Vai al contenuto principale
Che cos’è il monitoraggio dei dati sensibili?
Approfondimenti

Che cos’è il monitoraggio dei dati sensibili?

Poiché i criminali informatici tentano di ottenere l’accesso a dati personali e sensibili delle organizzazioni, è diventato fondamentale per queste ultime salvaguardare i dati loro affidati.

Il monitoraggio dei dati sensibili consiste nel processo di identificazione, classificazione e protezione dei dati personali o aziendali. Poiché i criminali informatici tentano sempre più spesso di ottenere l’accesso ai dati delle carte di credito, ai numeri di previdenza sociale e alle informazioni sensibili delle organizzazioni per utilizzarli, venderli o sfruttarli in altro modo, è diventato fondamentale per le organizzazioni proteggere i dati loro affidati.

Cosa si intende per “dati sensibili”? Quali sono le diverse tipologie di dati sensibili?

Per dati sensibili si intendono tutti quei dati la cui divulgazione al pubblico potrebbe comportare un costo di qualche tipo per l’organizzazione che ne è in possesso. Tali costi possono comprendere le spese relative alla notifica delle violazioni (che includono l’informativa ai consumatori e alle autorità di regolamentazione), la perdita di ricavi dovuta al tempo di inattività del sistema, le sanzioni amministrative, la perdita di clienti a causa del danno alla reputazione e persino azioni legali e risarcimenti. Secondo il rapporto “Cost of a Data Breach Report 2021” del Ponemon Institute, il costo medio di una violazione dei dati è passato da 3,86 milioni di dollari a 4,24 milioni di dollari, il valore più alto mai registrato nei 17 anni di storia del rapporto.

Esistono molti tipi diversi di dati sensibili ed è fondamentale stabilire quali dati siano importanti per la vostra organizzazione. Detto questo, i dati sensibili possono generalmente essere raggruppati in alcune grandi categorie:

  • Informazioni aziendali: Qualsiasi dato fondamentale per le attività di un’organizzazione, inclusi conti e rendiconti finanziari, informazioni sui dipendenti, proprietà intellettuale, segreti commerciali e altro ancora.
  • Dati personali: Qualsiasi informazione relativa a una persona fisica che possa essere utilizzata per identificarla direttamente o in combinazione con altre informazioni. Questo tipo di dati comprende nome, data di nascita, indirizzo, numero di previdenza sociale, etnia, orientamento sessuale, religione, opinioni politiche e altro ancora.
  • Dati sanitari: Informazioni relative alla salute di una persona, tra cui la sua anamnesi, i dati relativi alla disabilità, le diagnosi mediche, i dati provenienti da app di fitness, ecc.
  • Dati finanziari: Le coordinate bancarie di una persona, i dati della carta di credito, i codici di sicurezza e i PIN.
  • Dati biometrici: Dati relativi al corpo umano, quali i tratti del viso, le impronte digitali, le scansioni dell’iride, le impronte vocali e altri dati utilizzati per l’identificazione biometrica.
  • Dati genetici: Caratteristiche genetiche di un individuo ottenute tramite analisi del DNA e dell’RNA, quali le informazioni cromosomiche.

Non è sempre semplice individuare quali dati sensibili debbano essere protetti. Questo perché i dati sensibili si dividono in due categorie: quelli soggetti a regolamentazione e quelli non soggetti a regolamentazione.

