In molte organizzazioni la sicurezza dei dati nel consiglio si considera risolta non appena la piattaforma è cifrata e le certificazioni sono in regola. Una faccenda per l'IT.
Ma le informazioni più sensibili di un'azienda non passano per il reparto IT. Passano per la sala del consiglio di amministrazione. Piani di acquisizione, decisioni sul personale al vertice, rischi legali irrisolti. Chi protegge queste informazioni non protegge file, bensì la capacità di agire dell'organizzazione.
E con ciò la domanda si sposta. Non riguarda più quale cifratura usi una piattaforma, ma chi risponde di che cosa quando accade qualcosa.
Perché il consiglio è un bersaglio particolare
Gli attaccanti seguono il valore, non la via più facile. E in pochi luoghi di un'azienda si concentra tanto valore su così poche pagine come nella preparazione di una riunione del consiglio. Un solo fascicolo di seduta può contenere proprio ciò a cui un concorrente, un attivista o un ricattatore sarebbe interessato.
Questo cambia il quadro dei rischi. Perché mentre il pensiero sulla sicurezza di molte organizzazioni si rivolge al livello operativo, il livello del consiglio resta spesso impigliato in una mescolanza stratificata di allegati e-mail, unità condivise e dispositivi privati.
Il Verizon Data Breach Investigations Report mostra inoltre che la quota di violazioni di dati con il coinvolgimento di terze parti è raddoppiata nell'arco di un anno e rappresenta ormai circa un terzo di tutti gli incidenti. Più consulenti esterni, studi legali e fornitori intervengono sulla documentazione consiliare, più ampia diventa questa superficie d'attacco.
L'architettura di sicurezza è più della cifratura
Chi cerca un software sicuro per la gestione del consiglio si imbatte subito nella stessa lista di termini familiari. Cifratura end-to-end per i dati archiviati e trasmessi, diritti di accesso basati sui ruoli, autenticazione a più fattori, audit trail completi. Meno visibili, ma altrettanto decisivi, sono i permessi granulari sui singoli documenti, un trattamento dei dati conforme al GDPR e un'archiviazione centrale senza copie locali sparse. Tutto questo è necessario. Ma descrive soltanto le fondamenta, non l'edificio.
Decisivo è come un'architettura gestisca la contraddizione fra riservatezza e collaborazione. Un consiglio deve condividere informazioni per funzionare e al tempo stesso impedire che si diffondano senza controllo. Una buona architettura di sicurezza non risolve questo con il maggior numero possibile di serrature, ma con la granularità.
Chi vede quale documento, per quale periodo, con quali diritti? Gli accessi possono essere revocati dopo una riunione o dopo l'uscita di un consigliere? La documentazione resta dove sicurezza e permessi sono regolati centralmente, per esempio in un ambiente Microsoft 365 già esistente, oppure con ogni copia nascono nuovi luoghi di archiviazione non sorvegliati?
Perché ogni copia aggiuntiva di dati aumenta non solo il lavoro, ma anche il rischio. Il documento più sicuro è spesso quello che non è mai stato duplicato.
Una buona gestione documentale è governance
Sicurezza dei dati e gestione documentale vengono spesso considerate separatamente. Nella pratica sono inscindibili. Perché una gestione documentale professionale nel consiglio comprende molto più dell'archiviazione di file. Va dal versionamento automatico, passando per processi di approvazione tracciabili e fascicoli digitali di seduta, fino a termini definiti di conservazione e cancellazione, alla revoca dei diritti di accesso al termine di un mandato e a una gestione centrale di tutta la documentazione deliberativa.
Proprio il versionamento viene spesso sottovalutato. Chi in una situazione critica non riesce più a risalire a quale versione di un documento sia stata alla base di una delibera perde una parte della propria capacità di governance. La gestione documentale non è quindi un compito amministrativo accessorio, piuttosto una parte della responsabilità di un consiglio.
L'audit trail come spina dorsale della responsabilità
L'audit trail viene spesso trattato come un dettaglio tecnico. Ma è un principio di governance.
