Una piattaforma esterna ha aggirato i controlli della Met Police
L’ICO ha colpito la Metropolitan Police Service dopo che gli agenti avevano creato circa 500 account gratuiti su Auror e caricato dati personali di 179 persone senza approvazione formale né verifiche privacy. La notizia non è il singolo accesso improprio: è che una forza di polizia ha lasciato uscire dati sensibili attraverso un SaaS esterno senza passare dai controlli centrali.
Auror era usata per incident report e CCTV, quindi il problema non riguarda un host compromesso ma un canale autorizzativo saltato. Quando il personale di prima linea può adottare strumenti terzi da solo, la superficie di rischio diventa la governance: dati condivisi fuori controllo, accordi mancanti e non conformità che restano anche se i sistemi interni sono integri.
Per chi gestisce forze dell’ordine o ambienti con adozione decentralizzata di SaaS, il caso mostra che i blocchi tecnici e le policy di facciata non bastano se non si riesce a impedire l’uso di piattaforme non approvate. L’esposizione ricade su procurement, privacy e sicurezza insieme, perché il problema è dove finiscono i dati, non solo da quale macchina partono.