  • I dati regolamentati sono sempre considerati sensibili ai sensi delle leggi e dei regolamenti sulla protezione dei dati che li tutelano. L’Health Insurance Portability and Accountability Act (HIPAA), ad esempio, standardizza le norme relative all’accesso a oltre una dozzina di tipologie di informazioni contenute nelle cartelle cliniche di un individuo, tra cui i dati di contatto, il numero di previdenza sociale, i dati finanziari, i risultati diagnostici e i trattamenti. Questi tipi di dati sono sempre classificati come sensibili, il che consente alle organizzazioni sanitarie di comprendere facilmente quali informazioni debbano essere mantenute riservate.
  • L' e dei dati non regolamentati comprende tutte le informazioni di dominio pubblico. La maggior parte dei dati generati rientra in questa categoria. Sebbene non siano direttamente disciplinati dalle leggi e dai regolamenti in materia di protezione dei dati, alcuni file e documenti appartenenti a questa categoria, quali i contratti dei dipendenti e i sondaggi tra i clienti, potrebbero contenere informazioni classificabili come dati sensibili. Ciò sottolinea la necessità che le organizzazioni comprendano quali dati stanno archiviando, al fine di proteggerli adeguatamente.

In che modo i dati sensibili possono essere utilizzati in modo improprio? Quali sono i rischi legati a una violazione dei dati sensibili?

Quando la maggior parte delle persone sente il termine “violazione dei dati”, probabilmente pensa al furto dei dati delle carte di credito. Ciò è dovuto al fatto che, nell’ultimo decennio, gli attacchi informatici che hanno portato alla divulgazione di ingenti quantità di dati relativi alle carte di credito hanno fatto sempre più spesso notizia.

Uno dei più gravi è stato quello relativo alla violazione dei dati di Target, avvenuta il 2013 . Gli hacker hanno utilizzato una sofisticata campagna di phishing per sottrarre le credenziali di accesso di uno dei fornitori esterni dell’azienda. Hanno utilizzato tali credenziali per infiltrarsi nella rete interna di Target e, infine, accedere ai suoi sistemi di punto vendita (POS).

Hanno quindi installato del malware su tali sistemi per sottrarre i dati delle carte di credito e di debito dalla memoria dei terminali POS mentre i clienti strisciavano le proprie carte.

Gli hacker hanno quindi raccolto e venduto i dati rubati sul mercato nero digitale. Target ha stimato che siano state sottratte informazioni relative a fino a 110 milioni di clienti , rendendo questo episodio una delle più gravi violazioni dei dati della storia. Nell’ambito dell’accordo transattivo relativo alla violazione dei dati, la società ha versato 18,5 milioni di dollari all’ a 47 Stati e al Distretto di Columbia (oltre ai 202 milioni di dollari spesi per le spese legali e altri costi sostenuti a seguito della violazione).

«I dati sensibili oggetto di violazione possono essere utilizzati in modi del tutto imprevisti, con gravi ripercussioni per l’azienda a cui tali dati sono stati affidati.»

Sebbene le violazioni dei dati delle carte di credito occupino gran parte dei titoli dei giornali, non rappresentano l’unico esempio di uso improprio dei dati. I dati sensibili oggetto di violazione possono essere utilizzati in modi del tutto imprevisti, con gravi ripercussioni per l’azienda a cui tali dati sono stati affidati.
Uno degli esempi più noti di abuso di dati avvenuti di recente ha coinvolto il gigante dei social media Facebook e la società di consulenza britannica Cambridge Analytica. Gli sviluppatori di un’ App, denominata “This Is Your Digital Life” (TIYDL), hanno raccolto fino a 87 milioni di profili Facebook.

L’ App , concepito come un quiz sulla personalità, veniva utilizzato per elaborare profili psicologici degli utenti e raccogliere i dati personali dei loro amici su Facebook. Gli sviluppatori dell’ App hanno poi venduto tali dati a Cambridge Analytica, che li ha utilizzati per aiutare a individuare gli elettori target per le campagne politiche di Donald Trump e Ted Cruz. In definitiva, Facebook ha pagato una sanzione di 5 miliardi di dollari per la divulgazione e il successivo uso improprio dei dati dei propri utenti.

