Classificare Non È la Strada per il Privilegio Minimo

Cosa ti dice davvero una scansione DSPM (e cosa non ti dice)

Questo scarto vale la pena tenerlo a mente ora che la data security posture management, o DSPM, sta diventando una delle categorie di sicurezza in più rapida crescita. Gartner stimava l'adozione del DSPM sotto l'1% delle organizzazioni nel 2022 e prevede che superi il 20% entro il 2026, una salita vertiginosa per una categoria ancora giovane. La definizione di Gartner spiega l'attrattiva: gli strumenti DSPM individuano, classificano e catalogano i dati sensibili in archivi on-premises, cloud e SaaS, così un team di sicurezza può finalmente vedere dove vivono le sue informazioni regolamentate e riservate e, nel migliore dei casi, chi vi ha accesso.

Vederlo è dove iniziano i problemi.

Considera cosa riceve davvero un CISO al termine di una scansione: un numero. Una certa quantità di file sensibili sparsi in un certo insieme di repository viene segnalata ed etichettata. Il rilievo è reale, e influisce sull'ansia del team di sicurezza molto più di quanto influisca sulla sua effettiva esposizione. Lo strumento ha solo riportato dove si trova il dato. Potrebbe dire qualcosa su chi può raggiungere quel dato, ma se quelle persone dovevano davvero avere quell'accesso, o cosa fare dopo, resta fuori dal DSPM. Ciò che finisce sulla scrivania del CISO è un inventario dell'esposizione, non un piano per ridurla.

Perché la classificazione non può portarti al privilegio minimo

Ecco la distinzione che la categoria confonde. Il rischio legato a un file sensibile deriva da tre cose contemporaneamente: quanto sono sensibili i dati, chi può raggiungerli e se quelle persone hanno un motivo legittimo per farlo. La classificazione affronta il primo termine. Anche quando lo fa con precisione, dice poco sulla legittimità dell'accesso e sul terreno in cui vive l'esposizione. Ecco perché un team di sicurezza non può classificare la propria strada verso il privilegio minimo.

Tre meccanismi spiegano questo silenzio.

Si comincia dal divario tra l'accesso effettivo e la lista di controllo degli accessi (ACL). Ciò che dicono i permessi di un file e chi può davvero apriglielo divergono nel momento in cui la realtà si intromette: gruppi di Active Directory annidati, eredità dei permessi, eredità interrotta in qualche punto dell'albero, una voce "Everyone" o "Authenticated Users" presente su una condivisione, un link di SharePoint dimenticato ma ancora attivo nella posta di qualcuno. Uno strumento che legge l'etichetta di sensibilità vede i permessi dichiarati. Non risolve il grafo reale di raggiungibilità, e la distanza tra i due è la via lungo cui viaggia una violazione.

Poi c'è l'origine del percorso di accesso, che si trova nel tessuto identitario ben prima di arrivare al dato. Il gruppo con permessi eccessivi, il gruppo di sicurezza con qualche migliaio di membri che nessuno ha ripulito da anni, l'account di servizio o l'agente IA con accesso in lettura permanente, l'identità guest in Entra che porta ancora con sé un link: sono questi ad aprire la porta, e vivono nel livello identitario. Uno scanner che legge solo l'archivio dati non può vedere l'intero percorso, dato che metà di esso non è mai stata nell'archivio dati fin dall'inizio.

Infine, individuazione e correzione sono compiti diversi. Una scansione produce un rilievo. Il rischio si riduce solo quando qualcuno rimuove il gruppo globale, metta in quarantena la cartella, la ripermetta in base a ciò di cui il business ha realmente bisogno, e possa poi dimostrare il privilegio minimo. Questo è un atto di governance degli accessi, e nessun volume di classificazione lo compie.

Supponi che una scansione segnali una cartella di registri paghe come altamente sensibile. Da un lato, il team di sicurezza ora sa che la cartella esiste ed è importante, che è il primo passo necessario. Dall'altro, la cartella si trova dietro una concessione legacy a "Domain Users" applicata anni fa per un progetto chiuso da tempo, quindi diverse migliaia di persone possono aprirla questo pomeriggio, e l'etichetta di classificazione non ha cambiato nulla di tutto ciò. L'etichetta dice al team che la cartella merita protezione; solo il modello di accesso dice loro che al momento non è protetta, e solo la correzione la chiude.

Come Netwrix Access Analyzer chiude il divario

Questa è la direzione da cui lavora Netwrix Access Analyzer. Parte dal modello di accesso e arriva al dato attraverso di esso, mentre gli scanner cloud-native lavorano nella direzione opposta, mappando prima il dato e inferendo poi l'accesso. Risolve l'accesso effettivo in ambienti ibridi e non strutturati, districa la proliferazione di permessi di Active Directory ed Entra che gli scanner trattano come opaca, porta alla luce ciò che è sovraesposto e obsoleto, e guida la correzione con un passaggio di simulazione seguito da esecuzione, con revisioni indirizzate al business owner, che è chi sa se una determinata persona debba effettivamente avere quell'accesso.

La classificazione trova il rischio. L'accesso lo elimina.

Nulla di tutto ciò rende inutile la classificazione. Un team non può governare l'accesso a dati che non ha mai localizzato, quindi l'individuazione deve venire prima. Il suo compito è localizzare il rischio; chiuderlo appartiene a una disciplina diversa. L'inquadramento sostenibile è ristretto: la classificazione mostra a un team di sicurezza dove si concentra il proprio rischio, e l'accesso è dove quel rischio viene eliminato. Devi fare entrambe le cose se l'obiettivo è una gestione del rischio equilibrata.

Il che ci riporta al fascicolo dell'ispettore. Ha un valore reale, perché dice al proprietario dove inviare l'impresa. Ma nessuno confonde il fascicolo con una casa riparata, e una mappa dei dati classificati merita lo stesso scetticismo. Qualsiasi strumento DSPM sul mercato può dire dove vive il dato sensibile. La domanda che decide se quel dato è a rischio è chi può aprirlo, e quella risposta non è mai stata nella mappa dei dati. È nel modello di accesso.