Molte organizzazioni riconoscono oggi i dipendenti come il "punto di sicurezza" più debole a causa del luogo e del modo in cui lavorano (utilizzo di reti Wi-Fi pubbliche, di più dispositivi, ecc.)
Di conseguenza, i piani di sicurezza per l'identità, la gestione degli accessi e la tecnologia sono essenziali per bloccare la principale fonte di debolezza: l'individuo.
Non si può sempre essere sicuri che l'utente che accede alla rete, alle applicazioni o ai dispositivi sia la persona giusta: è qui che le soluzioni di sicurezza tradizionali (Mobile Device Management, Mobile Application Management e firewall) possono essere integrate con misure aggiuntive per proteggere l'organizzazione da rischi inutili.
Che cos'è la prevenzione della perdita di dati (DLP)?
Il termine Data Loss Prevention (DLP) si riferisce alla pratica di individuare e prevenire la fuga di dati riservati all'esterno di un'organizzazione per uso non autorizzato. I dati possono essere portati fuori dall'organizzazione in forma fisica o informatica, intenzionalmente o meno.
La preoccupazione per la protezione dei dati non è nuova, come evidenziato nell'interessante rapporto di Ernst & Young "The evolving IT risk landscape" pubblicato nel 2011.
In che modo DLP è diverso da altre tecnologie?
Consapevolezza dell'utente
Le strategie di prevenzione della perdita di dati devono essere ampie quanto le cause della perdita.
Ecco alcuni dei più comuni:
- Errore umano: la maggior parte delle perdite di dati è causata da un errore umano. Ciò può includere azioni quali: aprire e-mail dannose, creare password facili da indovinare, accedere a siti "falsi", allontanarsi dal proprio computer senza effettuare il logout, lasciare l'accesso a persone non autorizzate.
- Controllo degli accessi insufficiente: molte organizzazioni consentono l'accesso con troppa facilità. Le persone che devono solo leggere i dati possono anche modificarli. Quando troppi account hanno un accesso eccessivo, i ladri di dati colgono l'opportunità di compromettere un account.
- Furto fisico: telefoni cellulari, tablet, computer portatili, ... sono facili da rubare e, se non ben protetti, sono una miniera d'oro di informazioni.
- Software dannoso: I sistemi infetti inviano informazioni riservate e possono continuare a funzionare in questo modo per mesi prima che il problema venga rilevato.
Come si proteggono i dati nella pratica?
Oltre a tutti i punti che abbiamo discusso sopra, l'implementazione di un software specifico per la protezione delle informazioni consentirà una visione globale dei dati sensibili e il controllo del loro utilizzo.
Innanzitutto, un audit consentirà all'organizzazione di rispondere a queste 3 domande fondamentali:
1.
Quali sono i dati sensibili in vostro possesso?
I tipi di dati comuni sono di tipo:
- Informazioni di identificazione personale (numero AVS, nome, indirizzo, ecc.).
- Informazioni sulla carta di pagamento
- Informazioni per i clienti
- Proprietà intellettuale / informazioni proprietarie
- Informazioni generali ad uso interno
- Informazioni per uso pubblico (marketing,...) che richiedono meno restrizioni.
2.
Dove risiedono i vostri dati sensibili, sia internamente che presso terzi?
Le posizioni di archiviazione dei dati più comuni sono:
- Archiviazione in rete o in loco
- Storage Cloud, SaaS (Software as a service)
- Archiviazione hardware, compresi laptop e desktop, dispositivi mobili, dischi rigidi esterni,...
3.
Dove vanno a finire i vostri dati?
Definire i criteri e le politiche aziendali
Sarà inoltre necessario definire i criteri e le politiche in base alle esigenze dell'organizzazione (ad esempio, se un dipendente delle risorse umane consulta una busta paga, si tratta di un processo normale, mentre se questo documento viene aperto da qualcuno al di fuori del reparto, è necessario visualizzare un avviso e dare seguito alla richiesta. Il programma può anche essere personalizzato in modo che un dipendente che ha fatto un uso improprio di un documento riceva un'e-mail che lo informa della sua azione, così come un dipendente che copia i dati della carta di credito in un documento word riceve una notifica.
Una corretta implementazione di DLP può quindi contrassegnare i dati come sensibili e assegnare un punteggio critico elevato. I punti di uscita più comuni per questo tipo di violazione dei dati sono la posta elettronica aziendale, la posta web, l'FTP, le unità rimovibili e la stampa. In ognuno di questi punti di uscita, DLP può segnalare questa attività.
I programmi
Infine, i nostri esperti vi aiuteranno a implementare gli strumenti giusti, come Microsoft Information Protection (MIP ) o Windows Information Protection (WIP).
Raccontaci il tuo progetto!
Per ulteriori informazioni, contattateci. I nostri esperti vi guideranno attraverso il vostro progetto, dall'audit all'implementazione, i vostri dati saranno in buone mani.