Violazione, fuga ed esfiltrazione di dati
I tre termini si sovrappongono molto e spesso vengono usati come sinonimi, ma ciascuno enfatizza un aspetto diverso.
La violazione dei dati è il termine giuridico e normativo. Indica che un controllo di sicurezza è fallito e che dati protetti hanno superato il limite previsto. Questo fallimento può far scattare una valutazione e, spesso, una notifica prevista dalla legge.
La fuga di dati è il termine tecnico più ampio. Copre qualsiasi esposizione non autorizzata, qualunque ne sia la causa. Ogni violazione è una fuga, ma non ogni fuga raggiunge la soglia legale di una violazione da segnalare, per esempio quando viene contenuta prima che i dati siano effettivamente visualizzati.
L'esfiltrazione di dati è la rimozione deliberata e occulta di dati da parte di un insider o di un aggressore che ha già ottenuto l'accesso. È un meccanismo specifico con cui può verificarsi una violazione. È sempre intenzionale, mentre una violazione può derivare da semplice negligenza.
I testi normativi definiscono di solito la violazione di dati personali in modo abbastanza ampio da comprendere tutti e tre. L'articolo 4, paragrafo 12, del GDPR la descrive come una violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso a dati personali. La causa può essere un aggressore esterno, un dipendente negligente o un insider malintenzionato.
Cause comuni di una violazione dei dati
Le cause si dividono in base all'origine, esterna o interna all'organizzazione. In pratica, molte violazioni combinano entrambe. Ad esempio, un aggressore esterno usa una credenziale ottenuta con il phishing o acquistata, cioè l'accesso di un insider preso da qualcuno dall'esterno.
L'uso improprio da parte di un insider rientra nei programmi contro la minaccia interna. La divulgazione accidentale è il caso della divulgazione involontaria: nessuno voleva causare danni, ma i dati sono usciti comunque dal loro perimetro.
| Causa | Cosa succede |
|---|---|
| Attacco esterno | Sfruttamento di una vulnerabilità software, malware o credenziali rubate |
| Phishing e ingegneria sociale | Un dipendente viene indotto a rivelare credenziali o a eseguire codice malevolo |
| Uso improprio da parte di un insider | Accesso legittimo usato per vedere, copiare o sottrarre dati fuori ruolo |
| Divulgazione accidentale | E-mail al destinatario sbagliato, bucket cloud pubblico o link senza scadenza |
| Dispositivi smarriti o rubati | Portatile, telefono o disco non cifrato con dati protetti |
| Esposizione tramite terze parti | La violazione di un fornitore espone dati di cui l'organizzazione resta responsabile |
La dimensione giuridica e normativa
Ciò che distingue una violazione dei dati da un incidente puramente tecnico è il livello di obblighi legali che comporta. La maggior parte dei quadri normativi sulla protezione dei dati richiede alle organizzazioni di valutare quali dati siano coinvolti, quante persone siano interessate e quale sia il rischio probabile per loro. Richiede inoltre di notificare l'autorità di controllo, informare le persone interessate quando il rischio è elevato e tenere un registro interno di ogni violazione.
I tempi sono stretti, e superare il termine è di per sé una mancanza di conformità, indipendentemente dalla gravità della violazione. La tabella riassume gli obblighi principali.
Anche il registro interno conta. Le autorità possono chiederlo durante un audit, comprese le violazioni rimaste sotto la soglia di notifica.
| Obbligo | Si applica a | Stato |
|---|---|---|
| Notifica all'autorità di controllo | GDPR, entro 72 ore dalla presa di conoscenza di un rischio probabile | Obbligatoria |
| Comunicazione alle persone interessate | Violazioni che probabilmente comportano un rischio elevato per le persone | Rischio elevato |
| Notifica senza ingiustificato ritardo | La maggior parte delle leggi statunitensi sulle violazioni | Obbligatoria |
| Registro interno delle violazioni | Ogni violazione, incluse quelle sotto soglia | Richiesto |
Impatto di una violazione dei dati
Una violazione costa su più fronti. Le sanzioni del GDPR sono solo uno di questi, e HIPAA, CCPA, LGPD e quadri simili hanno proprie strutture sanzionatorie.
