Controllare il trattamento prima di usare dati della pratica
Decidi quale materiale può entrare nello strumento e registra dubbi su accesso o trattamento.
Cosa è cambiato da quando è stato scritto
- Claude Code: controllare i dati diagnostici prima di condividerli
Claude Code 2.1.274 e 2.1.275 hanno corretto casi in cui errori di connessione e registrazioni dei plugin potevano mostrare token di accesso o password. L’aggiornamento non rimuove informazioni già salvate o condivise.
Azione consigliata: Chiedete all’IT di applicare una versione approvata con queste correzioni. Prima di inviare registri o schermate all’assistenza, controllate che non contengano credenziali o dati delle pratiche. Se una credenziale potrebbe essere stata divulgata, interrompete la condivisione e seguite la procedura per gli incidenti dell’organizzazione con il team di sicurezza.
- Computer History può registrare attività al di fuori della chat
Questa funzione facoltativa di macOS salva attività di app e siti come memorie e cronologia. Al lancio escludeva SEE, Regno Unito e Svizzera; l’accesso dipendeva anche dal piano e dalle impostazioni dello spazio di lavoro.
Azione consigliata: Questa funzione può registrare attività in applicazioni e siti web: ottenete l’autorizzazione della vostra organizzazione prima di attivarla. Verificate le esclusioni, come sospendere la registrazione e come eliminare le attività salvate. Provatela prima senza materiale dei clienti; il permesso di usare la chat non copre la registrazione in background.
Fonti: ChatGPT / Codex
- Record & Replay è arrivato in altri paesi europei
L’estensione di luglio ha incluso UE, Regno Unito e Svizzera. Restavano necessari macOS e Computer Use attivo; l’annuncio non riguardava altre funzioni di registrazione.
Azione consigliata: Se volete registrare un’attività per riutilizzarla, verificate prima che Record & Replay sia disponibile e autorizzato nel vostro spazio di lavoro. Esercitatevi con un documento inventato e controllate che la registrazione non contenga materiale indesiderato prima di riutilizzarla. L’annuncio non conferma la disponibilità di Computer History, una funzione distinta.
Fonti: ChatGPT / Codex
- Il materiale esaminato non deve dettare le istruzioni al revisore
Le indicazioni Codex Action hanno chiarito che i file di istruzioni nelle modifiche proposte non sono affidabili, anche se chiamati
AGENTS.md.Azione consigliata: Se usate AI per rivedere modifiche GitHub, chiedete l’origine delle istruzioni affidabili. Trattate le istruzioni nei file presentati come contenuto da esaminare, non come comandi da seguire.
Fonti: Codex Action PR instruction security clarification, Claude Code Action simplified prompt guardrails, Claude Code Action non-user actor handling
- GitHub può rilevare chiavi esposte prima di condividere modifiche
GitHub ha reso generalmente disponibile la scansione tramite strumenti collegati per repository con Secret Protection attivo.
Azione consigliata: Chiedete al responsabile di cercare password e chiavi nelle modifiche prima di condividerle. Una scansione senza segnalazioni non esclude informazioni riservate dei clienti.
Fonti: GitHub MCP Server secret scanning GA, Claude Code GitHub Actions, Claude Code hooks
Prima di incollare testo, caricare un file o collegare una fonte, identifica la pratica, lo scopo, lo strumento, l’account o lo spazio di lavoro e i destinatari del risultato. Usa materiale fittizio finché questi aspetti non sono chiariti. Approvare un prodotto o un piano non autorizza automaticamente ogni funzione o servizio esterno.
Controlli prima dell’uso
-
Conferma l’autorizzazione della tua organizzazione per questo uso, comprese le restrizioni del cliente o della pratica. Verifica i termini applicabili del fornitore e le impostazioni effettive di trattamento, conservazione, uso per l’addestramento, accesso e servizi collegati. Registra la fonte di ogni risposta e le domande aperte per il responsabile della privacy o della sicurezza.
-
Fornisci solo il materiale necessario al compito. Esamina immagini, allegati, commenti e metadati oltre al testo visibile. Sostituire un nome può lasciare un contesto che identifica la persona; non dichiarare anonimo un documento solo perché hai rimosso gli identificativi diretti. Conserva l’eventuale chiave di reidentificazione separatamente, con accesso limitato. ICO (Regno Unito)
-
Conferma il destinatario e il luogo di conservazione del risultato prima di condividerlo. Registra il materiale fornito, l’account o lo spazio di lavoro, la decisione di revisione e i limiti rimanenti secondo le regole interne di conservazione. Se sospetti una divulgazione non autorizzata, ferma l’attività interessata e segui la procedura vigente per gli incidenti.
Esempio fittizio e correzione
Esempio fittizio: un file di prova usa «Persona A», ma un commento contiene il nome originale e il testo identifica l’unico chirurgo di un piccolo villaggio. Il revisore non condivide quel file, prepara materiale di prova interamente fittizio e controlla commenti e contesto. Lo pseudonimo da solo non risolveva la questione della divulgazione.
Valuta la registrazione di schermo e attività separatamente dalla chat. Per Computer History o Record & Replay, verifica disponibilità attuale nella regione e nell’area di lavoro, app o siti registrabili e controlli effettivi di pausa ed eliminazione. Testa attività fittizie e controlla la registrazione salvata prima di riutilizzarla. Lascia la registrazione disattivata finché ambito o autorizzazione restano irrisolti. OpenAI
Per Claude Code: Chiedi all’IT di applicare una versione approvata con le correzioni per le credenziali esposte nei dati diagnostici. Prima di inviare registri o schermate all’assistenza, controlla che non contengano credenziali o dati delle pratiche. Se una credenziale potrebbe essere stata divulgata, interrompi la condivisione e segui la procedura per gli incidenti dell’organizzazione con il team di sicurezza. Claude Code