Content Aware Protection

I primi controlli sui dati guardavano il contenitore: la porta, l'estensione del file, l'indirizzo di destinazione. La protezione consapevole del contenuto guarda dentro. Lo strumento legge il testo del documento, lo confronta con ciò che l'organizzazione considera riservato e solo allora decide se consentire, registrare, avvisare o bloccare l'azione.

Questa idea sta al centro della prevenzione della perdita di dati. Risponde a una domanda a cui il contesto non sa rispondere: non «chi sta copiando un file su una chiavetta USB», ma «questo file contiene dati sensibili». Così il lavoro ordinario scorre, mentre i pochi documenti che contano restano protetti.

Gli stessi quattro passaggi valgono per posta elettronica, caricamenti web, messaggistica e supporti rimovibili. Possono avvenire al perimetro della rete o sulla postazione di lavoro; un agente sull'endpoint ha il vantaggio di vedere il contenuto prima che venga avvolto in una connessione cifrata.

1. 1

   Definire ciò che conta

   Sicurezza e proprietari dei dati descrivono il contenuto da proteggere: insiemi di parole chiave, modelli come i numeri di carta, documenti di riferimento o etichette applicate ai file.

2. 2

   Intercettare l'azione

   Un agente o un gateway cattura l'operazione nel momento del trasferimento: invio di un messaggio, caricamento di un file, copia su un'unità o incolla dagli appunti.

3. 3

   Analizzare il contenuto

   Il testo viene estratto dal file, anche da archivi e, dove è disponibile il riconoscimento, da immagini, e confrontato con le definizioni del primo passaggio.

4. 4

   Applicare la policy

   Il risultato decide l'azione: consentire, registrare, avvisare l'utente, mettere in quarantena o bloccare, spesso conservando una copia per l'indagine.

Nessuna tecnica da sola copre ogni tipo di dato, perciò gli strumenti ne combinano diverse. La scelta dipende dal fatto che il contenuto segua un modello, appartenga a un documento noto o porti un'etichetta. I documenti da riconoscere anche dopo una modifica richiedono le impronte digitali, mentre i dati che hanno già un'etichetta si riconoscono dall'etichetta stessa.

In Anexet una regola di blocco in base al contenuto usa uno di quattro oggetti di analisi: thesauri di ricerca, somme hash, impronte digitali o etichette di sensibilità. La prima immagine mostra queste schede dentro una regola, la seconda gli insiemi di parole già pronti forniti con la console. Le immagini sono gestite a parte dal riconoscimento del testo.

1 / 2

• 
• 

Le regole solo di contesto decidono per canale, utente, orario o dispositivo: bloccare ogni chiavetta USB o consentire la posta solo verso domini approvati. Sono semplici e prevedibili, ma trattano allo stesso modo il menu della mensa e il database dei clienti. Le regole sul contenuto aggiungono la domanda che mancava e, in pratica, funzionano meglio insieme.

Leggere il contenuto è un'operazione probabilistica. Un numero di sedici cifre può essere una carta o un codice d'ordine, e un insieme di parole costruito con termini comuni scatta su documenti innocui. Troppi falsi allarmi insegnano a chiudere gli avvisi senza leggerli, e così il controllo perde valore.

Restano anche punti ciechi. Un contenuto cifrato prima che lo strumento lo veda, fotografato dallo schermo di un telefono o riscritto con parole proprie può passare. La maggior parte dei dati non strutturati, come documenti, chat e schermate, non ha un formato fisso, quindi le definizioni vanno riviste con regolarità.

Un programma basato sul contenuto funziona quando nasce dai dati che contano di più, non dall'elenco di regole più lungo possibile.

• Elenca i pochi tipi di dati la cui perdita farebbe più male e scrivi una definizione per ciascuno.
• Preferisci impronte o hash per i documenti noti; usa modelli e parole chiave per i dati con un formato o un tema.
• Combina contenuto e contesto, come canale, gruppo di utenti e destinazione, per ridurre i falsi positivi.
• Esegui prima le nuove regole in modalità audit, esamina ciò che rilevano e regola le soglie prima di bloccare.
• Spiega ai dipendenti cosa viene ispezionato e perché; un'azione bloccata con un messaggio chiaro insegna più di una silenziosa.

Parti da un canale e da una classe di dati, di solito la posta o i caricamenti web e i dati di clienti o finanziari. Quando le corrispondenze sembrano giuste, estendi la stessa definizione agli altri canali invece di scriverne di nuove.