- Sanzioni normative: con il GDPR, fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore
- Costi di notifica: informare le persone, potenziare le linee di assistenza e offrire il monitoraggio del credito
- Danno reputazionale: le violazioni rese pubbliche erodono la fiducia, a volte per anni
- Responsabilità legale: azioni collettive e misure di enforcement normativo contro l'organizzazione
- Interruzione operativa: contenere la violazione e correggere la falla richiedono tempo e risorse
Perché conta il rilevamento rapido
Il costo e l'esposizione legale di una violazione dipendono fortemente dal tempo necessario per rilevarla e contenerla. Una violazione scoperta in poche ore, prima che i dati siano stati visualizzati o sottratti, è un evento molto diverso dalla stessa vulnerabilità sfruttata per mesi senza essere notata.
Per questo i programmi di risposta alle violazioni danno tanto peso al rilevamento e all'indagine quanto alla prevenzione. La prevenzione riduce la frequenza delle violazioni. Il rilevamento determina quanto costano quando si verificano.
Anexet associa ogni evento a una regola di sicurezza e a un livello di rischio, così l'analista vede quali regole scattano e quanti incidenti attendono ancora una verifica. Da qui parte l'indagine sugli incidenti.
1 / 2
Prevenire una violazione dei dati e prepararsi
Nessun controllo da solo elimina il rischio di violazione, quindi i programmi efficaci stratificano le difese. La prevenzione della perdita di dati (DLP) e il controllo degli accessi riducono la frequenza delle violazioni, mentre monitoraggio, cifratura e prontezza nella risposta determinano quanti danni provocano.
| Controllo | Riduce le violazioni | Limita il costo |
|---|---|---|
| Governance degli accessi | ||
| DLP consapevole del contenuto | ||
| Monitoraggio di endpoint e attività | ||
| Cifratura a riposo e in transito | ||
| Prontezza nella risposta agli incidenti |
Da dove iniziare
Inizia dalla classificazione dei dati: stabilisci quali dati farebbero più danni se uscissero, poi mappa i canali attraverso cui circolano davvero. Le politiche scritte per tutti i file insieme finiscono per bloccare il lavoro e vengono disattivate.
Per approfondire: Ingegneria sociale contro i sistemi DLP: come proteggere l'azienda dalle fughe di dati; Fuga tecnica di informazioni: cos'è e come proteggersi?.
Una fuga raramente sembra un attacco. Sembra una normale giornata di lavoro, un trasferimento alla volta.
Anexet TeamCome Anexet affronta questo
Anexet non è un prodotto perimetrale o antimalware e non afferma di fermare un aggressore esterno dal violare una rete; è progettato per operare accanto a un firewall e a un antivirus su quel livello. Il contributo diretto di Anexet riguarda la quota più ampia di violazioni che coinvolgono un account legittimo: un insider che abusa dell'accesso, una credenziale compromessa che si comporta in modo anomalo, o contenuti sensibili che escono attraverso un canale quotidiano come l'e-mail o l'archiviazione cloud.
L'architettura on-premise significa che le prove da cui dipende un'indagine su una violazione; contenuti catturati, log di audit e cronologia del rischio; restano all'interno dell'infrastruttura propria dell'organizzazione, il che conta perché i dati dell'indagine sono a loro volta altamente sensibili.
Categoria di rischio integrata "Fuga di dati"
una delle otto categorie di rischio preconfigurate nelle Politiche di Sicurezza di Anexet segnala automaticamente i trasferimenti conformi a regole sui contenuti sensibili, facendo emergere eventi candidati a violazione per la revisione.
Rilevazione basata sul contenuto
i metodi di classificazione includono tesauri di sicurezza, banche di hash per la corrispondenza esatta dei file, librerie di impronte digitali e integrazione con etichette di sensibilità, in modo che una potenziale violazione sia valutata in base ai dati effettivamente coinvolti.
Copertura completa dei canali
gli agenti endpoint coprono e-mail, web, applicazioni di archiviazione cloud, messaggistica, dispositivi rimovibili, stampa e appunti; i canali quotidiani attraverso cui avvengono la maggior parte delle violazioni al di fuori del perimetro.
Traccia di indagine e audit
ogni evento rilevante viene registrato con utente, timestamp, canale e classificazione del contenuto, fornendo all'investigatore le prove necessarie per delimitare una violazione e rispettare una scadenza di notifica.
Analisi del Rischio
il punteggio di rischio comportamentale evidenzia account e attività che meritano indagine prima che un piccolo incidente diventi una violazione da segnalare.
Anexet DLP
Scopri di più