In pratica, ogni organizzazione riconosce il potere dei dati per migliorare l'esperienza di clienti e dipendenti e promuovere decisioni aziendali migliori. Tuttavia, man mano che i dati diventano più preziosi, diventano anche più difficili da proteggere. Le aziende continuano a creare più superfici di attacco con modelli ibridi, disperdendo i dati critici tra cloud, terze parti e sedi on-premise, mentre gli attori delle minacce escogitano costantemente modi nuovi e creativi per sfruttare le vulnerabilità.
In risposta, molte organizzazioni si stanno concentrando maggiormente sulla protezione dei dati, riscontrando però una mancanza di linee guida e consigli formali.
Sebbene ogni strategia di protezione dei dati sia unica, di seguito sono riportati alcuni componenti chiave e le best practice da considerare quando se ne crea una per la propria organizzazione.
Una strategia di protezione dei dati è un insieme di misure e processi per salvaguardare le informazioni sensibili di un'organizzazione dalla perdita e dal danneggiamento dei dati. I principi sono gli stessi della protezione dei dati: salvaguardare i dati e supportarne la disponibilità.
Per soddisfare questi principi, le strategie di protezione dei dati si concentrano generalmente sulle tre aree seguenti:
L'enfasi della protezione dei dati sull'accessibilità e la disponibilità è uno dei fattori principali che la differenziano dalla sicurezza dei dati. Mentre la sicurezza dei dati si concentra sulla protezione delle informazioni digitali dagli attori delle minacce e dagli accessi non autorizzati, la protezione dei dati fa tutto questo e molto altro. Supporta le stesse misure di sicurezza della sicurezza dei dati, ma copre anche l'autenticazione, il data backup, il data storage e il raggiungimento della conformità normativa, come nel Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea.
La maggior parte delle strategie di protezione dei dati include ora misure tradizionali di protezione dei dati, come i data backup e le funzioni di ripristino, nonché piani di continuità aziendale e disaster recovery (BCDR), come ad esempio il disaster recovery as a service (DRaaS). Tutti insieme, questi approcci completi non solo scoraggiano gli autori delle minacce, ma standardizzano anche la gestione dei dati sensibili e della sicurezza delle informazioni aziendali e limitano le operazioni aziendali perse a causa dei tempi di inattività.
I dati alimentano gran parte dell'economia mondiale e, purtroppo, i criminali informatici ne conoscono il valore. Gli attacchi informatici che mirano a rubare informazioni sensibili sono in aumento. Secondo il Cost of a Data Breach di IBM, il costo medio globale di una violazione dei dati nel 2023 è stato di 4,45 milioni di dollari, con un aumento del 15% nell'arco di tre anni.
Queste violazioni dei dati possono danneggiare le vittime in molti modi. I tempi di inattività imprevisti possono portare alla perdita di affari, un'azienda può perdere clienti e subire danni significativi alla reputazione e il furto della proprietà intellettuale può danneggiare la redditività di un'azienda, erodendo il suo vantaggio competitivo.
Le vittime di una violazione dei dati si trovano spesso ad affrontare pesanti multe o sanzioni legali. Le normative dei governi, come il Regolamento generale sulla protezione dei dati (GDPR), e quelle di settore, come l'Health Insurance Portability and Accounting Act (HIPAA), impongono alle aziende di proteggere i dati personali dei loro clienti.
Il mancato rispetto di queste leggi sulla protezione dei dati può comportare pesanti sanzioni. Nel maggio 2023, l'autorità irlandese per la protezione dei dati ha inflitto una multa di 1,3 miliardi di dollari a Meta, con sede in California, a causa delle violazioni del GDPR (link esterno a ibm.com).
Non sorprende che le aziende stiano dando sempre più priorità alla protezione dei dati nelle loro iniziative di cybersecurity, infatti una solida strategia di protezione dei dati non solo difende da potenziali violazioni, ma garantisce anche la conformità continua alle leggi e agli standard normativi. Inoltre, una buona strategia di protezione dei dati può migliorare le operazioni aziendali e ridurre al minimo i tempi di inattività in caso di attacco informatico, con conseguente risparmio tempo e denaro.