Episodi come la violazione dei dati tra Facebook e Cambridge hanno portato a un maggiore controllo sulle modalità con cui le aziende del settore AdTech utilizzano i dati. Ciò ha portato all’adozione di normative più rigorose in materia di raccolta e utilizzo dei dati, quali il Regolamento generale sulla protezione dei dati dell’Unione Europea (GDPR) e il California Consumer Privacy Act (CCPA).

Quali sono le normative vigenti in materia di dati sensibili?

Esistono numerosi requisiti normativi che disciplinano le modalità con cui le aziende svolgono la propria attività, e la maggior parte di essi stabilisce le modalità di trattamento dei dati sensibili. Alcune normative riguardano settori specifici. L’HIPAA, ad esempio, disciplina il settore sanitario, mentre il DSS ( PCI ) disciplina quello finanziario. Altre normative, quali l’ CCPA e e il GDPR, si applicano a tutti i settori all’interno di una determinata area geografica.

[Per saperne di più: La “proliferazione normativa” in materia di sicurezza dei dati mette sotto pressione le multinazionali]

Le normative possono inoltre variare da un luogo all’altro, per cui i requisiti relativi al trattamento dei dati, anche all’interno di un unico settore, possono differire tra l’Europa e gli Stati Uniti e persino da uno Stato all’altro. Tuttavia, praticamente tutte le normative e gli standard hanno un impatto sull’IT e sulla sicurezza dei dati. Tra questi, i più comuni sono:

GDPR (Regolamento generale sulla protezione dei dati). Adottata dall’Unione Europea nel 2016, costituisce la normativa primaria in materia di protezione e riservatezza dei dati dei cittadini. GDPR ha introdotto una serie di obblighi per tutte le transazioni effettuate all’interno degli Stati membri dell’UE, tra cui:

  • I clienti devono prestare il proprio consenso al trattamento dei dati.
  • Qualsiasi informazione che consenta l’identificazione personale deve essere resa anonima o pseudonimizzata (sostituendo l’identità del consumatore con uno pseudonimo).
  • I consumatori devono essere informati di una violazione dei dati entro 72 ore.
  • I dati trasferiti al di fuori dell’UE devono beneficiare, da parte del destinatario, dello stesso livello di protezione garantito dall’UE.
  • Alcune aziende sono tenute a nominare un responsabile della protezione dei dati (DPO) incaricato di vigilare sul rispetto del regolamento “ GDPR ”.

Tutte le organizzazioni con sede nell’UE sono soggette al regolamento generale sulla protezione dei dati ( GDPR), così come quelle con sede all’estero che svolgono attività o hanno clienti nell’UE.

CCPA (California Consumer Privacy Act), entrata in vigore nel 2018, garantisce diversi diritti ai residenti della California, tra cui:

  • Il diritto di sapere quali dati personali vengono raccolti, utilizzati, condivisi o venduti.
  • Il diritto alla cancellazione dei dati personali in possesso delle imprese e dei loro fornitori di servizi.
  • Il diritto di opporsi alla vendita dei dati personali.
  • Il diritto alla non discriminazione in termini di prezzo o servizio quando un consumatore esercita un diritto alla privacy ai sensi dell’ CCPA.

CCPA ha inoltre introdotto diversi nuovi obblighi per le imprese. Soprattutto, le imprese soggette alla normativa “ CCPA ” devono fornire un’informativa ai consumatori al momento della raccolta dei dati o prima di essa. Devono inoltre definire procedure per rispondere ai consumatori che desiderano opporsi alla raccolta dei dati, conoscere quali dati vengono raccolti o richiedere la cancellazione dei propri dati raccolti, e devono rispondere a tali richieste entro determinati termini.

[Per saperne di più: Che cos’è un punteggio di rischio informatico e perché è importante?]

CCPA si applica a qualsiasi impresa a scopo di lucro che fornisca servizi ai residenti della California e soddisfi uno dei seguenti criteri:

  • Genera oltre 25 milioni di dollari di ricavi lordi annui.
  • Acquista, riceve o vende ogni anno i dati personali di almeno 50.000 consumatori, nuclei familiari o dispositivi.
  • Il 50% o più dei ricavi annuali deriva dalla vendita dei dati personali dei consumatori.

