Data Security Posture Management (DSPM)

Data Security Posture Management (DSPM) parte da una lacuna semplice: la maggior parte delle organizzazioni non sa dire con certezza dove si trovino i propri dati sensibili. Copie di registrazioni dei clienti finiscono in database di test, file personali migrano in cartelle condivise ed esportazioni vecchie restano sui portatili. Il DSPM risponde prima alla domanda che precede ogni altro controllo: quali dati sono sensibili, dove si trovano e chi può raggiungerli.

Un programma DSPM lavora sui dati stessi, non solo sul perimetro. I risultati si raggruppano per classificazione dei dati, come dati personali, finanziari, sanitari e credenziali, e mostrano in quali punti, che nessuno aveva previsto, si trovano dati sensibili.

La maggior parte del lavoro DSPM ripete le stesse quattro fasi, e ogni fase alimenta la successiva.

1. 1

   Scoprire

   Scansionare i luoghi di archiviazione e i repository di file per costruire un inventario di dove i dati si trovano davvero.

2. 2

   Classificare

   Etichettare ciò che è stato trovato per sensibilità e tipo, con corrispondenza di pattern e analisi del contenuto.

3. 3

   Mappare l'esposizione

   Collegare ogni archivio di dati alle persone, ai ruoli e ai sistemi che possono leggerlo o copiarlo.

4. 4

   Dare priorità

   Ordinare i risultati per impatto reale, così che le copie più esposte vengano trattate per prime.

L'adozione del cloud, le piattaforme dati self-service e la copia abituale dei dati di produzione verso ambienti di test, analisi e backup hanno fatto sì che i dati sensibili si diffondessero ben oltre i sistemi progettati per contenerli. I controlli tradizionali davano per scontato che i team sapessero già dove si trovavano quei dati. Il DSPM parte dal presupposto opposto: localizzare i dati è il primo passo, e il più difficile.

La normativa è andata nella stessa direzione. GDPR, HIPAA e PCI DSS richiedono a un'organizzazione di sapere dove risiedono i dati regolamentati e chi può accedervi. Una copia dimenticata in una cartella non mappata è una lacuna anche senza una violazione, e queste copie compaiono spesso negli strumenti di shadow IT che nessuno ha approvato.

Il DSPM viene spesso confuso con due categorie vicine. Tutte e tre affrontano il rischio dei dati, ma ciascuna osserva un livello diverso, per questo un programma completo di solito richiede più di una di esse.

Il DSPM restringe la domanda a dove si trovano i dati sensibili e a chi può raggiungerli. La prevenzione della perdita di dati copre l'altro lato dello stesso problema: controlla i dati in movimento e in uso, e blocca o registra i trasferimenti che violano la policy. Le due funzioni lavorano bene insieme, perché il DSPM indica quali dati meritano una regola e il DLP la applica.

Il CSPM è il livello infrastrutturale e verifica come sono configurati gli account cloud. Un controllo Cloud DLP protegge solo gli archivi a cui è rivolto, quindi l'inventario del DSPM mostra fino a dove quel controllo dovrebbe arrivare.

Sul lato degli endpoint, gli agent di Anexet confrontano gli hash dei file sulle postazioni gestite con le banche degli hash dei documenti riservati. La scheda File system nella console amministrativa mostra quali banche si applicano a ciascun profilo. I thesauri aggiungono l'analisi del contenuto: un set di parole chiave integrato può segnalare un testo che corrisponde a termini come carta di credito o parole legate ai pagamenti.

Il monitoraggio del file system funziona solo sui computer inclusi nell'elenco di indicizzazione, quindi è l'amministratore a stabilire il perimetro dell'inventario. I dettagli del modulo sono nella pagina del software DLP.

1 / 2

• 
• 

Il DSPM mostra la mappa, ma da solo non cambia ciò che vi è rappresentato. La maggior parte delle piattaforme segnala risultati e raccomandazioni, e qualcuno deve comunque modificare un permesso, rimuovere una copia obsoleta o inoltrare l'avviso al team che gestisce il sistema. Anche l'accuratezza della classificazione varia: i campi strutturati, come i numeri di carta, si classificano in modo affidabile, mentre il testo libero e i formati insoliti producono più falsi positivi e falsi negativi.

• Considerare la prima scansione come inventario definitivo. I dati si spostano ogni giorno, quindi una scansione pulita del trimestre scorso dice poco di oggi.
• Aprire risultati senza un responsabile. Le voci che nessuno gestisce restano aperte e erodono la fiducia nell'intero programma.
• Copiare una dashboard invece di correggere l'esposizione. Una mappa su cui nessuno interviene mantiene gli stessi rischi, solo documentati.

Partite dagli archivi la cui fuga farebbe più danno, poi verificate quali canali copiano dati da essi. Una mappa costruita intorno ai dati importanti resta utile per mesi, mentre una mappa di tutto viene ignorata in poche settimane.

Per approfondire: Sicurezza delle informazioni nei database; Il concetto di "Zero Trust".