Sebbene ogni strategia di protezione dei dati sia diversa (e debba essere adattata alle esigenze specifiche dell'organizzazione), ci sono diverse soluzioni che bisognerebbe considerare.
Alcuni di questi componenti chiave includono:
La gestione del ciclo di vita dei dati (DLM) è un approccio che aiuta un'organizzazione a gestire i dati dalla fase di inserimento a quella di distruzione. Separa i dati in fasi in base a criteri diversi e si sposta attraverso queste fasi man mano che completa attività o requisiti diversi. Le fasi di DLM comprendono la creazione, il data storage, la condivisione e l'utilizzo, l'archiviazione e l'eliminazione dei dati.
Un buon processo di DLM può aiutare a organizzare e strutturare i dati critici, soprattutto quando le organizzazioni si affidano a diversi tipi di data storage. Può anche aiutare a ridurre le vulnerabilità e a garantire che i dati siano gestiti in modo efficiente, conformi alle normative e senza rischio di abuso o perdita.
I controlli degli accessi aiutano a prevenire l'accesso, l'uso o il trasferimento non autorizzato di dati sensibili, garantendo che solo gli utenti autorizzati possano accedere a determinati tipi di dati. Inoltre, tengono lontani gli autori delle minacce e al contempo consentono a ogni dipendente di svolgere il proprio lavoro attraverso le autorizzazioni esatte di cui hanno bisogno, non una di più.
Le organizzazioni possono utilizzare i controlli di accesso basati sui ruoli (RBAC), l' autenticazione a più fattori (MFA) o le revisioni periodiche delle autorizzazioni degli utenti.
Le iniziative di gestione delle identità e degli accessi (IAM) sono particolarmente utili per semplificare i controlli degli accessi e proteggere gli asset senza interrompere i processi aziendali regolari. Assegnano a tutti gli utenti una distinta identità digitale, con le autorizzazioni personalizzate in base al loro ruolo, alle esigenze di conformità e ad altri fattori.
La crittografia dei dati comporta la conversione dei dati dalla loro forma originale leggibile (testo in chiaro) in una versione codificata (testo cifrato) mediante algoritmi di crittografia. Pertanto, nel caso in cui individui non autorizzati riuscissero ad accedere ai dati crittografati, grazie a questo sistema non sarebbero in grado di comprenderli o utilizzarli senza una chiave di decrittografia.
La crittografia è fondamentale per la sicurezza dei dati. Aiuta a proteggere le informazioni sensibili dall'accesso non autorizzato sia quando vengono trasmesse su reti (in transito) sia quando vengono memorizzate su dispositivi o server (inattivi). In genere, gli utenti autorizzati eseguono la decrittografia solo quando necessario per garantire che i dati sensibili siano quasi sempre sicuri e illeggibili.
Per proteggere i propri dati, le organizzazioni devono prima conoscere i rischi a cui vanno incontro. La gestione del rischio dei dati implica la conduzione di un audit/valutazione del rischio completo dei dati di un'organizzazione al fine di capire quali tipi di dati possiede, dove sono memorizzati e chi vi ha accesso.
Le aziende utilizzano poi questa valutazione per identificare minacce e vulnerabilità e implementare strategie di mitigazione del rischio. Si tratta di strategie che aiutano a colmare le lacune nella sicurezza e a rafforzare la sicurezza dei dati e la cybersecurity di un'organizzazione. Alcune di queste comprendono l'aggiunta di misure di sicurezza, l'aggiornamento delle politiche di protezione dei dati, la formazione dei dipendenti o l'investimento in nuove tecnologie.
Inoltre, le valutazioni dei rischi continue possono aiutare le organizzazioni a rilevare tempestivamente i rischi emergenti per i dati, consentendo loro di adattare le proprie misure di sicurezza di conseguenza.
Il data backup e il disaster recovery comportano la creazione o l'aggiornamento periodico di più copie dei file, la loro archiviazione in una o più postazioni remote e l'utilizzo delle copie per continuare o riprendere le operazioni aziendali in caso di perdita di dati dovuta a danneggiamenti dei file e dei dati, attacco informatico o disastro naturale.
