Il rischio interno inizia da chi può leggere i dati

Rischio interno

I team di sicurezza spesso considerano il rischio interno come un problema di attaccanti esterni, ma non è del tutto corretto. Il rischio interno è l'esposizione causata da persone che hanno già accesso legittimo. Include dipendenti, appaltatori e amministratori che possono vedere o gestire dati sensibili come parte del loro lavoro, indipendentemente dal fatto che ne abusino o meno. La maggior parte delle discussioni sul rischio interno salta questa definizione e va direttamente allo scenario del dipendente malintenzionato, quello che ruba dati uscendo. È un rischio reale, ma non il più comune. La versione molto più frequente è un accesso che nessuno ha mai messo in discussione: un permesso concesso per uno scopo che silenziosamente apre la porta a qualcos'altro.

Gli amministratori possono vedere dati sensibili

I team di sicurezza dedicano molto tempo a modellare le minacce esterne: phishing, stuffing di credenziali e attori di ransomware che si muovono lateralmente nella rete. Il rischio interno riceve un’attenzione diversa, solitamente incentrata su dipendenti malintenzionati o distratti che cliccano il link sbagliato. Entrambi sono importanti. Nessuno copre la versione più silenziosa del problema: persone che vedono dati sensibili solo grazie agli strumenti che gestiscono, senza che nessuno abbia deciso che dovessero vederli.

Una piattaforma di classificazione dati deve scansionare file system, caselle di posta, siti SharePoint e unità cloud per trovare e contrassegnare contenuti sensibili. L'accesso alla scansione deve essere ampio per progettazione; lo strumento non può classificare ciò che non può raggiungere. Il problema nasce quando i fornitori uniscono questo ampio accesso con la possibilità di aprire e leggere il contenuto dei file, consegnandolo a chiunque gestisca la piattaforma.

Gli account amministratore non sono controllati

Chiedete alla maggior parte dei team di sicurezza chi può vedere i dati regolamentati dei clienti, e indicheranno le loro regole DLP, le revisioni degli accessi e i permessi basati sui ruoli sul file server. Chiedete chi può aprire quei dati tramite lo strumento di classificazione che li analizza, e la risposta diventa subito vaga.

I ruoli di superutente e amministratore tendono a restare fuori dalle revisioni degli accessi create per i dipendenti normali. Sono considerati affidabili di default, ed è proprio questa supposizione che li rende degni di attenzione. Un amministratore della classificazione non deve leggere il contenuto di una cartella clinica per confermare che la regola di tassonomia HIPAA si sia attivata correttamente; ha bisogno della conferma che la regola sia stata attivata. Sono due permessi diversi, ma la maggior parte degli strumenti ne fornisce solo uno.

È lo stesso principio che guida il minimo privilegio in tutta la sicurezza, applicato a un luogo dove raramente si applica: lo strumento che gestisce i tuoi dati più sensibili.

Rifinitura di sicurezza

Il security trimming, la pratica di limitare ciò che un utente può trovare in una ricerca in base ai suoi permessi, risolve metà del problema. Impedisce a un dipendente normale di imbattersi in un file che non dovrebbe vedere tramite un risultato di ricerca. Non è mai stato progettato per governare la console di amministrazione, dove chi ha accesso alla piattaforma può aprire la scheda Testo su qualsiasi documento indicizzato, indipendentemente da ciò che il security trimming consente agli altri di vedere.

Questa distinzione è più importante man mano che le normative diventano specifiche sull’accesso ai contenuti, oltre che ai soli metadati. Gli auditor vogliono sempre più sapere chi può leggere il contenuto effettivo dei file regolamentati, oltre a confermare che un file esiste e come è etichettato. "I nostri amministratori hanno accesso ampio perché devono gestire lo strumento" non soddisfa questa domanda, e considerarla sufficiente è causa di rilievi nelle verifiche.

L'accesso ai contenuti necessita di un permesso dedicato

Netwrix Data Classification separa la possibilità di visualizzare il contenuto dei documenti dalle funzioni di classificazione e amministrazione che prima la includevano di default. Gli super utenti non vedono automaticamente i contenuti dei file; gli amministratori devono concedere l'accesso in modo intenzionale.

Funziona insieme al controllo di sicurezza esistente, senza sostituirlo, quindi si applicano entrambi i livelli: ciò che un utente normale può trovare in una ricerca e, separatamente, chi tra i tuoi amministratori può aprire ciò che trovano.

In pratica, un amministratore della classificazione può eseguire scansioni, verificare come sono state applicate le regole tassonomiche e gestire il flusso di lavoro dei file segnalati senza mai aprirli. I team riservano l’accesso ai contenuti solo ai revisori o investigatori che devono leggerne il contenuto.