PCI DSS (Payment Card Industry Data Security Standard). Sin dalla sua introduzione nel 2004, è stato regolarmente aggiornato per migliorare gli standard di sicurezza nell’elaborazione dei pagamenti. Esso specifica una dozzina di requisiti fondamentali per la protezione dei dati dei titolari di carte, tra cui i requisiti relativi ai firewall e le regole relative alle password, la crittografia dei dati in transito, il monitoraggio degli accessi alla rete e altro ancora. PCI Il DSS si applica a qualsiasi organizzazione che accetti, trasmetta o conservi i dati dei titolari di carte.

L’ HIPAA (Health Insurance Portability and Accountability Act) stabilisce le norme relative al trattamento delle informazioni sanitarie protette (PHI) da parte degli operatori sanitari. Le informazioni sanitarie protette (PHI) comprendono una serie di dati relativi ai pazienti, tra cui identificativi personali quali nome, data di nascita e sesso, nonché informazioni sanitarie quali diagnosi, informazioni sulle cure e risultati di esami medici. L'HIPAA disciplina le modalità di accesso alle informazioni sanitarie protette (PHI) e stabilisce le misure di sicurezza fisiche, amministrative e tecniche che le organizzazioni sanitarie devono attuare al fine di garantirne la protezione. Il documento illustra inoltre come le strutture sanitarie debbano reagire in caso di violazione dei dati. Le strutture sanitarie, inclusi ospedali, studi medici, case di cura e qualsiasi altro soggetto che svolga attività sanitarie con clienti o pazienti, devono essere conformi alla normativa HIPAA.

La legge FERPA ( , ovvero Family Educational Rights and Privacy Act) è una legge federale che tutela la riservatezza dei dati scolastici degli studenti. Tali dati possono essere conservati su qualsiasi supporto e comprendono in genere sia dati identificativi personali (numero di previdenza sociale, data di nascita, sesso, etnia) sia informazioni accademiche (risultati dei test, media dei voti, certificati di studio, informazioni relative agli aiuti finanziari). La legge riconosce ai genitori diversi diritti, tra cui quello di prendere visione dei documenti scolastici dei propri figli e di correggere eventuali inesattezze. Inoltre, garantisce loro il controllo sulla divulgazione delle informazioni di identificazione personale contenute nelle cartelle cliniche dei propri figli. Tali diritti vengono trasferiti direttamente allo studente non appena questi compie 18 anni o inizia a frequentare l’università. La legge FERPA si applica a tutte le scuole che ricevono finanziamenti federali.

NIST (National Institute of Standards and Technology), un’agenzia federale senza funzioni normative, definisce gli standard per i settori scientifico e tecnologico al fine di aiutare le agenzie federali e gli appaltatori a soddisfare i requisiti previsti dall’ Federal Information Security Management Act (FISMA). Tuttavia, gli standard “ NIST ” possono aiutare qualsiasi organizzazione a migliorare la propria sicurezza e a prevenire violazioni in conformità con le normative federali quali il “ PCI ” (DSS) e l’HIPAA. Le organizzazioni di tutto il mondo utilizzano il Cybersecurity Framework (CSF) dell’ NIST per ridurre i rischi informatici e proteggere le proprie reti e i propri dati. NIST Gli standard federali per l'elaborazione delle informazioni (FIPS) sono utilizzati da agenzie governative, appaltatori e fornitori. Gli standard FIPS definiscono i requisiti per le circostanze non contemplate dagli standard di settore più generali, fornendo un quadro di riferimento per una gamma diversa di processi di sicurezza.

