Dati Sensibili

I dati sensibili sono una categoria ampia. Una scheda cliente, una cartella clinica, un numero di carta e il progetto di un prodotto richiedono tutti protezione, anche se hanno poco in comune. Ciò che li accomuna è che la loro divulgazione può danneggiare una persona o un'organizzazione, sul piano legale, economico o reputazionale.

Il concetto comprende i dati strutturati di database e log, ma anche i contenuti non strutturati, come documenti, fogli di calcolo e messaggi di chat. Prima di proteggere questi dati, un'azienda deve sapere cosa è sensibile nel proprio ambiente, ed è questo il compito della classificazione dei dati.

I dati sensibili vengono di norma raggruppati in categorie riconosciute. I dati personali, per esempio, identificano una persona specifica, direttamente o se combinati con altri dati. La tabella mostra i gruppi principali e le regole che in genere si applicano a ciascuno.

Non esiste un'unica lista universale di dati sensibili. Ogni quadro normativo li definisce per il proprio ambito:

Leggi regionali e settoriali, come il CCPA e il CPRA della California, aggiungono definizioni proprie. Per questo le organizzazioni mantengono di solito un inventario interno dei dati collegato a ogni quadro applicabile.

• Il GDPR protegge i dati personali, cioè qualsiasi informazione su una persona identificabile. Le categorie particolari dell'articolo 9 richiedono una giustificazione aggiuntiva prima del trattamento.
• L'HIPAA definisce le informazioni sanitarie protette come dati sanitari creati o gestiti da un soggetto coperto in qualsiasi forma: elettronica, cartacea od orale.
• Lo standard PCI DSS si concentra sui dati del titolare della carta. Dopo l'autorizzazione vieta di memorizzare i dati di autenticazione sensibili, come le tracce complete, il CVV e il PIN.

Gli strumenti di rilevamento combinano più metodi, ognuno con punti di forza diversi:

• Tesauri: liste di parole chiave per un tema, come i termini legati alle carte di credito o il lessico finanziario.
• Pattern: espressioni regolari che individuano identificativi, come i numeri di conto bancario, i codici postali o il formato del codice SSN statunitense.
• Impronte digitali e banche di hash: rilevamento di copie esatte e modelli di documenti noti.
• Etichette di sensibilità: contenuti che portano già un'etichetta di sensibilità Microsoft.

Le definizioni variano da un quadro all'altro e i contenuti sensibili sono sparsi tra molti sistemi. La perdita di controllo porta a sanzioni, obblighi di notifica delle violazioni e danni reputazionali, perciò il primo passo pratico è scoprire e classificare. I dati sensibili sono l'oggetto centrale della prevenzione della perdita di dati (DLP), che può proteggere solo ciò che trova.

1. 1

   Scoprire

   Individuate dove si trovano i dati sensibili nei sistemi, sugli endpoint e nei servizi cloud.

2. 2

   Classificare

   Etichettate i dati perché la loro sensibilità sia chiara a persone e strumenti.

3. 3

   Applicare i controlli

   Calibrate la protezione sulla sensibilità di ciascuna categoria, partendo dai canali più esposti.

In Anexet DLP, la scheda Objects of analysis raccoglie gli elementi del rilevamento. Il primo fotogramma mostra i dizionari integrati, il secondo le espressioni regolari per gli identificativi a formato fisso. L'amministratore li seleziona quando crea una regola di blocco.

1 / 2

• 
• 

La maggior parte dei progetti di rilevamento fallisce allo stesso modo: si parte dalle regole invece che da un elenco chiaro di ciò che va protetto. Un dizionario che intercetta ogni riferimento agli stipendi, o un pattern che corrisponde a qualsiasi numero di nove cifre, riempie la coda di falsi allarmi, e il personale impara in fretta a ignorarli.

• Scrivere le regole prima di avere un inventario dei dati, lasciando scoperti i repository più sensibili.
• Usare un'unica lista di parole per tutti i reparti, che blocca il lavoro normale.
• Trattare l'etichetta come una prova: può mancare, essere errata o non essere mai applicata ai file copiati.
• Controllare solo la posta trascurando lo storage cloud, la messaggistica e i supporti rimovibili, dove può iniziare una fuga di dati senza che nessuno se ne accorga.

Iniziate dai dati la cui fuga farebbe più danni, poi dai canali che realmente percorrono. Le regole scritte per tutti i file in una volta bloccano il lavoro legittimo e finiscono disattivate. Una prima policy circoscritta, che le persone accettano, vale più di una policy ampia disattivata dopo una settimana.

Per approfondire: Access Audit sui dati riservati e Discretionary Access Control; Le prime 5 tipologie di dati che i concorrenti cercano di rubare.