Il 62% delle violazioni di dati coinvolge un elemento umano e il 48% passa da una terza parte (Verizon Data Breach Investigations Report, 2026): il confine da difendere non è più quello della rete. Qui trovi le quattro condizioni che rendono verificabile, e non solo dichiarata, un’architettura Zero Trust costruita attorno al file, con la checklist da usare in fase di valutazione.
In poche parole
Il 62% delle violazioni registrate a livello globale coinvolge un elemento umano: una credenziale sottratta, un errore di configurazione, una condivisione fatta nel modo sbagliato. Il 48% passa da una terza parte, un fornitore o un partner a cui l’azienda aveva concesso un accesso legittimo (Verizon Data Breach Investigations Report, 2026). Sono due numeri che raccontano la stessa cosa da due angoli diversi: nella maggior parte dei casi l’attaccante non forza nulla. Entra dalla porta principale, con credenziali vere o con l’accesso di qualcuno che aveva il permesso di stare lì.
Questo smonta un’assunzione che ha guidato vent’anni di investimenti in sicurezza: se il perimetro tiene, il dato è al sicuro. Il perimetro può tenere perfettamente e il dato uscire lo stesso, perché a muoverlo è un account autorizzato, non un intruso che ha scavalcato il firewall. Il caso Santander è la versione documentata di questa dinamica: nessuna difesa perimetrale violata, un fornitore cloud come punto di ingresso.
Firewall, VPN, segmentazione di rete, autenticazione a più fattori: sono misure corrette, e nessuna analisi seria suggerisce di abbandonarle. Restano insufficienti per una ragione strutturale: proteggono l’accesso al sistema che contiene il dato, non il dato stesso. Una volta compromessa la credenziale, o concesso al fornitore terzo un accesso legittimo, il file che circola dentro quel perimetro è leggibile esattamente come quello di chiunque altro.
Il modello nasce in un’epoca in cui i dati risiedevano su server aziendali, dietro un numero limitato di canali di uscita, tutti controllabili dallo stesso reparto IT. Oggi un documento riservato nasce su un laptop, si sincronizza su un cloud personale, viene condiviso con un consulente esterno e aperto da un’applicazione di intelligenza artificiale che l’azienda non governa. Il perimetro, nel frattempo, resta un concetto di rete. Il dato non ci abita quasi più.
La dimensione del fenomeno in Italia aiuta a capire perché la discussione non sia teorica: nel 2025 il Rapporto Clusit ha censito 5.265 incidenti gravi a livello globale, con una crescita del 48,7% rispetto all’anno precedente e del 42% per la sola Italia (Rapporto Clusit, marzo 2026). Sono i numeri che hanno spinto oltre il DLP tradizionale buona parte dei CISO con cui lavoriamo.
Il principio Zero Trust, formalizzato dal NIST nello standard SP 800-207, parte da un’assunzione semplice: nessun utente, dispositivo o applicazione va considerato affidabile per il solo fatto di trovarsi dentro la rete aziendale. Ogni accesso va verificato, ogni volta, indipendentemente dalla provenienza.
Applicato ai soli accessi di rete, questo principio migliora la postura di sicurezza ma lascia scoperto lo stesso punto cieco del modello perimetrale: cosa succede al contenuto dopo che l’accesso è stato concesso. Un utente verificato che scarica un file resta, da quel momento, l’unico controllo rimasto tra il dato e il mondo esterno. Se il suo dispositivo viene compromesso, se il file finisce su uno strumento non approvato, se il fornitore terzo con accesso legittimo subisce a sua volta una violazione, lo Zero Trust di rete non ha più nulla da dire.
La versione file-centric sposta la verifica dal punto di ingresso al dato stesso. Stabilire se un utente può entrare in un sistema non basta: serve fissare, file per file e in ogni momento del ciclo di vita, chi può aprirlo, modificarlo, copiarlo o inoltrarlo, e revocare quel diritto anche dopo che il documento ha lasciato l’ambiente aziendale. È la stessa logica che regge l’architettura Zero Trust applicata ai dati bancari, dove il perimetro non è mai stato sufficiente nemmeno sulla carta.
Un’etichetta commerciale non basta a distinguere un’architettura file-centric reale da una che sposta il linguaggio del marketing sullo stesso perimetro di sempre. Quattro condizioni permettono di verificarla.
