DLP per endpoint

L'approccio tradizionale collocava l'ispezione al confine della rete, con un apparato che osservava il traffico in entrata e in uscita. Funzionava finché i dati passavano per pochi canali ben definiti, come la posta aziendale e alcuni protocolli web. In un ambiente moderno non regge più, per tre motivi.

La cifratura è ovunque. Quando un utente carica un file su un servizio di archiviazione cloud via HTTPS, l'apparato di rete vede solo un flusso cifrato. Il contenuto del file, proprio ciò che il DLP deve ispezionare, resta invisibile. Il DLP per endpoint vede il file prima che venga cifrato per il transito, perché l'agente ne legge il contenuto al momento del caricamento, sul dispositivo.

I canali sono locali. Copiare un file su una chiavetta USB, stampare un documento o incollare testo in un'applicazione non passa mai dalla rete. Un apparato di rete non vede queste azioni. Un agente sulla postazione sì.

Cloud e SaaS aggirano il perimetro. Quando i dipendenti usano applicazioni cloud direttamente dal browser o da client desktop, il confine di rete smette di essere un unico punto di passaggio. Il DLP per endpoint segue i dati dove vengono effettivamente trattati.

Un agente DLP endpoint svolge quattro funzioni, la prima delle quali si basa sulle regole di classificazione dei dati impostate dall'amministratore:

1. 1

   Ispezione del contenuto

   Quando un file sta per essere trasferito, caricato, inviato per posta, copiato o stampato, l'agente ne valuta il contenuto secondo le regole di classificazione: dizionari di termini, espressioni regolari (numeri di carta, documenti d'identità), corrispondenze esatte, impronte digitali di documenti noti o etichette di riservatezza.

2. 2

   Monitoraggio dei canali

   L'agente sorveglia i canali dai quali i dati possono uscire dal dispositivo: traffico di rete (HTTP/HTTPS, FTP, SMTP), client di posta, webmail, applicazioni di archiviazione cloud, messaggistica istantanea, supporti rimovibili, stampanti, appunti e cattura dello schermo.

3. 3

   Applicazione delle politiche

   In caso di corrispondenza, l'agente può bloccare il trasferimento, mettere il file in quarantena, consentirlo registrando un evento, avvisare l'utente o allertare un analista di sicurezza. La scelta dipende dalla gravità della regola.

4. 4

   Segnalazione degli eventi

   Gli eventi acquisiti arrivano a un server centrale per archiviazione, ricerca e audit. Ogni evento riporta metadati: utente, marca temporale, canale, classificazione del contenuto e azione intrapresa.

Il DLP per endpoint è una delle varianti del DLP, e ciascuna osserva un punto diverso.

Molte organizzazioni adottano una combinazione, per esempio DLP endpoint insieme al DLP cloud. Il DLP endpoint è l'unica variante che garantisce visibilità completa, perché la postazione è l'unico punto da cui passa tutta l'attività degli utenti sui dati.

La tabella mostra dove osserva ciascuna variante, dove è più forte e dove si ferma.

Quattro aspetti pratici contano nell'implementazione del DLP per endpoint.

• Impatto dell'agente. L'agente gira in continuo su ogni postazione, quindi il consumo di processore e disco deve restare contenuto per non disturbare il lavoro. Gli agenti moderni sono leggeri e, in alcune installazioni, non visibili all'utente.
• Copertura delle piattaforme. Gli ambienti aziendali combinano spesso Windows, Linux e macOS, incluso ARM64. L'agente deve supportare tutte le piattaforme in uso, altrimenti restano lacune di copertura.
• Funzionamento offline. Quando la postazione è scollegata dalla rete, l'agente continua ad applicare le politiche in locale e accoda gli eventi per l'invio successivo al server centrale.
• Riservatezza e proporzionalità. Il DLP per endpoint vede gran parte dell'attività dell'utente. L'implementazione richiede quindi una politica chiara, l'informativa ai dipendenti e controlli di accesso ai dati raccolti, in linea con il diritto del lavoro e la normativa sulla protezione dei dati applicabile.

La scheda di ogni postazione nella console elenca l'hardware rilevato dall'agente, con tipo di dispositivo e produttore. L'elenco mostra cosa è collegato alla macchina ed è il punto di partenza per un inventario hardware.

Inizia dai canali che portano più rischio sulle postazioni stesse: chiavette USB, stampa, appunti e caricamenti verso servizi web. Le regole scritte per tutti i file in una volta bloccano il lavoro ordinario e finiscono disattivate, quindi parti da poche regole mirate e ampliale quando gli eventi mostrano come si svolge il lavoro normale.

Controlla gli eventi registrati ogni mese. Le regole che scattano senza motivo sono le prime da correggere, e gli eventi mostrano da quali canali dipende davvero il lavoro.

Per approfondire: Sistemi DLP — che cosa sono e come funzionano; Come acquistare un sistema DLP?.