronica è sicura per inviare documenti aziendali riservati? La risposta è no: l’email standard è un canale di consegna, non garantisce controllo post‑invio, revoca, audit e protezione persistente dei documenti. Per dati riservati serve protezione data‑centric (i.e. cifratura, policy e tracciamento) o canali progettati per la riservatezza per rispettare i requisiti del GDPR, della NIS2 e di DORA
Il protocollo SMTP (Simple Mail Transfer Protocol), introdotto nel 1982, è lo standard che consente l’invio di email su Internet. In pratica agisce come un “postino digitale”: prende il messaggio dal client di posta (Outlook, Gmail e simili) e lo consegna al server del destinatario. L’SMTP, a oltre 40 anni dalla sua nascita, continua ad essere il motore della posta elettronica aziendale e veicola ogni giorno contenuti ad alta criticità, tra cui: contratti, dati sanitari, informazioni finanziarie e know-how industriale.
È proprio da qui che nasce il paradosso della sicurezza email: utilizziamo un protocollo progettato per recapitare messaggi, non per proteggere dati sensibili. Continuiamo a farlo per consuetudine, perché la posta è integrata nei flussi di lavoro e perché spesso sottovalutiamo il rischio. La posta elettronica è efficiente per comunicare, ma la sicurezza richiede controlli aggiuntivi applicati al contenuto.
I dati del “Data Breach Investigations Report (DBIR) 2025” di Verizon lo confermano:
L’email tradizionale soffre di limiti strutturali che nessuna password complessa o filtro antispam può risolvere e, precisamente:
Quando ciò che si è descritto sopra si verifica, quasi mai si tratta di un singolo “errore umano”: più spesso è l’esito di un processo progettato male, in cui la scelta meno sicura è anche la più semplice. Basta un invio al destinatario sbagliato perché un documento riservato esca dal perimetro aziendale.
Lo definiamo “errore umano”, ma in realtà è un errore di processo: la via sicura è più lenta, quindi non viene adottata.
Di fatto, un dipendente, se per condividere un documento in modo sicuro, deve aprire una piattaforma separata, generare una password, inviarla su un secondo canale e tenere traccia manualmente degli accessi, l’email “normale” vincerà quasi sempre. Per questo la sicurezza deve essere by design e by default: la strada più semplice deve coincidere con quella più protetta, senza trasformarsi in un ostacolo aggiuntivo.
Anche il phishing è cambiato. Quello “classico” si individuava grazie a refusi, grafica approssimativa o link palesemente sospetti. Il phishing generato con AI, invece, è spesso impeccabile: testi corretti, tono credibile e messaggi personalizzati con dati OSINT (ad esempio informazioni pubbliche ricavate da LinkedIn o da altri social media). Inoltre, può essere prodotto e inviato su larga scala. Ne consegue che il vecchio perimetro di difesa, basato solo sull’attenzione dell’utente, non basta più.
Nell’email tradizionale, dopo l’invio, il destinatario può inoltrare il messaggio a chiunque, salvare l'allegato su dispositivi non gestiti dall'IT aziendale, archiviarlo in caselle personali per anni o condividerlo su piattaforme di terze parti, senza che il mittente lo sappia.
Inoltre, la casella email diventa un archivio non governato: fuori dal sistema documentale aziendale, invisibile all'IT, con anni di storico esposti, nel momento in cui la casella viene compromessa.
Di seguito un’analisi delle principali limitazioni e rischi associati all’email tradizionale.
È importante chiarire un punto: la PEC (Posta Elettronica Certificata) non è una soluzione di sicurezza, dato che serve a fornire prova legale di invio e di ricezione (con data e ora opponibili). Essa, infatti, non cifra il contenuto, non impedisce l’inoltro e non offre un tracciamento affidabile di chi ha aperto o scaricato l’allegato.
Per la riservatezza, serve cifrare il contenuto. Un’email cifrata, basata su standard come S/MIME (Secure/Multi-purpose Internet Mail Extensions) o PGP (Pretty Good Privacy), può proteggere il contenuto sia in transito sia a riposo e soddisfare in modo più completo i requisiti di riservatezza e accountability previsti da GDPR, NIS2 e DORA.
Un tema spesso trascurato nella sicurezza email è la conservazione (data retention). Molte organizzazioni definiscono una retention policy “uguale per tutte” per la casella di posta, fissando un numero di mesi o anni. Il problema è che il GDPR ragiona, invece, per finalità di trattamento e per categorie di dati, non per strumento.
Ad esempio, un contratto può richiedere 10 anni, una comunicazione marketing 24 mesi, mentre i dati sanitari o HR seguono regole specifiche. La casella email, tuttavia, non distingue automaticamente tra questi contenuti e tende a conservare tutto nello stesso archivio. Ciò contribuisce ad aumentare l’esposizione in caso di compromissione, oltre a rendere difficile dimostrare una conservazione davvero conforme, selettiva e verificabile.
Non esiste una soluzione unica per ovviare ai punti di cedimento delle email in termini di salvaguardia dei dati. Tuttavia, si consiglia alle organizzazioni di considerare le seguenti strategie:
La posta elettronica resta uno strumento straordinario per comunicare, ma non nasce per proteggere informazioni riservate. Pertanto, è necessario adottare una strategia data‑centric: proteggere il documento con cifratura e policy di accesso, mantenere controllo post‑invio e governare la retention per finalità. Solo in questo modo l’email resta un canale efficiente, senza diventare il punto debole della protezione dati.