Il CMMC ( , ovvero Certificazione del Modello di Maturità della Sicurezza Informatica) è un programma del Dipartimento della Difesa che definisce standard e migliori pratiche per gli appaltatori della Base Industriale della Difesa (DIB). Gli appaltatori DIB gestiscono dati governativi sensibili e il CMMC garantisce che li proteggano con le stesse misure adottate dalle agenzie governative e militari. In particolare, il CMMC riguarda la protezione delle informazioni relative ai contratti federali (FCI) e delle informazioni non classificate controllate a livello di “ ” (CUI) .

Tra gli altri standard di conformità in materia di sicurezza di cui le organizzazioni devono tenere conto figurano il COPPA (Children’s Online Privacy Protection Act), i CIS Controls (Center for Internet Security Controls) e il FedRAMP (Federal Risk and Authorization Management Program). E ogni anno entrano in vigore ulteriori requisiti normativi. Le organizzazioni devono comprendere quali norme e regolamenti si applicano alla propria attività, poiché eventuali inadempienze in materia di conformità possono comportare sanzioni e costi significativi.

In che modo gli autori degli attacchi riescono a sottrarre dati sensibili?

Esistono innumerevoli modi in cui gli autori degli attacchi possono sottrarre dati sensibili, e gli hacker più intraprendenti sviluppano continuamente metodi sempre più sofisticati. Tra i metodi più diffusi figurano:

  • Il termine "malware" ("software dannoso") indica in senso lato qualsiasi script o codice progettato per sfruttare le vulnerabilità di un dispositivo. Gli autori degli attacchi sfruttano una vulnerabilità per introdurre nel sistema un malware — che l’utente scarica inconsapevolmente da un allegato e-mail o da un link web —, dove esso può compiere una serie di azioni dannose, quali il monitoraggio dei tasti digitati, la trasmissione di dati sensibili al computer dell’autore dell’attacco o l’acquisizione delle password dell’utente. Il malware è particolarmente diffuso poiché è facile da diffondere e altamente efficace.
  • Il phishing è un tipo di attacco di ingegneria sociale in cui l’autore dell’attacco utilizza e-mail, SMS o telefonate che sembrano provenire da un’istituzione legittima per indurre la vittima a fornire dati sensibili, quali credenziali di accesso e dati della carta di credito. Il fenomeno del phishing ha registrato un aumento nell’era del COVID, rappresentando il 36% delle violazioni dei dati nel 2021, con un incremento del 11% rispetto all’anno precedente.
  • Cross-site scripting (XSS): Gli hacker utilizzano attacchi XSS per inserire uno script o un codice dannoso, scritto in un linguaggio di programmazione comune come JavaScript, Flash o HTML, all’interno dei contenuti di un sito web. Lo script dannoso viene quindi eseguito nel browser dell’utente quando questi visita il sito, consentendo all’hacker di sottrarre i cookie e di intercettare qualsiasi informazione l’utente invii a tale sito, quali credenziali di accesso, numeri di carte di credito e altri dati sensibili.
  • Furto di dispositivi: I criminali opportunisti possono ottenere dati sensibili semplicemente acquisendo l’accesso fisico al dispositivo di un utente. Una delle cause più comuni di compromissione dei dati è un dispositivo lasciato incustodito: un portatile lasciato in auto o sul tavolo di un bar. Una volta che qualcuno ne entra in possesso, ha accesso a una potenziale miniera di dati sensibili, in particolare se il dispositivo non è protetto da password né crittografato.

Dove si trovano solitamente i dati sensibili?

I dati sensibili possono trovarsi ovunque. Ogni giorno i dati circolano tra una moltitudine di dispositivi, utenti, app e servizi. Ciò può rendere estremamente difficile garantirne la sicurezza, in particolare una volta che esce dalla vostra rete. Un file archiviato su un server centralizzato e protetto, ad esempio, può essere compromesso quando un dipendente ne scarica una copia sul proprio computer portatile personale — che quasi certamente non dispone dello stesso livello di sicurezza — e poi dimentica di cancellarlo una volta terminato il lavoro. I dati sensibili possono trovarsi anche sui server di backup e sui dischi rigidi.