Protezione persistente. Il file deve restare cifrato per l’intero ciclo di vita, non solo mentre transita sulla rete aziendale o risiede su uno storage controllato. Se il documento diventa leggibile nel momento in cui esce dall’ambiente presidiato, per esempio una volta scaricato su un dispositivo personale o inoltrato via posta elettronica, la protezione dichiarata è perimetrale con un nome diverso.
Controlli di accesso granulari. Il permesso concesso a un file non può essere una condizione binaria, aperto o chiuso, valida per sempre dal momento della condivisione. Deve distinguere chi legge da chi modifica, prevedere scadenze automatiche e restare modificabile dopo l’invio. Revocare l’accesso a un documento già condiviso, senza doverlo richiamare fisicamente, è la differenza tra un controllo reale e una policy dichiarata sulla carta.
Tracciabilità completa. Ogni apertura, modifica o tentativo di accesso deve generare un log verificabile, con l’identità di chi ha agito, il dispositivo usato e l’esito dell’operazione. È la differenza tra dimostrare in sede di audit chi ha avuto accesso a un dato e quando, oppure ricostruire quella catena a posteriori, spesso senza riuscirci entro i termini di notifica.
Criteri chiari di valutazione del fornitore. Con il 48% delle violazioni che passa da una terza parte, la sicurezza del file dipende anche da chi la fornisce. Chi valuta un’architettura di questo tipo deve poter avere risposte verificabili su dove risiedono le chiavi di cifratura, chi vi accede, compreso il personale del fornitore, e quale roadmap è dichiarata verso algoritmi resistenti al calcolo quantistico come CRYSTALS-Kyber, standardizzato dal NIST come FIPS 203 (ML-KEM) nell’agosto 2024.
FileGrant è la piattaforma file-centric di CyberGrant che cifra i documenti in modo quantum-safe al momento della creazione e mantiene cifratura, permessi e audit trail anche dopo che il file ha lasciato l’azienda. Le quattro condizioni, nel suo caso, sono funzioni verificabili e non dichiarazioni: cifratura persistente con CRYSTALS-Kyber che resta attiva sul download, permessi RBAC con scadenza e revoca post-condivisione, registro attività per file e per cartella, chiavi gestibili on-premise in modalità a conoscenza zero.
Resta un punto che la maggior parte delle aziende italiane incontra subito dopo: i documenti riservati non vivono quasi mai in un’unica piattaforma. Stanno in SharePoint e in OneDrive, dove le etichette di riservatezza di Microsoft Purview coprono i formati Office e lasciano scoperto il resto. Connector di CyberGrant è l’estensione che porta la cifratura quantum-safe di FileGrant dentro SharePoint e OneDrive, senza migrazione: i file restano dove sono, gli utenti mantengono login e abitudini Microsoft, e i documenti cifrati non sono leggibili né dagli amministratori del tenant né da Copilot.
Connector non sostituisce SharePoint, OneDrive o Purview. Si affianca, e copre la parte che in quello stack manca: file non Office, lettura da parte delle AI, apertura da dispositivi non autorizzati. Il meccanismo è descritto nel dettaglio in come cifrare i file su SharePoint senza migrare nulla.
Le quattro condizioni si traducono in domande concrete da porre prima di adottare, o rinnovare, una soluzione di questo tipo:
Nessuna di queste domande riguarda una funzionalità di prodotto. Riguardano tutte una condizione strutturale. Se il fornitore non risponde con dati verificabili, la protezione offerta è probabilmente perimetrale, non file-centric.
La Direttiva (UE) 2022/2555 (NIS2), recepita in Italia con il D.Lgs. 138/2024, sposta la responsabilità della gestione del rischio cyber sui vertici aziendali e impone, all’articolo 21, misure che includono esplicitamente la sicurezza della catena di fornitura. Con quasi la metà delle violazioni che origina da una terza parte, il requisito non è un adempimento formale: è la fotografia di dove si concentra il rischio. Le misure attese entro la scadenza del 31 ottobre 2026 vanno lette in questa chiave.