I sottoprocessi "backup" e "disaster recovery" vengono talvolta confusi l'uno con l'altro o con l'intero processo. Il backup è il processo di creazione di copie dei file, mentre il disaster recovery è il piano e il processo di utilizzo delle copie per ristabilire rapidamente l'accesso ad applicazioni, dati e risorse IT dopo un'interruzione. Questo piano potrebbe comportare il passaggio a un set ridondante di server e sistemi di storage fino a quando il data center principale non sarà nuovamente funzionante.
Il disaster recovery as a service (DRaaS) è un approccio gestito del disaster recovery. Un fornitore di terze parti ospita e gestisce l'infrastruttura utilizzata per il disaster recovery. Alcune proposte di DRaaS potrebbero fornire gli strumenti per gestire i processi di disaster recovery o consentire alle organizzazioni di gestire tali processi per loro.
Ogni volta che le organizzazioni spostano i propri dati, hanno bisogno di una sicurezza elevata. In caso contrario, rischiano di esporsi alla perdita di dati, alle minacce informatiche e a potenziali violazioni dei dati.
La gestione del data storage semplifica questo processo riducendo le vulnerabilità, in particolare per lo storage ibrido e cloud. Supervisiona tutte le attività relative al trasferimento sicuro dei dati di produzione allo storage dei dati, sia on-premise che in ambienti cloud esterni. Questi storage consentono un accesso frequente e ad alte prestazioni o fungono da archiviazione per recuperi poco frequenti.
La risposta agli incidenti (IR) si riferisce ai processi e alle tecnologie di un'organizzazione utilizzate per rilevare e rispondere alle minacce informatiche, alle violazioni della sicurezza e agli attacchi informatici. L'obiettivo è quello di prevenire gli attacchi informatici prima che si verifichino, riducendo così al minimo i costi e le interruzioni delle attività derivanti da eventuali attacchi.
Incorporare la risposta agli incidenti in una più ampia strategia di protezione dei dati può aiutare le organizzazioni ad adottare un approccio più proattivo alla cybersecurity e a migliorare la lotta contro i criminali informatici.
Secondo il Cost of a Data Breach 2023, le organizzazioni con elevati livelli di contromisure IR in atto hanno sostenuto 1,49 milioni di dollari di costi di violazione dei dati in meno rispetto alle organizzazioni con livelli bassi o nulli, e hanno risolto gli incidenti 54 giorni più velocemente.
Le policy sulla protezione dei dati aiutano le organizzazioni a delineare il loro approccio alla sicurezza e alla privacy dei dati. Queste policy possono riguardare una serie di questioni, tra cui la classificazione dei dati, i controlli di accesso, gli standard di crittografia, le pratiche di conservazione ed eliminazione dei dati, i protocolli di risposta agli incidenti e i controlli tecnici come firewall, sistemi di rilevamento delle intrusioni e software antivirus e di prevenzione della perdita di dati (DLP).
Uno dei principali benefici delle politiche di protezione dei dati è la definizione di standard chiari. I dipendenti sono consapevoli delle proprie responsabilità in materia di protezione delle informazioni sensibili e spesso sono formati sulle politiche di sicurezza dei dati, come l'identificazione dei tentativi di phishing, la gestione sicura delle informazioni sensibili e la segnalazione tempestiva degli incidenti di sicurezza.
Inoltre, le politiche di protezione dei dati possono migliorare l'efficienza operativa offrendo processi chiari per le attività relative ai dati come le richieste di accesso, il provisioning degli utenti, la segnalazione degli incidenti e lo svolgimento di controlli di sicurezza.
I governi e altre autorità riconoscono sempre più l'importanza della protezione dei dati e hanno stabilito standard e leggi sulla protezione dei dati che le aziende devono soddisfare per fare affari con i clienti.
Il mancato rispetto di queste normative può comportare ingenti sanzioni, comprese le spese legali. Tuttavia, una solida strategia di protezione dei dati può aiutare a garantire la costante conformità alle normative, definendo politiche e procedure interne rigorose.
Il regolamento più importante è il Regolamento generale sulla protezione dei dati (GDPR), emanato dall'Unione Europea (UE) per salvaguardare i dati personali delle persone. Il GDPR si concentra su informazioni di identificazione personale e impone rigorosi requisiti di conformità ai provider di dati. Impone la trasparenza nelle pratiche di raccolta dei dati e impone ingenti multe per mancata conformità, fino al 4% del fatturato globale annuo di un'organizzazione o 20 milioni di euro.
