Cosa copre il DLP cloud
Il DLP cloud applica i principi fondamentali della prevenzione della perdita di dati, cioè il rilevamento dei contenuti, il monitoraggio e l'applicazione delle policy, ai dati che risiedono nei servizi cloud o vi transitano. Ne fanno parte le piattaforme di archiviazione e sincronizzazione dei file, le suite di collaborazione e i servizi di condivisione dei file.
Il rischio va in due direzioni. Dati sensibili possono essere caricati nei servizi cloud, soprattutto da account personali o non autorizzati. Anche dati già archiviati nel cloud possono essere condivisi in eccesso o esposti, ad esempio tramite un link pubblico.
Tre punti di integrazione
I canali cloud sono coperti in tre punti di integrazione, e ciascuno vede i dati in uno stato diverso. Più vicino all'utente, il DLP per endpoint agisce direttamente sul dispositivo.
| Punto di integrazione | Cosa ispeziona | Esempio |
|---|---|---|
| Basato su API | File archiviati nelle piattaforme cloud (dati a riposo) | Numeri di carta in un foglio di calcolo |
| Ispezione in linea | Traffico verso il cloud attraverso un gateway (dati in transito) | Caricamenti controllati prima di uscire dall'organizzazione |
| Agent sugli endpoint | Trasferimenti sul dispositivo, alla fonte | Trasferimento da un portatile sulla rete Wi-Fi di casa |
Come viene gestito un caricamento bloccato
In tutti e tre i casi il rilevamento si basa sull'analisi del contenuto: dizionari di parole chiave e thesauri, riconoscimento di pattern per gli identificativi, confronto esatto dei file tramite hash, impronte digitali dei documenti ed etichette di classificazione. Ogni regola attivata segue lo stesso percorso:
- 1
Rilevamento
L'analisi del contenuto associa il file a una regola prima che il trasferimento sia completato.
- 2
Decisione
La policy sceglie se bloccare, mettere in quarantena, registrare o inviare un avviso.
- 3
Avviso all'utente
L'utente vede un messaggio che spiega perché il trasferimento non è andato a buon fine.
- 4
Registrazione
L'evento viene salvato con utente, servizio, classificazione del contenuto e azione eseguita.
Perché l'uso del cloud richiede controlli dedicati
L'uso del cloud crea quattro tipi di esposizione, e ciascuno richiede un controllo dedicato. Lo shadow IT è spesso sottovalutato, perché gli account personali restano fuori da tutti i sistemi aziendali.
| Rischio | Cosa significa |
|---|---|
| Shadow IT | Il personale sposta dati di lavoro su account personali che il monitoraggio di rete non vede |
| Responsabilità condivisa | Il fornitore protegge l'infrastruttura. Il contenuto dei file resta responsabilità del cliente. |
| Dispersione | Le copie su unità, spazi condivisi e backup ampliano l'esposizione |
| App di terze parti | Le app collegate tramite OAuth possono leggere i dati aziendali nel cloud senza alcun trasferimento di file |
Scenari tipici
Tre situazioni mostrano come funzionano i controlli nella pratica:
- Un ingegnere carica un database di clienti su un account personale di archiviazione. L'ispezione del contenuto blocca il caricamento prima che sia completato.
- Un contratto riservato si trova su un'unità aziendale con l'impostazione pubblica «chiunque abbia il link». Una scansione dei dati a riposo lo individua.
- Un dipendente in uscita sincronizza in blocco cartelle di progetto su un'unità cloud esterna. Il trasferimento viene segnalato come esfiltrazione di dati.
Come appare in Anexet
Accesso, audit e copia ombra si impostano separatamente per ogni servizio cloud nel profilo dell'agent. Anche l'elenco delle versioni web da intercettare si configura a parte.
1 / 2
Da dove iniziare
Inizia dai dati la cui fuga causerebbe il danno maggiore, poi dai servizi cloud che il personale usa davvero. Le regole scritte per tutti i servizi contemporaneamente finiscono per bloccare il lavoro quotidiano e vengono disattivate. Conviene avviare il controllo dei caricamenti nel cloud su pochi canali, non su tutti insieme.
Se la policy deve coprire dati sensibili, un deployment on-premise mantiene regole, contenuti catturati e log all'interno dell'infrastruttura aziendale.
Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Come acquistare un sistema DLP?.
I dati del cloud raramente escono in un'unica mossa. Escono con una serie di caricamenti ordinari, ciascuno dei quali sembra innocuo.
Anexet TeamCome Anexet affronta questo
Anexet copre i canali cloud tramite i suoi agent sugli endpoint e l'integrazione ICAP, estendendo le stesse policy basate sul contenuto che regolano posta, web e supporti rimovibili allo storage cloud e ai servizi di condivisione file.
Poiché Anexet è distribuito on-premise, le regole di rilevamento, i contenuti catturati e i log di audit vengono elaborati e conservati nell'infrastruttura dell'organizzazione. I dati sensibili non vengono affidati a un fornitore esterno di DLP per l'analisi.
Copertura dello storage cloud
monitoraggio e controllo dei trasferimenti da e verso servizi come Box, Dropbox, Google Drive, OneDrive, SharePoint, MEGA, ownCloud, Nextcloud, WeTransfer e Amazon S3.
Agent sugli endpoint come principale punto di controllo
gli agent sulle postazioni monitorate ispezionano i caricamenti nel cloud alla fonte, anche quelli che aggirano del tutto la rete aziendale.
Rilevamento basato sul contenuto
lo stesso motore di classificazione, thesauri di sicurezza, banche dati di hash, impronte digitali ed etichette di sensibilità. La decisione dipende da ciò che il file contiene, non solo dal servizio di destinazione.
Applicazione della policy e traccia di audit
le policy possono bloccare il trasferimento, metterlo in quarantena, registrarlo o inviare un avviso. Ogni evento registra utente, servizio, classificazione del contenuto e azione eseguita.
Anexet DLP
Scopri di più