Che cos'è il DLP

Data Loss Prevention (DLP) è un insieme di tecnologie e policy che rilevano e impediscono che dati sensibili lascino l'organizzazione senza autorizzazione. L'obiettivo è prevenire l'esfiltrazione dei dati, accidentale o dolosa.

Il DLP protegge i dati in tre stati:

• Dati a riposo: archiviati su dischi, database e condivisioni di file.
• Dati in transito: in viaggio sulla rete, via email e sul web.
• Dati in uso: attivi su un endpoint (clipboard, schermo, USB).

Le perdite sono spesso involontarie:

• Un dipendente invia per email un foglio di calcolo all'indirizzo sbagliato.
• Un file finisce in un bucket cloud pubblico.
• I dati sensibili vengono copiati su un'unità USB.

Gli insider malevoli e gli attaccanti esterni che esfiltrano dati rappresentano l'altra metà del problema.

Tra i tipi di dati protetti più comuni figurano:

• Dati personali (PII), come nomi, numeri identificativi e indirizzi.
• Dati di pagamento (PCI), come i numeri delle carte.
• Cartelle sanitarie (PHI).
• Proprietà intellettuale e codice sorgente.

I motori DLP identificano i contenuti sensibili con diverse tecniche:

• Pattern matching (regex) per dati strutturati come i numeri delle carte.
• Parole chiave e dizionari.
• Fingerprinting / exact data match dei file noti.
• Etichette di classificazione applicate ai file.

I controlli operano a diversi livelli:

• Endpoint DLP: agente sui laptop che controlla USB, clipboard e stampa.
• Network DLP: analizza il traffico email e web.
• Cloud DLP / CASB: monitora SaaS e archiviazione cloud.

Una policy DLP collega il rilevamento a una risposta. Azioni comuni:

• Solo monitorare / registrare.
• Avvisare l'utente o il team di sicurezza.
• Bloccare il trasferimento.
• Mettere in quarantena o crittografare i dati.

Attivare subito il blocco causa falsi positivi e interrompe i flussi di lavoro. La maggior parte delle implementazioni inizia in modalità monitoraggio (audit) per apprendere il comportamento normale, perfezionare le regole e poi passare al blocco per le regole ad alta affidabilità.

Le regole troppo ampie segnalano attività innocue e frustrano gli utenti. La messa a punto è continua:

• Perfezionare i pattern e aggiungere contesto (ad esempio, richiedere una soglia per il numero di occorrenze).
• Inserire nella allowlist i flussi legittimi noti.
• Esaminare gli avvisi e apportare modifiche.

DLP e crittografia si completano a vicenda. La crittografia protegge la riservatezza dei dati; il DLP ne controlla lo spostamento. Tenga presente che una crittografia forte applicata dagli utenti può impedire al DLP di ispezionare i dati, quindi la policy può richiedere canali di crittografia gestiti dall'azienda.

Il DLP è potente ma non assoluto:

• Non può ispezionare contenuti che non può decrittografare.
• Fotografare uno schermo lo aggira.
• I dati classificati erroneamente possono sfuggire ai controlli.

Il DLP è un solo livello di una strategia di difesa in profondità, abbinato al controllo degli accessi e al monitoraggio.

Il DLP rileva e blocca l'esfiltrazione non autorizzata dei dati:

• Protegge i dati a riposo, in transito e in uso.
• Rileva tramite pattern, parole chiave, fingerprint ed etichette.
• Si implementa a livello di endpoint, rete e cloud.
• Iniziare in modalità monitoraggio, ridurre i falsi positivi mettendo a punto le regole, quindi bloccare.