Servizi di Condivisione File

I servizi di condivisione si dividono in cinque gruppi, dalle piattaforme aziendali governate ai trasferimenti una tantum praticamente anonimi. A differenza del trasferimento di file diretto, la condivisione lascia il file dove si trova e dà ad altri accesso a esso.

L'esposizione più comune non riguarda un servizio esotico, ma un account personale su uno familiare. Due account sullo stesso dispositivo appaiono identici all'utente, e un file trascinato nella cartella sincronizzata sbagliata può lasciare l'organizzazione senza che nessuno se ne accorga.

Uso autorizzato e non autorizzato condividono gli stessi domini e protocolli. Distinguerli richiede un'ispezione basata sull'identità o una visibilità sull'endpoint, perché il blocco di un dominio non separa il tenant aziendale da quello personale. Lo stesso schema si ripete con lo Shadow AI, cioè con strumenti di IA non approvati.

I link condivisi presentano cinque debolezze ricorrenti:

• Accesso slegato dall'identità: chi possiede il link di solito può aprire il file.
• Inoltro: i link incollati nei messaggi estendono l'accesso oltre il pubblico originario.
• Persistenza: i link che non scadono mai continuano a funzionare quando la ragione di business è finita.
• Permessi troppo ampi: modificare un link è a un clic dall'accesso a tutta l'organizzazione, e così una piccola condivisione può diventare una fuga di dati.
• Audit debole: i destinatari esterni spesso non sono autenticati, quindi il log non mostra alcuna persona.

Una policy efficace è granulare, non assoluta. Le misure tipiche sono autorizzare piattaforme specifiche e configurarle correttamente, invece di vietare la condivisione in generale, e limitare i client di sincronizzazione ai tenant aziendali, così che gli account personali non possano essere montati sui dispositivi gestiti.

Il rilevamento viene prima, perché l'applicazione copre solo ciò che è noto. Parta dalla scoperta dei servizi già in uso.

1. 1

   Trovare le condivisioni attive

   Elenchi i servizi di condivisione e i link esterni già in uso. La maggior parte delle organizzazioni ne sottostima il numero.

2. 2

   Approvare e configurare le piattaforme

   Autorizzi servizi specifici e configuri correttamente ciascuno, invece di vietare la condivisione in generale.

3. 3

   Limitare i client di sincronizzazione

   Li consenta solo sui tenant aziendali, così gli account personali non vengono montati sui dispositivi gestiti.

4. 4

   Richiedere scadenza e autenticazione

   Imposti scadenza e autenticazione per i link esterni e limiti la condivisione pubblica a un piccolo insieme di contenuti approvati.

5. 5

   Ispezionare gli invii e revocare

   Ispezioni gli invii per contenuto, così i dati regolamentati si fermano prima di uscire, e revochi periodicamente le condivisioni inattive.

La condivisione decide dove risiedono i dati e chi li elabora. Ne derivano direttamente obblighi di protezione dei dati: base giuridica e regole di trasferimento per i dati personali ai sensi del GDPR, requisiti di conservazione e la capacità di rispondere alle richieste di accesso e cancellazione per contenuti custoditi su una piattaforma di terzi.

Un account personale che contiene registrazioni di clienti è un trattamento che nessuno ha valutato. Per questo la condivisione non autorizzata è trattata come un rilievo di conformità, non solo di sicurezza.

Nel monitoraggio dello storage cloud, la tabella di controllo dei cloud definisce accesso, audit e copia shadow per ogni servizio. Un elenco separato copre le versioni web degli stessi servizi.

1 / 2

• 
• 

Parta dai servizi di condivisione già usati sui dispositivi gestiti, decida poi quali sono approvati e imposti le regole in Anexet DLP. Una policy che blocca tutti i link in un colpo solo spinge spesso le persone verso account personali, e con essi torna lo stesso rischio.

Tenga breve l'elenco delle piattaforme approvate e lo riveda quando cambia l'attività.

Per approfondire: Prevenzione delle fughe di dati da parte dei superuser.