Un'altra importante legge sulla privacy dei dati è il California Consumer Privacy Act (CCPA), che, come il GDPR, sottolinea l'importanza della trasparenza e consente alle persone di controllare le proprie informazioni personali. Secondo il CCPA, i residenti in California possono richiedere informazioni sui propri dati, opporsi alla vendita degli stessi e richiederne la cancellazione.
Inoltre, l'Health Insurance Portability and Accountability Act (HIPAA) impone standard di sicurezza e conformità dei dati per le «entità interessate» come gli operatori sanitari che gestiscono le informazioni sanitarie personali dei pazienti (PHI).
Contenuti correlati: Maggiori informazioni sulla conformità al GDPR
La sicurezza dei dati inizia con la conoscenza dei tipi di dati in possesso, dove sono memorizzati e chi vi ha accesso. Esegui un inventario completo dei dati per identificare e classificare tutte le informazioni detenute dall'organizzazione. Determina la sensibilità e la criticità di ciascun tipo di dati per dare priorità agli sforzi di protezione, quindi aggiorna regolarmente l'inventario con eventuali modifiche nell'utilizzo o nell'archiviazione dei dati.
Mantieni una forte comunicazione con i principali stakeholder, come i dirigenti, i venditori, i fornitori, i clienti e il personale addetto alle pubbliche relazioni e al marketing, in modo che conoscano la strategia e l'approccio alla protezione dei dati. Questa linea di comunicazione aperta creerà maggiore fiducia, trasparenza e consapevolezza delle policy sulla sicurezza dei dati e consentirà ai dipendenti e ad altri soggetti di prendere decisioni migliori in materia di cybersecurity.
Organizza corsi di sensibilizzazione alla sicurezza rivolti a tutta la forza lavoro in merito alla strategia di protezione dei dati. Gli attacchi informatici spesso sfruttano la debolezza umana, rendendo le minacce interne una preoccupazione significativa e i dipendenti la prima linea di difesa contro i criminali informatici. Con presentazioni, webinar, lezioni e altro ancora, i dipendenti possono imparare a riconoscere le minacce alla sicurezza e proteggere meglio i dati critici e altre informazioni sensibili.
L'esecuzione di valutazioni e analisi dei rischi continue aiuta a identificare potenziali minacce ed evitare violazioni dei dati. Le valutazioni del rischio consentono di fare il punto sull'impronta di dati e sulle misure di sicurezza e isolare le vulnerabilità mantenendo politiche di protezione dei dati aggiornate. Inoltre, sono previste da alcune leggi e normative sulla protezione dei dati.
Documentare i dati sensibili in un ambiente IT ibrido è impegnativo ma necessario per qualsiasi buona strategia di protezione dei dati. Mantieni registri accurati per autorità di regolamentazione, dirigenti, fornitori e altri in caso di audit, indagini o altri eventi di cybersecurity. La documentazione aggiornata crea efficienza operativa e garantisce trasparenza, responsabilità e conformità alle leggi sulla protezione dei dati. Inoltre, le politiche e le procedure di protezione dei dati devono essere sempre aggiornate per contrastare le nuove minacce informatiche.
Il monitoraggio offre visibilità in tempo reale sulle attività dei dati, consentendo il rilevamento e la correzione rapidi di potenziali vulnerabilità. Alcune leggi sulla protezione dei dati potrebbero persino richiederlo. E anche quando non è richiesto, il monitoraggio può aiutare a mantenere le attività dei dati conformi alle politiche di protezione dei dati (come il monitoraggio della conformità). Le organizzazioni possono anche utilizzarlo per testare l'efficacia delle misure di sicurezza proposte.
Sebbene le strategie differiscano a seconda dei settori, delle aree geografiche, delle esigenze dei clienti e di una serie di altri fattori, l'individuazione di questi elementi essenziali aiuterà a impostare l'organizzazione sulla strada giusta per rafforzare la protezione dei dati.
Esplora la soluzione di protezione dei dati di IBM