Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?

Ogni organizzazione può subire fughe di dati a causa delle azioni degli insider.

Oggi il controllo della sicurezza informatica non è una questione di fiducia nei dipendenti, ma una necessità strategica, soprattutto considerando il numero crescente di fughe di informazioni causate da utenti interni. Ad esempio, il numero di attacchi da parte di insider è aumentato del 25% nel 2024, e circa il 35% di tutti gli incidenti di sicurezza informatica era in qualche modo legato al fattore umano.

L'inasprimento della normativa in materia di protezione delle informazioni, il significativo aumento delle sanzioni regolatorie e l'introduzione della responsabilità penale per le violazioni riguardanti i dati personali dei cittadini pongono inoltre la questione della creazione di un sistema di protezione delle informazioni affidabile e sostenibile.

In questo articolo esamineremo chi è responsabile della protezione dei dati aziendali, come identificare le potenziali minacce e quali strumenti possono aiutare a prevenire efficacemente le fughe causate da azioni di insider.

Cosa fa un responsabile della sicurezza?

Il responsabile della sicurezza svolge un ruolo chiave nella costruzione di un sistema di protezione dei dati affidabile all'interno di un'organizzazione:

• partecipa allo sviluppo e all'attuazione delle politiche di sicurezza informatica all'interno di un'organizzazione;
• monitora il rispetto delle politiche di sicurezza adottate;
• gestisce gli incidenti di sicurezza informatica;
• promuove la consapevolezza dei dipendenti in materia di cybersicurezza, ossia la formazione del personale sulla sicurezza;
• identifica insider e comportamenti sospetti dei dipendenti.

Per affrontare queste sfide, i responsabili della sicurezza dispongono di vari strumenti, tra cui il DLP. Di seguito vedremo come il nostro DLP può essere utilizzato per identificare gli insider.

Come identificare un insider utilizzando il sistema DLP?

Configurazione delle politiche di sicurezza

Il responsabile della sicurezza attiva le politiche di sicurezza preinstallate nel sistema, le modifica in base alle esigenze dell'organizzazione, oppure ne crea di nuove.

Nel sistema sono già state configurate oltre 180 politiche di sicurezza. Per comodità, le abbiamo suddivise in gruppi come "Attività sospetta", "Fuga di dati bancari", "Fuga di login e password", "Fuga di informazioni" e altri.

Quando la politica viene attivata, il responsabile della sicurezza o un altro dipendente autorizzato riceve una notifica.

Gestione degli incidenti di sicurezza

Quando viene attivata una regola che indica un tentativo di sottrarre informazioni protette o di trasferirle a terzi, il responsabile della sicurezza può:

• condurre un'analisi retrospettiva di un dipendente, ossia valutare quali violazioni ha già commesso, se vi sono complici e quale ruolo ha avuto ciascuna persona nell'incidente;
• monitorare l'attività corrente di un dipendente durante la giornata lavorativa: quali operazioni esegue sui file (inclusi quelli riservati), con quali contatti comunica;
• se necessario, acquisire screenshot del desktop del dipendente con qualsiasi frequenza, nonché collegarsi al microfono o scattare foto dalla webcam per analizzare ciò che accade vicino a una postazione di lavoro.

Importante! Se necessario, è possibile configurare il blocco delle operazioni indesiderate, incluso l'invio di documenti riservati via e-mail e la copia su supporti esterni.

Vediamo come identificare un insider con un esempio reale. Un'azienda cliente subiva fughe di informazioni importanti, per cui è stata presa la decisione di installare il sistema DLP.

Sono state acquisite le impronte digitali dai documenti importanti, sono state configurate le politiche di sicurezza appropriate e sono state impostate le regole di blocco.

Il dipendente dell'organizzazione ha copiato un frammento di informazioni riservate nel mezzo di un documento di più pagine dal titolo neutro, per poi tentare di inviarlo via e-mail a un contatto esterno.

La situazione non appariva sospetta. Si trattava di una lettera tipica e di routine, di cui potrebbero essercene centinaia in una singola giornata lavorativa, anche in una piccola azienda.

Tuttavia è scattata la regola dell'impronta digitale — il sistema ha intercettato il documento, lo ha analizzato per individuare informazioni riservate, ha identificato la corrispondenza con un'impronta digitale precedentemente acquisita e ha bloccato l'operazione.

Il responsabile della sicurezza è stato immediatamente avvisato e la fuga è stata evitata.

L'insider è stato smascherato.

Apertura di un caso

Tutti i dettagli dell'incidente possono essere aggiunti al fascicolo del caso, tra cui:

• documenti dai risultati di ricerca, dal modulo di attività degli utenti, altri file di sistema, file esterni;
• schede degli individui sospettati di essere coinvolti nell'incidente;
• commenti del responsabile della sicurezza che possono essere utili per condurre l'indagine.

Preparazione di report per il management

I fatti raccolti in un caso possono essere compilati in un report conforme alle procedure dell'organizzazione, che il responsabile della sicurezza può presentare al management.

I report dettagliati sugli incidenti possono essere utilizzati per analizzare ed eliminare le vulnerabilità nel sistema informativo, nonché per applicare misure di responsabilità nei confronti del responsabile: dalla formazione sulle tecniche di sicurezza informatica per violazioni minori fino al licenziamento con risarcimento dei danni.

---

In conclusione

Ridurre al minimo i rischi legati alle minacce interne è una parte importante della strategia di sicurezza informatica di un'organizzazione. I sistemi DLP aiutano i servizi di sicurezza a rilevare rapidamente le potenziali minacce, gestire l'accesso ai dati riservati e prevenirne la diffusione non autorizzata.