Presentare contenuti riservati: protezione dei dati per le riunioni del consiglio di amministrazione

Una presentazione per il consiglio di amministrazione è uno dei documenti più sensibili che la maggior parte delle organizzazioni produca: dati finanziari non ancora pubblicati, trattative di acquisizione, piani di ristrutturazione, informazioni che possono muovere i mercati o stroncare carriere se trapelano in anticipo. Eppure lo strumento usato per presentarla viene spesso esaminato meno di quello usato per prenotare la sala riunioni. La protezione dei dati per le riunioni del consiglio merita lo stesso rigore riservato ai numeri, e comincia con una domanda che quasi nessuno si pone: dove finisce davvero la presentazione quando la avvii?

Questa è una guida pratica a quella domanda, scritta per chi deve trovare una risposta prima della prossima riunione del consiglio, non dopo che qualcosa è andato storto.

La domanda che nessuno si pone finché non è troppo tardi

La maggior parte degli strumenti di presentazione e condivisione dello schermo carica i tuoi contenuti su un server da qualche parte prima di mostrarli agli spettatori. Non è necessariamente un comportamento malevolo, spesso è semplicemente il modo più facile per creare una funzione di condivisione dello schermo, ma significa che la tua presentazione per il consiglio risiede su un'infrastruttura che non controlli, per tutto il tempo previsto dalla politica di conservazione del fornitore.

Per la maggior parte delle presentazioni si tratta di un rischio gestibile. Per una presentazione al consiglio, una discussione su fusioni e acquisizioni o risultati non ancora pubblicati, vale la pena chiederlo direttamente: questo strumento archivia mai i nostri contenuti e, se sì, dove e per quanto tempo? La risposta stabilisce se la tua esposizione termina quando finisce la riunione o se prosegue silenziosamente sul server di qualcun altro molto tempo dopo che tutti hanno chiuso il portatile.

Cosa significa davvero «non lascia mai il tuo dispositivo»

La risposta più solida a questa domanda è architetturale, non procedurale: un contenuto che non viene mai caricato non può essere esposto in una violazione dello strumento di presentazione, punto. È questo il modello adottato dall'app desktop di Cliqer. L'app controlla il tuo software di presentazione (PowerPoint, Keynote, Google Slides e altri) direttamente sul computer che mostra le slide. I comandi di avanzamento delle slide, le posizioni del puntatore e qualsiasi flusso dello schermo o della videocamera viaggiano tramite WebRTC crittografato direttamente tra i partecipanti, oppure attraverso un relay crittografato sulle reti restrittive. Le slide in sé non vengono mai caricate su un server.

Vale la pena spiegare chiaramente questa distinzione a un consiglio o a un team legale: non è che il contenuto sia crittografato mentre è archiviato, è che non esiste alcuna copia archiviata da crittografare.

Cosa viaggia, e come viene protetto

Nulla viene presentato nel vuoto. Alcuni dati si spostano effettivamente tra il livello di coordinamento della stanza e i partecipanti, ed è bene sapere esattamente quali:

Il dettaglio completo, pensato appositamente per le revisioni di sicurezza, si trova nel diagramma dei flussi di dati, che indica anche cosa è transitorio e cosa viene archiviato.

Controllare chi è nella stanza

La protezione dei contenuti è solo metà del lavoro. L'altra metà consiste nell'assicurarsi che nella stanza ci siano le persone giuste, e soltanto quelle.

• L'accesso avviene su invito. Si entra in una stanza con un link o un codice specifico, non tramite un elenco pubblico.
• L'host vede ogni partecipante e può rimuovere o bloccare chiunque durante la sessione.
• Per i team con requisiti di accesso formali, i ruoli del team e l'SSO controllano chi all'interno della tua organizzazione può anche solo pianificare o condurre una sessione del consiglio.

Nel caso specifico di un consiglio, conviene abbinare tutto questo a una semplice regola interna: solo i partecipanti nominativi e attesi accedono al link della sessione vera e propria, mentre tutti gli altri ricevono in seguito una registrazione o un riepilogo scritto anziché il link della sessione dal vivo.

Integrare tutto questo nel tuo processo di governance

Se la tua organizzazione prevede una revisione formale IT o di sicurezza per i nuovi strumenti, le presentazioni a livello di consiglio sono proprio il caso d'uso che dovrebbe avviarne una, anche se lo strumento è già in uso altrove per riunioni meno critiche. La nostra guida su come ottenere l'approvazione del reparto IT per un software AV illustra questo processo, e la checklist di sicurezza per i software di presentazione ti fornisce le domande specifiche da porre.

Per le organizzazioni soggette a obblighi formali in materia di protezione dei dati, le linee guida dell'ICO britannico sul UK GDPR e il board toolkit dell'NCSC sono utili punti di riferimento per inquadrare la questione come un tema di governance anziché puramente tecnico.

Una checklist pratica prima della prossima riunione del consiglio

1. Verifica che lo strumento di presentazione non carichi mai il contenuto delle slide e fattelo mettere per iscritto se è rilevante per il tuo processo di governance.
2. Limita chi riceve il link della stanza ed evita di pubblicarlo in luoghi più accessibili di un invito del calendario inviato ai partecipanti nominativi.
3. Usa le passkey o l'SSO per chiunque abbia un accesso permanente per pianificare o ospitare sessioni sensibili.
4. Verifica che l'host possa vedere e rimuovere i partecipanti durante la sessione e spiega a chi farà da host come farlo.
5. Controlla in anticipo la configurazione di rete se la riunione si svolge su una rete che non conosci; consulta perché i firewall aziendali bloccano gli strumenti di presentazione se prevedi problemi di connettività presso la sede di un cliente o di un partner.

Domande frequenti

Inizia ora

Prima della tua prossima riunione riservata, esamina il diagramma dei flussi di dati con il responsabile del tuo processo di governance, oppure contattaci se il tuo consiglio o il tuo team legale ha bisogno di risposte per iscritto. Consulta la panoramica sulla sicurezza completa per tutto ciò che è disponibile in modalità self-service con il piano Enterprise.