Copia (dei dati)

Nella protezione dei dati, copiare significa creare una seconda istanza dei dati al di fuori della posizione o del formato originali. La copia può essere un file duplicato, un trasferimento tramite appunti o un frammento incollato in un'altra applicazione. L'originale resta dov'era, quindi dalla fonte non scompare nulla in modo visibile, ed è per questo che le copie passano inosservate.

Copiare fa parte del lavoro quotidiano, ed è proprio questo che lo rende difficile da controllare. Incollare un testo tra due finestre è più rapido di qualsiasi processo di approvazione, e la maggior parte delle persone non lo considera un trasferimento. Per i team di sicurezza la domanda utile non è se i dati siano stati copiati, ma che cosa contenga la copia e dove finirà. È un compito centrale della prevenzione della perdita di dati.

La maggior parte delle copie fa parte del lavoro normale. Assumono alcune forme comuni:

La classificazione dei dati e i controlli di accesso sono di solito legati al contenitore: il file, il repository, il database o il record dell'applicazione. Quando i dati vengono copiati, il contenuto viaggia, ma il contenitore resta indietro, con la sua etichetta, i suoi permessi e il suo contesto di audit. Un paragrafo incollato da un documento classificato in un messaggio non porta alcun segno di essere mai stato classificato.

Ogni copia diventa così un'istanza separata e non governata dello stesso contenuto sensibile. Le copie si diffondono oltre il pubblico per cui era pensato l'originale, ed è così che inizia la diffusione incontrollata dei dati.

La copia conta perché è il primo passo della maggior parte delle fughe di dati, deliberate o accidentali. Poiché di solito avviene sull'endpoint, somiglia a normale attività di un'applicazione finché il contenuto stesso non viene ispezionato.

Una fuga deliberata può somigliare a una minaccia interna, in cui qualcuno raccoglie dati a piccoli frammenti senza far scattare le regole sui download di file. Le fughe accidentali sono però più frequenti: un frammento di foglio di calcolo con dati di clienti incollato in una chat pubblica, o una «copia di lavoro» condivisa fuori da una cartella riservata. La sequenza è la stessa nei due casi:

1. 1

   Selezionare il contenuto

   L'utente seleziona dati di clienti, la bozza di un contratto o un frammento di codice in un'applicazione controllata.

2. 2

   Copiarlo

   Il contenuto passa negli appunti, mentre etichetta, permessi e contesto di audit restano indietro.

3. 3

   Incollarlo altrove

   La copia finisce in un'email personale, in una finestra di chat o in un documento fuori dall'azienda.

4. 4

   Inviarlo o salvarlo

   La copia esce dall'organizzazione, e il file originale non conserva alcuna traccia del trasferimento.

Il controllo efficace si concentra sul contenuto, non solo sull'operazione di copia. Ispezionate ciò che finisce negli appunti o viene incollato, confrontatelo con le regole di classificazione e con le impronte digitali dei documenti protetti, quindi consentite, avvisate o bloccate secondo la policy.

Il controllo degli appunti usa gli stessi metodi di ispezione degli altri canali: dizionari tematici, banche di hash, impronte digitali ed etichette di sensibilità. Una copia viene valutata in base a ciò che contiene, non solo per il fatto di essere stata copiata.

• Ogni evento di copia registra utente, orario, applicazione e classificazione del contenuto.
• I dati bloccati possono essere conservati come copia ombra per una revisione successiva.
• Le stesse regole valgono per gli appunti e per gli altri canali, così la policy non dipende dal percorso.
• Tarate le regole su eventi reali prima di attivare il blocco.
• Il controllo degli appunti opera sulla postazione di lavoro, tramite la protezione dei dati sull'endpoint, e vede quindi le copie che non passano mai dalla rete.

Un controllo solo di rete vede i dati soltanto quando lasciano la postazione. Un copia e incolla tra due applicazioni sullo stesso computer non attraversa mai quel confine, quindi la tabella mostra quale approccio può vedere ogni evento:

Nella console Anexet, il controllo degli appunti si attiva per ogni profilo agente. Il profilo stabilisce in quali direzioni viene verificato il contenuto, quali tipi di contenuto vengono intercettati e se i file vengono sottoposti ad audit e le loro copie ombra salvate. Il primo fotogramma mostra queste impostazioni, il secondo la cronologia degli eventi di copia e incolla su una postazione.

1 / 2

• 
• 

Partite dai contenuti la cui fuga causerebbe il danno maggiore, poi mappate i percorsi di copia che le persone usano davvero, appunti compresi. Le regole scritte per tutti i file insieme finiscono per bloccare il lavoro quotidiano e vengono disattivate.

Il controllo degli appunti rende di più come parte di un programma più ampio: stesse classi di dati, stesse regole e stessa traccia di audit su tutti i canali.