Furto di dati e perdita di dati
La perdita di dati è qualsiasi esposizione non autorizzata di dati, intenzionale o meno. Un dipendente che invia per errore un foglio di calcolo alla persona sbagliata causa una perdita di dati.
Il furto di dati è sempre deliberato. La persona rimuove consapevolmente dati che non dovrebbe prendere, con l'intento di usarli al di fuori dell'interesse dell'organizzazione.
La differenza sta nell'intenzione, e questo conta per prevenzione, indagine e risposta. La perdita accidentale si gestisce con formazione, controlli sui processi e DLP che intercetta gli errori. Il furto richiede controlli che tengano conto dell'elusione: chi ruba nasconde le proprie azioni, usa canali autorizzati per confondersi e cancella le tracce.
Cosa viene rubato di solito
La proprietà intellettuale viene spesso portata via da dipendenti che passano alla concorrenza. I dati dei clienti servono per frodi, intelligence competitiva o vengono venduti a terzi. Le credenziali consentono ulteriori accessi o vengono vendute su mercati criminali.
| Categoria | Cosa include |
|---|---|
| Proprietà intellettuale | Codice sorgente, progetti ingegneristici, ricerche, formule, piani di prodotto |
| Dati dei clienti | Elenchi di contatti, dati dei conti, storico degli acquisti |
| Dati finanziari | Modelli di prezzo, termini contrattuali, bilanci, informazioni su fusioni e acquisizioni |
| Credenziali | Password, chiavi API e certificati |
| Informazioni strategiche | Piani aziendali, strategie di marketing, posizioni negoziali, documenti per le autorità |
Chi ruba i dati
I dati vengono rubati da diverse categorie di minacce interne e da attaccanti esterni:
- Dipendenti in uscita: una categoria rilevante. Chi ha accettato un'offerta da un concorrente o è stato informato del licenziamento può copiare dati nelle settimane prima di andarsene.
- Insider scontenti: dipendenti spinti da rancore, senso di ingiustizia o disaccordo ideologico, che possono rubare dati per danneggiare o esporre l'organizzazione.
- Insider motivati dal denaro: persone che rubano dati per venderli, commettere frodi o trarre vantaggio da un'attività parallela.
- Account compromessi: attaccanti esterni che ottengono credenziali legittime e agiscono come un dipendente. L'intento è esterno, ma accesso e attività sono interni.
- Malware: trojan infostealer e APT che automatizzano la raccolta e l'esfiltrazione dei dati.
Metodi comuni
Il furto di dati usa gli stessi canali del lavoro legittimo, per questo è difficile distinguerlo senza un'ispezione dei contenuti. La colonna di destra indica quale parte del DLP sugli endpoint controlla ciascun canale.
| Canale | Come escono i dati | Cosa controlla Anexet |
|---|---|---|
| Account cloud personali | Caricamento su Google Drive, Dropbox o OneDrive personali da un PC aziendale | Controllo dei caricamenti sullo storage cloud |
| Email personale | Invio di file a un indirizzo personale per accedervi in seguito | Intercettazione delle email |
| Supporti rimovibili | Copia su chiavette USB, dischi esterni o supporti ottici | Controllo dei dispositivi con copie ombra |
| App di messaggistica | Invio di file tramite WhatsApp, Telegram, Signal o piattaforme di collaborazione | Monitoraggio di messenger e chat di team |
| Stampa | Stampa di documenti sensibili per portarli via su carta | Monitoraggio della stampa |
| Preparazione dei dati | Raccolta dei file in un unico archivio prima del trasferimento, per ridurre le azioni visibili | Punteggio di rischio comportamentale |
| Fotografia dello schermo | Foto dello schermo con il telefono, aggirando completamente i canali digitali | Solo indirettamente, tramite segnali comportamentali |
Perché il furto di dati è difficile da rilevare
La difficoltà centrale è che ogni azione, presa da sola, è legittima. Un dipendente che carica un file, invia un'email o copia su USB sta facendo ciò che fanno normalmente i dipendenti. Il furto emerge solo nei pattern: cosa viene spostato (contenuto sensibile), quando (a ridosso dell'uscita), quanto (oltre la norma abituale) e verso dove (account personali, destinazioni esterne).
