I tre pilastri della protezione dei dati
La maggior parte delle definizioni di protezione dei dati si basa su tre obiettivi correlati ma distinti. Ogni pilastro protegge gli stessi dati in modo diverso, quindi un programma che ne copre uno solo lascia delle lacune. La tabella mostra cosa significa ogni obiettivo in pratica per i dati sensibili:
| Pilastro | Cosa garantisce | Controlli tipici |
|---|---|---|
| Riservatezza | Solo persone e sistemi autorizzati possono leggere o usare i dati | Controlli degli accessi, cifratura e monitoraggio dei contenuti sensibili |
| Integrità | I dati sono accurati e non sono stati alterati o corrotti | Checksum, controllo delle versioni e log di audit |
| Disponibilità | Gli utenti autorizzati accedono ai dati quando ne hanno bisogno | Backup, ridondanza e piani di disaster recovery |
Protezione dei dati e termini correlati
Il termine protezione dei dati viene spesso usato in modo generico, quindi conviene distinguerlo da tre termini affini:
La sicurezza dei dati è un concetto più ristretto. Riguarda i controlli tecnici, come la cifratura, il controllo degli accessi e i firewall, che mantengono i dati riservati e integri. La protezione dei dati è più ampia e comprende anche backup, ripristino, conservazione e politica del ciclo di vita.
La privacy dei dati riguarda i diritti che le persone hanno sulle proprie informazioni personali: cosa viene raccolto, per quale scopo e con chi viene condiviso. La protezione dei dati è la disciplina operativa che rende concreti questi impegni di privacy.
La data governance definisce regole, responsabilità e accountability su come i dati vengono gestiti in un'organizzazione. La protezione dei dati ne attua il sottoinsieme che mantiene i dati al sicuro.
Principali misure tecniche e organizzative
Le normative che impongono la protezione dei dati, come il requisito del GDPR di “misure tecniche e organizzative adeguate”, non prescrivono un unico set di strumenti. In pratica, però, la maggior parte dei programmi combina gli stessi elementi di base:
- Cifratura dei dati a riposo e in transito, così che i dati intercettati o rubati restino illeggibili senza la chiave.
- Controllo degli accessi e autenticazione, che limitano chi può visualizzare, modificare o esportare i dati in base al ruolo e alle reali necessità.
- Backup e ripristino, con copie recuperabili che impediscano a un guasto hardware, a un ransomware o a un errore umano di causare una perdita permanente.
- Data Loss Prevention (DLP), che monitora e blocca i canali attraverso cui dati sensibili potrebbero uscire dal controllo dell'organizzazione, per errore o intenzionalmente.
- Classificazione dei dati e discovery, per applicare i controlli dove si trova davvero il contenuto sensibile, anziché in modo uniforme o per nulla.
- Politica di conservazione e smaltimento, che mantiene i dati solo per il tempo necessario e poi li sanifica o li distrugge correttamente.
Chi è responsabile della protezione dei dati in azienda
La protezione fallisce quando nessuno è responsabile delle decisioni. Le minacce interne peggiorano il quadro, perché il personale che ha già un accesso legittimo può esporre dati.
| Ruolo | Responsabilità | Accesso |
|---|---|---|
| Proprietario dei datiResponsabile della business unit | Decisioni su classificazione e conservazione | Completo, per i propri dati |
| Custode dei datiAmministratore IT | Archiviazione, backup e controlli tecnici | Solo accesso tecnico |
| Utente dei datiDipendente | Gestione dei dati entro le regole approvate | Solo ciò che richiede il ruolo |
Come appare in Anexet
Nella console di Anexet, i tesauri per parole chiave definiscono quali tipi di contenuto sensibile il sistema riconosce, come numeri di carta, numeri di previdenza sociale o termini finanziari. Una regola di blocco decide poi cosa succede quando quel contenuto compare in un trasferimento. Entrambe si configurano in Anexet DLP, mentre la logica di applicazione è descritta in blocco dei trasferimenti di dati.
