Se qualcuno riuscisse a rubare i dati dei tuoi clienti e accedere alle loro informazioni, per te sarebbe una gran brutta notizia. Non solo perderesti la loro fiducia e la tua reputazione, ma avresti anche perdite economiche e problemi legali.
Un Data breach può quindi trasformarsi in un evento catastrofico per qualsiasi azienda, in particolare per le piccole e medie imprese che ancora non sono preparate a questa minaccia emergente.
Nel 2019 in Italia, tra aziende pubbliche e private, al Garante della privacy sono arrivate 1.443 segnalazioni di incidenti informatici che hanno messo a rischio la sicurezza delle informazioni.
Cosa si intende per Data Breach?
È una violazione di sicurezza che comporta, accidentalmente o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Una violazione dei dati personali può compromettere la riservatezza, l’integrità o la disponibilità di dati personali.
Quanto costa una violazione dei dati media a un’organizzazione?
Secondo gli ultimi numeri di IBM, si può arrivare a $ 3,92 milioni dopo spese di indagine, controllo dei danni, riparazioni, azioni legali e multe. È aumentato del 12% in cinque anni, senza segni di rallentamento.
Potresti pensare che le violazioni dei dati siano principalmente causate da hacker esterni al sistema. In realtà questo è solo lo scenario che fa maggiore notizia sui media. Per la maggior parte è l’errore umano dei dipendenti, come un device aziendale smarrito o il download di software dannoso, che porta alla perdita di informazioni o a un incidente di violazione dei dati.
Quindi, oltre a proteggere i dati dei clienti, è necessario assicurarsi di mantenere le proprie informazioni sotto controllo e formare le risorse per comprendere meglio questi rischi.
In qualità di titolare o dipendente, è possibile adottare una serie di misure preventive per proteggere i dati dell’azienda.
Il punto più importante da cui iniziare è conoscere l’ambito di riferimento, in particolare parliamo di “protezione del dato” e “prevenzione della perdita di dati”. Data Protection e Data Loss Prevention (DLP) sono infatti due termini strettamente interconnessi tra loro, ma per comprendere come l’uno completa l’altro è necessario chiarire le caratteristiche che li distinguono.
Che cosa si intende per Data Loss Prevention (DLP)?
Data Loss Prevention o DLP è una strategia di sicurezza che consente di rilevare e prevenire violazioni, esfiltrazione o distruzione indesiderata di dati sensibili (ad esempio proprietà intellettuale, dati finanziari, informazioni sui clienti o sui dipendenti, ecc.). Il termine si riferisce a strumenti e processi che le organizzazioni e gli amministratori di rete utilizzano per garantire che i dati non vengano persi, rubati, consultati o che non vengano utilizzati in modo improprio o che siano accessibili da utenti non autorizzati.
Come funziona un DLP?
Le soluzioni di prevenzione della perdita di dati risolvono numerosi problemi che esulano dall’ambito dei tradizionali strumenti di protezione dei dati incentrati su minacce esterne. Un software DLP classifica i dati regolamentati, confidenziali e di importanza aziendale e identifica le violazioni delle politiche definite dalle aziende o all’interno di un pacchetto di politiche predefinito, tipicamente guidato dalla conformità normativa come HIPAA, PCI-DSS o GDPR.
Una volta identificate tali violazioni, il software di Data Loss Prevention applica misure correttive con avvisi, crittografia e altre azioni protettive per impedire agli utenti finali di inviare, trasferire e condividere in modo accidentale o pericoloso dati sensibili al di fuori dei confini della rete aziendale e che potrebbero mettere a rischio l’organizzazione.
Facciamo un esempio.
Se un dipendente tenta di inoltrare un’e-mail al di fuori del dominio aziendale o di caricare un file su un servizio di archiviazione cloud come Dropbox, al dipendente viene negata l’autorizzazione.