Perché è difficile proteggere i dati sensibili?

Ancora una volta, uno dei principali problemi legati alla protezione dei dati sensibili è che questi sono disseminati in così tante posizioni diverse, il che rende difficile persino individuarli, figuriamoci proteggerli. Alcune di queste postazioni potrebbero trovarsi spesso scollegate dalla rete — come nel caso del computer portatile di un dipendente o di una chiavetta USB USB — il che limita la visibilità dell’azienda sui dati. La protezione dei dati sensibili richiede inoltre un delicato equilibrio tra sicurezza e usabilità. Gli utenti necessitano dell’accesso a determinati documenti, ma per ottenerlo potrebbero essere necessarie autorizzazioni a livelli superiori. Per ovviare a tale problema, un’azienda dovrebbe adottare procedure rigorose sia per la concessione delle autorizzazioni che per la chiusura delle sessioni e deve garantire che eventuali dati residui vengano eliminati dal dispositivo. Uno strumento di monitoraggio dei dati sensibili può fornire un valido supporto nell’affrontare molte di queste sfide.

Come funzionano gli strumenti di monitoraggio dei dati sensibili?

Gli strumenti di monitoraggio dei dati sensibili possono adottare due approcci. Una di queste è basata sulla rete, in cui un software centralizzato opera da un server per eseguire la scansione di tutti i dispositivi di rete alla ricerca di dati sensibili. Tuttavia, questo metodo è lento in quanto compromette la larghezza di banda della rete e può lasciare delle lacune, poiché non è in grado di accedere ai dispositivi al di fuori della rete aziendale.

[Per saperne di più: Che cos’è la gestione delle vulnerabilità dei dispositivi?]

L'approccio alternativo utilizza un'architettura incentrata sul client per individuare i dati sensibili su tutti i vostri endpoint. Ha un impatto molto minore sulle prestazioni della rete e, una volta eseguita una scansione iniziale alla ricerca di dati sensibili, continua a Index i vostri endpoint in tempo reale per mantenere aggiornate le scansioni. Inoltre, poiché il software è installato direttamente sull’ endpoint, è possibile eseguire la scansione alla ricerca di dati sensibili anche quando il dispositivo non è connesso alla rete aziendale.

Quali sono le caratteristiche principali di uno strumento di monitoraggio dei dati sensibili?

Come per qualsiasi nuovo strumento, la facilità d’uso e la compatibilità con le tecnologie attualmente in uso sono fattori fondamentali da tenere in considerazione. Altre caratteristiche da tenere in considerazione includono:

  • Scansione basata su agenti: Gli strumenti di monitoraggio basati su agenti installano un pacchetto software (“agente”) su ciascun dispositivo che si desidera sottoporre a scansione. Ciascun agente raccoglie i dati di sicurezza rilevanti dal proprio computer host e li invia a un server di raccolta. Ciò gli consente di eseguire la scansione dei dispositivi anche se questi sono offline o al di fuori della rete aziendale. Gli strumenti di monitoraggio basati su agenti sono inoltre più leggeri rispetto a quelli basati sulla rete, alleggerendo così il carico sulla vostra rete.
  • Supporto di diversi formati di file e sistemi operativi: Uno strumento di monitoraggio dei dati sensibili dovrebbe essere in grado di recuperare dati in un’ampia varietà di formati di file comuni (Word, Excel, PDF, ecc.) su endpoint Windows, Mac e Linux .
  • Contenuti normativi pronti all’uso: Lo strumento dovrebbe garantire una visibilità approfondita su GDPR, PCI DSS, HIPAA, CCPA e altri casi d’uso normativi, consentendoLe di redigere rapidamente rapporti e di rispondere ai requisiti in materia di protezione dei dati man mano che gli obblighi di legge cambiano.

Altre risorse