1 / 2
Il panorama normativo
La protezione dei dati è anche un termine giuridico. Molti paesi hanno adottato leggi che trasformano alcune di queste misure, da buone pratiche, in obblighi vincolanti.
Il Regolamento generale sulla protezione dei dati dell'UE (GDPR) è l'esempio più influente. Si applica a ogni organizzazione che tratta dati personali di residenti nell'UE e richiede sia garanzie tecniche sia una responsabilità dimostrabile.
Gli Stati Uniti non hanno una legge federale unica sulla protezione dei dati. Si applicano invece regole settoriali, come l'HIPAA per le informazioni sanitarie e il GLBA per i dati finanziari, insieme a leggi statali come il CCPA/CPRA in California.
Altre giurisdizioni hanno adottato quadri comparabili, tra cui la LGPD brasiliana e diverse leggi nazionali sulla protezione dei dati, molte modellate in parte sulla struttura del GDPR.
Queste leggi differiscono per ambito di applicazione e modalità di enforcement, ma condividono una struttura comune. Definiscono cosa conta come dato protetto, obbligano le organizzazioni ad adottare garanzie adeguate e prevedono sanzioni, spesso multe rilevanti, quando i dati vengono esposti per negligenza.
Perché la protezione dei dati è un programma continuo, non un progetto
La protezione dei dati viene spesso trattata come una checklist di conformità una tantum. Il rischio di fondo, però, è continuo: ogni giorno si creano nuovi dati, i dipendenti cambiano ruolo e necessità di accesso, l'archiviazione passa a nuovi servizi cloud e gli attaccanti sviluppano nuove tecniche di esfiltrazione.
I programmi efficaci combinano quindi tre attività permanenti, anziché un unico audit che diventa presto obsoleto:
- 1
Discovery
Individuare in modo continuo dove si trovano i dati sensibili.
- 2
Monitoraggio
Seguire come i dati sensibili si spostano tra i canali.
- 3
Revisione degli accessi
Verificare periodicamente chi ha ancora accesso ai dati.
Da dove iniziare
Parti dai dati la cui fuga causerebbe il danno maggiore, poi mappa i canali che effettivamente utilizzano. Le politiche scritte per tutti i file in una volta sola finiscono per bloccare il lavoro ordinario e vengono disattivate.
Per approfondire: Come posso mantenere al sicuro i miei dati personali?; Utilizza il sistema DLP Anexet Ultimate per la conformità al GDPR.
I dati raramente escono con un'unica mossa spettacolare. Escono attraverso una normale e-mail, una cartella di sincronizzazione o una chiavetta USB.
Anexet TeamCome Anexet affronta questo
Anexet contribuisce a un programma di protezione dei dati principalmente attraverso il suo modulo DLP, che applica la riservatezza e monitora il movimento dei dati sui canali effettivamente utilizzati dai dipendenti.
Rilevamento basato sul contenuto
Tesauri di sicurezza, banche di hash, impronte digitali e integrazione con le etichette di sensibilità identificano i contenuti protetti, come dati personali, documenti finanziari o segreti commerciali, ovunque compaiano nei trasferimenti.
Applicazione su tutti i canali
Gli agent sugli endpoint monitorano e possono bloccare e-mail, traffico web, applicazioni di archiviazione cloud, messaggistica, dispositivi rimovibili, stampa e appunti. In questo modo si chiudono i canali attraverso cui i dati protetti vengono perduti più spesso.
Log di audit per la responsabilità
Ogni evento rilevato viene registrato con utente, timestamp, canale e azione intrapresa, a supporto dei registri di responsabilità richiesti dalle normative sulla protezione dei dati.
Visibilità sul rischio interno
Il monitoraggio delle attività e l'analisi comportamentale segnalano il fattore di rischio interno, cioè insider negligenti o malintenzionati, che gli strumenti basati solo sul perimetro non individuano.
Distribuzione on-premise
Anexet viene installato nell'infrastruttura interna dell'organizzazione e il fornitore non ha accesso ai dati dei clienti. Il controllo dei dati protetti resta quindi nelle mani del loro proprietario.
Anexet DLP
Scopri di più