Il rilevamento richiede quindi quattro tipi di segnali, e l'analisi del comportamento di utenti ed entità (UEBA) combina quelli comportamentali:
- Ispezione dei contenuti: cosa viene spostato.
- Baseline comportamentale: se l'attività è insolita per questo utente.
- Consapevolezza del contesto: se l'utente sta uscendo, è sotto indagine o accede a dati insoliti.
- Monitoraggio dei canali: se la destinazione è personale o esterna.
Come appare in Anexet
Copia e incolla all'interno della stessa postazione spostano dati senza alcun trasferimento di file, quindi richiedono una registrazione propria. Anexet la gestisce con il monitoraggio degli appunti: ogni copia è collegata alla sua origine e ogni incolla alla sua destinazione.
Quanto costa il furto di dati
L'impatto del furto di dati va oltre i dati stessi e spesso si presenta in più forme contemporaneamente:
- Danno competitivo: la proprietà intellettuale o i piani strategici rubati vanno direttamente a vantaggio dei concorrenti.
- Danno ai clienti: i dati dei clienti rubati permettono frodi, furto d'identità e violazioni della privacy.
- Sanzioni normative: i dati regolamentati comportano obblighi di notifica e possibili sanzioni (GDPR, HIPAA, CCPA).
- Danno reputazionale: la divulgazione pubblica erode la fiducia di clienti e partner.
- Costi legali: indagini, contenziosi e possibili procedimenti penali.
Da dove iniziare
Parti dai dati che farebbero più danni se uscissero, poi dai canali che effettivamente usano. Le policy scritte per tutti i file insieme finiscono per bloccare il lavoro e vengono disattivate.
La prevenzione è un insieme di controlli, non un singolo trasferimento bloccato. La guida prevenzione del furto di dati copre l'insieme completo.
Per approfondire: Le prime 5 tipologie di dati che i concorrenti cercano di rubare; Come un responsabile della sicurezza identifica un insider utilizzando il sistema DLP?.
Una fuga di dati raramente sembra un attacco. Sembra una normale giornata di lavoro, un trasferimento alla volta.
Anexet TeamCome Anexet affronta questo
Anexet affronta il furto di dati combinando i moduli DLP e di controllo dei dispositivi:
L'architettura on-premise garantisce che i dati di monitoraggio, i punteggi di rischio e il materiale dei casi restino nell'infrastruttura dell'organizzazione, aspetto rilevante, perché i dati di un'indagine su un furto sono a loro volta sensibili.
Rilevamento basato sul contenuto
impronte digitali dei documenti protetti, banche di hash per file specifici, thesauri di sicurezza per i termini legati alla proprietà intellettuale e integrazione con le etichette di riservatezza, così il furto di dati di alto valore viene rilevato in base a ciò che si muove, non soltanto al fatto che qualcosa si muova.
Controllo dei dispositivi
il modulo di controllo dei dispositivi monitora e può bloccare i supporti rimovibili (USB, dischi esterni, supporti ottici, dispositivi mobili usati come memoria) per tipo di dispositivo, numero di serie o identificativo hardware. Le politiche di scrittura con copia ombra conservano una copia di ogni file scritto su supporto esterno, creando una traccia di audit anche quando la scrittura è consentita.
Copertura completa dei canali
gli agenti sulle postazioni monitorano posta, traffico web, applicazioni di archiviazione cloud, messaggistica, stampa, appunti e cattura dello schermo, i canali attraverso cui avviene il furto.
Applicazione dei blocchi
le politiche possono bloccare i trasferimenti che corrispondono a contenuto sensibile, metterli in quarantena per la verifica o generare un avviso.
Punteggio di rischio comportamentale
il motore di analisi del rischio segnala gli utenti il cui comportamento suggerisce accumulo di dati o preparazione di un furto, anche in prossimità dell'uscita dall'azienda.
Indagini e materiale probatorio
il modulo indagini costruisce casi strutturati a partire dagli eventi rilevati, con esportazione del materiale per uso legale o disciplinare.
Funzionalità di controllo dei dispositivi
Scopri di più