Risposta breve: una politica di sicurezza documentale per il fax sta in due pagine: chi può inviare e ricevere, dove vivono i file e per quanto tempo, cosa registra il registro delle trasmissioni, come si protegge la carta e come si forma il neoassunto. Bastano otto punti, convalidati dalla direzione e riletti ogni anno. Ecco il modello, pensato per organizzazioni in cui il fax resta obbligatorio.
Perché il fax torna nelle politiche di sicurezza
Sanità, settore legale, assicurazioni, logistica, appalti pubblici: in questi campi il fax resta un canale richiesto dai partner, talvolta previsto dalla normativa stessa. I team di sicurezza ne apprezzano un vantaggio di rado notato: il fax non passa dalla posta elettronica. Un documento trasmesso via fax non può portare allegati trappola né link fraudolenti in attesa di un clic distratto — le due porte da cui entrano i ransomware nelle organizzazioni. Il canale scavalca inoltre i filtri antispam, che bloccano in silenzio messaggi legittimi più spesso di quanto non si pensi.
Quel sollievo digitale non dispensa da nulla: il fax porta rischi propri, questa volta fisici. Una pagina sanitaria dimenticata sul vassoio di una multifunzione accessibile a tutti, un numero composto due volte male, una bozza gettata nel cestino ordinario: errori che né la cifratura né l'antivirus correggeranno mai. È esattamente ciò che una politica di sicurezza documentale va a disciplinare — il fax trattato come ogni altro canale dell'organizzazione, con regole sue.
Le regole concrete: postazione, carta, bozze
Una postazione dedicata, non una macchina nel corridoio
La macchina vive in una zona ad accesso controllato: un ufficio di segreteria, non l'atrio della reception né la sala pausa. Chi non è autorizzato non entra; una multifunzione riservata al fax vale più di una stampante condivisa da cui il primo che passa raccoglie le pagine. Senza macchina, con un servizio online, la regola si sposta sulla postazione: si invia da un account personale, mai da una sessione condivisa senza identificazione individuale.
Il vassoio si svuota, non si riempie
Un fax ricevuto non resta mai più di un'ora nel vassoio: mettete per iscritto chi lo ritira, con quale frequenza e dove vanno poi i documenti. Un fax arrivato per errore non si legge né si fotocopia: torna al mittente o si distrugge secondo la procedura degli incidenti.
Le bozze si distruggono lo stesso giorno
Bozze di battitura, pagine di prova, copie duplicate, liste di invio obsolete: tutto esce dall'ufficio tramite il distruggidocumenti a taglio incrociato collocato accanto alla postazione — mai nel cestino ordinario, mai nel raccoglitore di carta del corridoio. La carta uscita dal flusso non torna mai a fare da bruttacopia.
Il versante digitale del servizio online
La maggior parte delle organizzazioni sostituisce la macchina con un servizio di invio online; la politica deve allora descrivere la catena digitale, con quattro esigenze:
- trasporto cifrato: la trasmissione passa per HTTPS, dal browser al server;
- conservazione cifrata: i file restano cifrati sui dischi del fornitore;
- durata di conservazione: quanti giorni il file resta disponibile dopo l'invio — e chi può eliminarlo prima;
- ubicazione dei server: un'organizzazione europea preferirà un hosting dentro l'Unione, documentato dal fornitore.
Aggiungete la regola degli account: personali, con password propria e doppia autenticazione dove il servizio la offre. Le misure tecniche attese dalla trasmissione stessa sono dettagliate nella nostra guida alla sicurezza delle trasmissioni fax; gli obblighi del titolare del trattamento — base giuridica, registro, responsabili esterni — sono ripassati nel nostro articolo su fax e protezione dei dati.
Registrare: chi ha inviato cosa, e conservare la traccia
Il registro delle trasmissioni è la colonna portante della politica. Ogni invio figura con data, ora, numero composto, numero di pagine e il suo stato consegnato o fallito; la ricevuta corrispondente si archivia con il documento che prova e ne segue la stessa durata di conservazione. Il responsabile designato rilegge il registro ogni mese: un invio fuori dall'orario di apertura, un numero estraneo all'elenco dei partner, un volume insolito — ogni anomalia merita una domanda semplice, fatta presto.
Il registro a sua volta si protegge: accesso ristretto, esportazione mensile archiviata, nessuna cancellazione da parte di chi opera la postazione.
Un modello di politica in otto punti
Copiatelo, adattatelo, fatelo firmare:
- Perimetro — flussi coinvolti, sedi, macchine e servizi online coperti.
- Autorizzazioni — chi può inviare e ricevere; una lista nominativa aggiornata.
- Postazione e accesso — dove si trova la macchina, chi entra nella zona, come si accede al servizio online.
- Carta — frequenza di svuotamento del vassoio, destinazione degli originali, distruzione delle bozze lo stesso giorno.
- File — un unico archivio, regole di nomi, durate per famiglia di documenti, eliminazione dopo l'invio.
- Registrazione — cosa annota il registro delle trasmissioni, come si conservano le ricevute, chi le rilegge e con quale cadenza.
- Formazione — un modulo di accoglienza per i neoassunti, ripetuto a ogni modifica della politica.
- Revisione — rilettura annuale da parte della direzione, con aggiornamento di durate, accessi e lista degli autorizzati.
Formare i neoassunti
La formazione avviene all'arrivo, non dopo il primo incidente. Trenta minuti in postazione bastano: dov'è la macchina, chi può inviare, come controllare due volte il numero, cosa fare di un fax ricevuto per errore, dove finiscono le bozze. Lasciate un promemoria di una pagina affisso alla postazione — se le regole non ci stanno, non staranno da nessuna parte. Il responsabile controlla i primi invii del nuovo, poi annota la sessione nel registro: chi, quando, quale versione della politica. A ogni revisione annuale, la lista dei formati torna sul tavolo.
Due pagine, otto punti, una firma in fondo: questo separa un'organizzazione che subisce i suoi fax da una che li governa.
Tagsecuritergpdorganisationdocumentsfax