Documenta in modo completo chi ha visto, modificato o scaricato quale documento e quando, e come si sono formate quali delibere. Suona come controllo, ma riguarda qualcosa di più fondamentale: la responsabilità presuppone la tracciabilità.
Un consiglio che a posteriori non riesce a ricostruire su quale base informativa abbia deciso difficilmente potrà rispondere di quella decisione. L'audit trail è così meno uno strumento di sorveglianza, piuttosto la condizione perché la responsabilità possa essere attribuita. Protegge non solo l'azienda dagli attacchi esterni, ma il consiglio dall'imprecisione della propria memoria.
Quando l'intelligenza artificiale entra nel flusso delle informazioni
Con l'ingresso dell'IA nel lavoro consiliare questo pensiero acquista ulteriore peso. Quando non sono più soltanto le persone a leggere i documenti, ma macchine a riassumere fascicoli, segnalare rischi o preparare briefing, l'audit trail si allarga con una nuova domanda. Quali informazioni ha visto l'IA, come le ha elaborate e su quale base è nato il risultato?
Nasce così una nuova categoria di informazione: contenuto generato dalla macchina che prepara una decisione senza che ogni membro del consiglio abbia letto di persona ogni fonte. Di per sé non è un problema di sicurezza, ma cambia alla radice la questione della responsabilità.
Secondo il Cost of a Data Breach Report di IBM, il 63 per cento delle aziende colpite da una violazione dei dati operava del tutto senza un quadro di governance dell'IA. Al tempo stesso IBM riferisce che già il 16 per cento degli attacchi impiega l'IA, per esempio per campagne di phishing più convincenti. La minaccia diventa dunque più intelligente, mentre la governance in molti luoghi sta appena prendendo forma.
Con ciò lo human-in-the-loop diventa una pratica rilevante per la sicurezza, non una parola alla moda. Una sintesi generata dall'IA può agevolare la verifica umana, non sostituirla. E una piattaforma che impiega l'IA deve rendere tracciabile che cosa abbia fatto la macchina. Altrimenti sposta la responsabilità in un luogo che non può portarne alcuna.
Che cosa offrono davvero gli standard di protezione dei dati
Certificazioni come la ISO 27001 o un data center all'interno dell'UE sono segnali sensati, che i fornitori pubblicizzano di conseguenza volentieri. Sono tuttavia un punto di partenza, non un traguardo. Uno standard descrive che certi processi esistono, non che reggano al momento decisivo.
Per i consigli di amministrazione e le direzioni ne deriva un compito di vigilanza che non si lascia delegare. Quadri normativi come il GDPR, la NIS2 o il Regolamento europeo sull'IA aumentano la pressione, ma la loro configurazione precisa e le scadenze restano in movimento e andrebbero seguite con attenzione.
Più importante che richiamarsi a un certificato è comunque la capacità di comprendere e mettere in discussione la propria situazione di sicurezza. Non: siamo certificati? Bensì: ce ne accorgeremmo se qualcosa andasse storto, e potremmo dimostrarlo?
La vera domanda resta quella sulla responsabilità
La sicurezza dei dati nel consiglio non si compra, va esercitata. La migliore architettura di sicurezza serve a poco se nessuno capisce quali decisioni toglie al consiglio e quali no. E l'audit trail più raffinato resta senza effetto se nessuno lo legge.
Per questo la domanda decisiva nella scelta di una soluzione non è quali funzioni di sicurezza elenchi, ma se renda la responsabilità visibile e attribuibile. Perché nella sala del consiglio digitale vale lo stesso che in quella analogica: la sicurezza non è una proprietà della tecnologia, ma una pratica delle persone che la usano.
Fonti
- IBM, Cost of a Data Breach Report, fra l'altro sulla governance dell'IA e sugli attacchi assistiti dall'IA, ripreso da Marconet: Data Security Governance Best Practices for 2026
- Verizon, 2026 Data Breach Investigations Report, sul raddoppio del coinvolgimento di terze parti: Verizon DBIR
- Akin, sulla responsabilità del consiglio in materia di cybersicurezza e sugli attacchi assistiti dall'IA: Cybersecurity and Operational Resilience: A Board-Level Imperative
