Cosa rientra nell'archiviazione portatile
La categoria è definita da portabilità e rimovibilità, non da un'unica tecnologia. Per questo le policy costruite su un solo tipo di dispositivo invecchiano male.
L'archiviazione portatile è la parte dei supporti rimovibili che le persone portano da un computer all'altro, e la maggior parte si collega tramite USB.
| Tipo | Perché conta |
|---|---|
| Chiavette USB | Economiche, tascabili, leggibili su quasi qualsiasi computer. Spesso coinvolte negli incidenti. |
| Dischi rigidi esterni e SSD | Capacità dell'ordine dei terabyte in un involucro compatto, alimentati via USB. |
| Schede di memoria | Schede SD e microSD di fotocamere. Piccole e facili da nascondere. |
| Telefoni e fotocamere | Collegati via MTP o PTP, espongono la memoria come volumi rimovibili. |
| Dischi ottici | Ancora usati per archiviazione e consegna di documenti nei settori regolamentati. |
| Unità wireless tascabili | Scambiano file via Wi-Fi o Bluetooth, senza cavo e senza dispositivo visibile. |
Perché comporta un rischio sproporzionato
Una singola unità economica può contenere un intero set di dati regolamentati, quindi un solo trasferimento può significare una perdita totale. Le stesse dimensioni ridotte che rendono il supporto pratico lo rendono facile da smarrire. La perdita di supporti non cifrati è una causa frequente di incidenti da notificare.
Il trasferimento non attraversa mai un gateway, quindi non esiste un log di rete che lo rilevi o che permetta di indagarlo in seguito. Per questo i supporti portatili sono una via silenziosa per l'esfiltrazione di dati. Il canale funziona anche offline e in ambienti isolati. I dispositivi portano dati fuori e codice dentro, e i file provenienti da supporti personali o sconosciuti aggirano le difese perimetrali. Per il sistema operativo, il disco personale di un dipendente, quello di un fornitore e quello di un visitatore sono identici.
Contesto normativo e incidenti
Secondo il GDPR, la perdita di un dispositivo portatile con dati personali è una violazione da valutare e, se presenta un rischio per le persone, da notificare all'autorità di controllo entro 72 ore. Le linee guida HIPAA considerano i supporti non cifrati persi o rubati come da notificare per impostazione predefinita. Il PCI DSS richiede controlli sui supporti che contengono dati dei titolari di carta, tra cui accesso limitato e cifratura.
Gli ambienti ad alta sicurezza spesso vietano del tutto l'archiviazione personale e ammettono solo supporti emessi, inventariati e cifrati, se previsti. La stessa logica arriva agli uffici comuni attraverso l'offboarding: copiare dati su un'unità è un gesto finale tipico di chi se ne va, per questo la policy sui supporti e l'offboarding si progettano insieme, come parte di qualsiasi programma contro la minaccia interna.
Come si controlla l'archiviazione portatile
Il controllo è organizzato a livelli, dalle misure fisiche alle regole basate sul contenuto. I livelli software girano nel DLP per endpoint:
- 1
Misure fisiche
Blocchi delle porte e porte USB limitate nelle aree sicure, oltre al divieto di supporti personali a livello di sede.
- 2
Regole su porta, classe e dispositivo
Il software sull'endpoint consente, blocca o impone l'accesso in sola lettura per classe di dispositivo. Ammette solo dispositivi approvati, identificati da produttore, modello e numero di serie.
- 3
Applicazione della cifratura
La scrittura è consentita solo su supporti che verranno cifrati. Un'unità smarrita diventa quindi una perdita hardware, non un'esposizione dei dati.
- 4
Regole basate sul contenuto
Ogni scrittura viene valutata in base al contenuto del file, non solo al dispositivo. Il canale resta aperto al lavoro legittimo mentre il contenuto regolamentato viene bloccato.
- 5
Registrazione e copie shadow
Ogni operazione sui file viene registrata e, facoltativamente, si conserva una copia di ciò che è stato scritto, un registro che la rete non avrebbe mai avuto.
Progettare una policy applicabile
Una policy sull'archiviazione portatile stabilisce quali categorie di dispositivi sono consentite, per chi e a quali condizioni: registrazione, cifratura, approvazione. Definisce anche come vengono concesse le eccezioni e quando scadono, cosa succede quando un dipendente lascia l'azienda e quali alternative esistono. Dove i dipendenti devono spostare file grandi, un percorso gestito e approvato evita che la policy venga aggirata. Quando le regole sono applicate dal software, il controllo di USB e unità esterne le applica per classe di dispositivo.
L'eccesso di restrizioni ha una modalità di fallimento nota. Quando il percorso approvato è lento, gli utenti passano per account cloud personali, scambiando un canale controllabile con uno non monitorato. Le implementazioni efficaci partono in modalità di monitoraggio, imparano cosa fa davvero l'azienda con i supporti portatili e inaspriscono le regole verso le categorie e i contenuti che contano.
Bloccare tutti i dispositivi già dal primo giorno è il modo più rapido per far disattivare il controllo dei dispositivi.
Come appare in Anexet
Nella console di Anexet DLP, il controllo di dispositivi e archiviazione si attiva per profilo agente, e una regola di blocco può puntare direttamente all'archiviazione esterna.
1 / 2
Da dove iniziare
Inizia elencando quali dati causerebbero il danno maggiore se uscissero dall'azienda, poi verifica quali dispositivi e canali usa il personale per spostarli. Una policy costruita su queste risposte regge il lavoro quotidiano, mentre una policy scritta per tutti i dispositivi insieme tende a essere aggirata.
Per approfondire: Come prevenire l'accesso non autorizzato al tuo computer; Sistemi DLP — che cosa sono e come funzionano.
Un'unità smarrita è una brutta giornata. Una copia che nessuno ha registrato è una violazione che nessuno conosce.
Anexet TeamCome Anexet affronta questo
L'archiviazione portatile è governata da Anexet sull'endpoint, dove avviene la scrittura, combinando regole sui dispositivi con l'ispezione del contenuto, così che le restrizioni siano precise e non generiche:
L'architettura on-premise mantiene le policy sui dispositivi, i contenuti acquisiti e i log all'interno dell'infrastruttura stessa dell'organizzazione.
Controllo USB e delle porte
audit dell'utilizzo dei dispositivi su porte USB, COM e LPT con filtraggio whitelist o blacklist in base agli attributi del dispositivo, numero di serie, produttore, ID di fornitore e prodotto, su categorie che vanno dalle unità ottiche ai dispositivi Windows portatili.
Accesso graduale
ai dispositivi di archiviazione può essere concesso l'accesso completo, limitato alla sola lettura, oppure negato del tutto, con il controllo in scrittura ulteriormente delimitato per processo ed estensione del file.
Applicazione consapevole del contenuto
ogni scrittura su un'unità esterna può essere valutata in base al contenuto, tesauri di sicurezza (35 dizionari predefiniti), banche di hash, librerie di impronte digitali e etichette di sensibilità, così che i trasferimenti di routine continuino mentre il contenuto regolamentato viene bloccato.
Copie shadow e traccia di controllo
le operazioni sui file vengono registrate con nome del file, dimensione e processo, e una copia shadow dei file trasferiti viene conservata per le indagini, un registro completo e attribuibile di chi ha spostato cosa, quando e su quale dispositivo.
Anexet DLP
Scopri di più