L’articolo 32 del GDPR chiede dal 2018 misure tecniche e organizzative adeguate al rischio, cifratura compresa. Il Regolamento (UE) 2022/2554 (DORA), applicabile al settore finanziario dal 17 gennaio 2025, estende la stessa logica alla resilienza operativa digitale e alla gestione dei fornitori ICT terzi. Tre riferimenti diversi, tre perimetri diversi, la stessa direzione: la conformità si dimostra sul dato e sulla sua tracciabilità, non su un elenco di strumenti installati.
Per anni la domanda di chi progettava la sicurezza aziendale è stata come tenere fuori chi non doveva entrare. Il 48% di violazioni che passano da fornitori con accesso legittimo, insieme al 62% legato a errore umano, dice che quella domanda da sola non orienta più né un budget né una scelta tecnologica. Quella che conta oggi riguarda cosa resta esposto quando qualcuno, autorizzato o meno, è già dentro, e per quanto tempo un file resta leggibile dopo aver lasciato il perimetro che l’azienda pensava di controllare.
Finché la sicurezza resterà una proprietà della rete e non del dato che la attraversa, ogni nuovo obbligo normativo troverà le aziende a rincorrere lo stesso confine mobile. Le quattro condizioni, e la checklist che ne discende, servono a spostare la domanda da dove comincia sulla carta a dove finisce davvero: nel momento in cui il file, comunque e ovunque, arriva nelle mani sbagliate.
Che cos’è la sicurezza Zero Trust file-centric?
La sicurezza Zero Trust file-centric applica il principio “non fidarsi mai, verificare sempre” al singolo documento invece che alla rete. La cifratura, i permessi e la tracciabilità viaggiano dentro il file e restano attivi anche quando il documento esce dall’azienda, viene scaricato su un dispositivo non gestito o condiviso con un fornitore esterno. FileGrant, la piattaforma file-centric di CyberGrant, implementa questo modello con cifratura quantum-safe applicata alla creazione del documento.
In che cosa differisce dal DLP tradizionale?
Il DLP tradizionale sorveglia i canali di uscita e cerca di bloccare il dato mentre tenta di lasciare il perimetro. Richiede classificazione manuale, genera falsi positivi e non vede nulla quando a muovere il file è un utente autorizzato. La protezione file-centric cifra il documento alla nascita e mantiene il controllo dopo la condivisione, quindi copre anche l’insider legittimo e il fornitore terzo, i due scenari in cui il DLP perimetrale è cieco.
Come si revoca l’accesso a un file già condiviso con l’esterno?
In un’architettura file-centric il permesso non è trasferito insieme al file: resta una decisione che l’azienda può modificare in qualsiasi momento. Con FileGrant un amministratore revoca l’accesso a un documento già inviato senza doverlo richiamare, imposta scadenze automatiche e distingue chi può leggere da chi può modificare o scaricare. Il destinatario conserva il file, ma non può più aprirlo.
Zero Trust file-centric sostituisce SharePoint, OneDrive o Microsoft Purview?
No. Connector di CyberGrant si affianca allo stack Microsoft e non lo sostituisce. I documenti restano in SharePoint e OneDrive, gli utenti mantengono il login Microsoft, e Connector aggiunge la cifratura quantum-safe su ogni file caricato, compresi i formati non Office che le etichette di Purview lasciano scoperti. I file cifrati non sono leggibili dagli amministratori del tenant né da Copilot. Nessuna migrazione è prevista.
Quali evidenze servono per dimostrare la conformità a NIS2 e GDPR sui file condivisi?
Servono log che colleghino ogni accesso a un’identità, a un dispositivo e a un momento preciso, conservati in forma verificabile e consultabili entro i termini di notifica. L’articolo 21 della NIS2 chiede misure estese alla catena di fornitura, l’articolo 32 del GDPR misure adeguate al rischio compresa la cifratura. Un audit trail per file, come quello di FileGrant, produce l’evidenza che un elenco di strumenti installati non può produrre.
Perché la cifratura quantum-safe entra già oggi in una valutazione Zero Trust?
Per la logica “harvest now, decrypt later”: un attaccante archivia oggi dati cifrati che non sa leggere, contando su una capacità di calcolo futura. Per un contratto, una cartella clinica o un brevetto, il valore dura molti anni oltre la data del furto. CRYSTALS-Kyber, standardizzato dal NIST come FIPS 203 (ML-KEM) nell’agosto 2024, è l’algoritmo di riferimento per questa transizione ed è quello usato da FileGrant.