Cosa comprende la categoria
I servizi di messaggistica elettronica sono i canali che trasportano messaggi e allegati tra persone: posta aziendale e webmail, chat interna, piattaforme di collaborazione, messenger di consumo e SMS. Ognuno sposta i dati in modo diverso, quindi una politica scritta per la posta raramente va bene per gli altri.
Per la protezione dei dati la categoria conta perché il messaggio è il modo più comune con cui un'informazione lascia un'organizzazione senza che nessuno lo voglia. Le regole per questi contenuti rientrano nella prevenzione della perdita di dati (DLP), mentre il lato dei file dello stesso problema è coperto dai servizi di condivisione file.
Categorie di servizi di messaggistica
La messaggistica aziendale si appoggia a diversi tipi di servizio. Ognuno trasporta i dati in modo diverso e richiede un'attenzione propria.
| Servizio | Cosa significa per i dati |
|---|---|
| Email aziendale | Registro della comunicazione esterna e punto di partenza delle analisi di incidente |
| Piattaforme di collaborazione aziendale | Condivisione rapida, con destinatari spesso meno delimitati che nell'email |
| Messenger di consumo | Usati per lavoro a prescindere dalla policy, cifrati end-to-end, fuori dal controllo |
| SMS e messaggistica mobile | Basso volume, alta esposizione, spesso su dispositivi personali |
| Applicazioni vocali e video | Chat e trasferimento file durante le chiamate, spesso trascurati nella policy |
| Webmail | Caselle personali aperte dal browser aziendale sembrano normale traffico web |
Perché la messaggistica è il principale canale di fuga
La messaggistica è costruita proprio per l'azione che la protezione dei dati cerca di controllare: inviare un contenuto a qualcun altro. Quattro caratteristiche peggiorano il rischio. Il canale è usato tutto il giorno, quindi il solo volume garantisce errori. La scelta del destinatario è soggetta a sbagli, perché il completamento automatico e i nomi simili causano divulgazioni senza intenzione. Gli allegati portano documenti interi con un clic. E su un dispositivo condiviso, un file inviato in una chat personale invece che nel canale del team è già uscito dall'organizzazione.
L'uso deliberato segue gli stessi percorsi. Il lato accidentale è descritto in divulgazione involontaria, quello deliberato in esfiltrazione dei dati. Per questo il canale non si può semplicemente considerare affidabile né bloccare, perché bloccarlo ferma il lavoro.
Il problema della cifratura
La cifratura end-to-end nasconde il contenuto del messaggio durante il transito e al fornitore del servizio, quindi l'ispezione di rete e di gateway vede solo i metadati: chi ha scritto a chi, quando e quanto era grande l'allegato. Ne derivano due conseguenze. I controlli sul contenuto devono funzionare dove il contenuto è ancora leggibile, cioè sull'endpoint, prima della cifratura o dopo la decifratura, ed è il compito del DLP sugli endpoint. E l'organizzazione non può contare sul fornitore per conservare una traccia di ciò che è stato inviato, un aspetto che conta per le indagini e per gli obblighi di conservazione.
Come si governa la messaggistica
Cinque controlli insieme coprono il canale, dalla politica al contenuto protetto. Ciascuno da solo fallisce: una politica senza ispezione è solo un documento, e un'ispezione senza regole sui destinatari non individua l'errore di indirizzo. Le regole che combinano contenuto e destinazione collegano i controlli tra loro, come descritto nel controllo dei flussi di dati.
| Controllo | Cosa fa | Lacuna tipica |
|---|---|---|
| Politica dei canali | Definisce servizi, dati e dispositivi approvati e indica le alternative | Gli utenti passano a strumenti non approvati quando non viene indicata un'alternativa |
| Ispezione dei contenuti | Verifica messaggi e allegati in base alle regole di classificazione | Vede solo i contenuti ancora leggibili |
| Regole sui destinatari | Limita i domini esterni e segnala i nuovi destinatari | Non può giudicare se un destinatario noto debba vedere i dati |
| Conservazione e archiviazione | Conserva le comunicazioni aziendali per il periodo richiesto dalla normativa | Aggiunge lavoro di archiviazione e revisione per il team |
| Cifratura e tutela dei diritti | Protegge il messaggio stesso, così l'inoltro non lo espone | Il destinatario deve avere un software che apra il file protetto |
Controllo di messaggistica e webmail nella console
Nella sorveglianza delle messaggerie di Anexet ogni messenger web ha un proprio interruttore, quindi l'amministratore decide servizio per servizio quali conversazioni ispezionare. La webmail funziona allo stesso modo. La posta aziendale è gestita dalla sorveglianza della posta elettronica, mentre una casella personale aperta nel browser aziendale si configura a parte.
1 / 2
La dimensione di conformità e il monitoraggio dei dipendenti
I registri della messaggistica sono spesso soggetti a obblighi di legge: regole di conservazione nei servizi finanziari e nel settore pubblico, richieste di accesso ai dati personali ai sensi del GDPR e acquisizione di prove nei contenziosi. Le comunicazioni su servizi di consumo non autorizzati sono difficili da produrre su richiesta, quindi la politica dei canali è una questione di conformità oltre che di sicurezza.
Il monitoraggio delle comunicazioni dei dipendenti è a sua volta regolato in molte giurisdizioni. La governance di solito abbina controlli tecnici a informativa, proporzionalità e, dove richiesto, accordo con i rappresentanti dei lavoratori. Verifica le regole locali prima di attivare l'ispezione di qualsiasi canale.
Da dove iniziare
Parti dai dati la cui fuga farebbe più danni, poi guarda i canali che quei dati usano davvero. Le politiche scritte per ogni file su ogni servizio, tutte insieme, finiscono per bloccare il lavoro e vengono disattivate. Un elenco breve di contenuti protetti e di due o tre canali approvati funziona meglio di un lungo elenco di divieti.
Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Ingegneria sociale contro i sistemi DLP: come proteggere l'azienda dalle fughe di dati.
Le fughe attraverso la messaggistica raramente sembrano attacchi. Sembrano una giornata di lavoro qualunque, una risposta alla volta.
Anexet TeamCome Anexet affronta questo
Anexet monitora la messaggistica dove il contenuto è ancora leggibile, sull'endpoint, così i servizi cifrati sono coperti quanto la email aziendale:
Intercettazione della email
la email aziendale e la webmail sono ispezionate, allegati compresi, con azioni che vanno dalla registrazione al blocco.
Copertura dei messenger
gli agenti sugli endpoint catturano messaggi e trasferimenti file nei messenger e nelle piattaforme di collaborazione più diffusi, inclusi i servizi con cifratura end-to-end, perché l'ispezione avviene lato client.
Policy consapevoli dei contenuti
messaggi e allegati sono valutati da thesaurus di sicurezza (170 dizionari predefiniti), regole di pattern per identificatori strutturati, banche di hash per corrispondenze esatte di file, librerie di impronte digitali per modelli di documenti ed etichette di riservatezza.
Condizioni su destinatario e canale
le regole combinano contenuto e destinazione, così gli indirizzi esterni e personali possono essere trattati diversamente da quelli interni.
Traccia di audit e architettura on-premise
ogni evento di messaggio è registrato con utente, data e ora, servizio, destinatario, classificazione e azione intrapresa, e tutto il contenuto catturato resta nell'infrastruttura dell'organizzazione stessa.
Anexet DLP
Scopri di più