Il software e gli strumenti di prevenzione della perdita di dati monitorano le attività degli endpoint (computer, laptop e smartphone) per controllare e gestire meglio chi ha accesso a quali dati e quando. Filtrano i flussi di dati sulle reti aziendali e monitorano i dati nel cloud per proteggere i dati a riposo, in movimento e in uso. DLP fornisce inoltre report per soddisfare i requisiti di conformità e controllo e identificare in modo proattivo le aree di debolezza e anomalie per la risposta agli incidenti.
DLP monitora e protegge i tuoi dati sensibili in transito, in uso e inattivi.
Protezione dei dati in movimento: si riferisce ai dati riservati in transito attraverso una rete, interna o esterna, verso una destinazione endpoint. Gli strumenti DLP possono crittografare i dati e utilizzare un protocollo di trasporto crittografato come SSL o VPN per assicurarsi che non vengano instradati all’esterno dell’organizzazione o verso aree di archiviazione non sicure.
Protezione dei dati in uso: si riferisce ai dati che vengono utilizzati e aggiornati con frequenza da più utenti, applicazioni o endpoint. Gli strumenti DLP implicano l’autenticazione degli utenti e il controllo del loro accesso alle risorse. Inoltre, offuscano o crittografano i dati sensibili in uso e impediscono la trasmissione a posizioni di archiviazione non autorizzate come cloud storage, e-mail personali, siti di social media, ecc.
Protezione dati a riposo: tali dati sono statici e risiedono in una varietà di supporti di archiviazione, incluso il cloud. Gli strumenti DLP crittografano i dati nel database, effettuano controlli per assicurarsi che solo gli utenti autorizzati accedano ai dati e tracciano il loro accesso in caso di perdite o furti.
Perché le organizzazioni hanno bisogno di soluzioni DLP?
Ogni azienda raccoglie enormi quantità di dati e li archivia in più luoghi, come in ufficio, nel cloud, su applicazioni SaaS e così via. La proliferazione delle comunicazioni aziendali ha consentito quindi a molte più persone di accedere ai dati aziendali. Alcuni di questi utenti però possono essere negligenti o dannosi. Il risultato: una moltitudine di minacce interne che possono esporre i dati riservati con un solo clic. Molte normative governative e di settore hanno reso DLP un requisito fondamentale di protezione e accesso ai dati.
Che cosa si intende quindi per Data Protection?
Con Data Protection ci si riferisce alle pratiche, alle garanzie e alle norme vincolanti messe in atto per proteggere le tue informazioni personali e assicurarti di mantenerne il controllo. In breve, dovresti essere in grado di decidere se vuoi condividere alcune informazioni, chi può accedervi, per quanto tempo, per quale motivo, e di poter modificare alcune di queste informazioni e altro ancora.
La Data Protection si occupa sia dell’integrità dei dati, della protezione dalla corruzione o degli errori, sia della riservatezza dei dati, essendo accessibile solo a coloro che hanno privilegi di accesso ad essi.
Anche i governi hanno un interesse nel garantire la protezione dei dati personali. Nell’Unione Europea infatti la protezione dei dati è un diritto fondamentale, e il regolamento generale sulla protezione dei dati (GDPR) è il quadro per la protezione di tale diritto. L’obiettivo di questa legislazione è proprio quello di aiutare ad allineare tutti i protocolli di protezione dei dati esistenti, aumentando al contempo i livelli di protezione delle persone.
Di cosa hanno bisogno le aziende per avere successo?
- Proteggere e i dati attraverso la rete interna, cloud e utenti mobili.
- Centralizzare le attività di prevenzione della perdita di dati e di gestione della sicurezza.
- Classificare, monitorare, autenticare gli utenti e controllare chi ha accesso a quali applicazioni e dati e quando.
- Definire e applicare in modo chiaro le politiche di accesso e utilizzo dei dati basate sui ruoli.
- Supervisionare e gestire meglio la sicurezza e la conformità dei fornitori di terze parti.
- Garantire che i dati vengano archiviati, consultati e utilizzati in modo conforme alle normative sulla protezione e alle leggi sulla privacy dei dati. Ciò è particolarmente importante poiché eventuali violazioni comportano una pesante sanzione e/o un danno significativo alla reputazione.