La dicitura “strettamente confidenziale” stampata su documenti top secret è stata per decenni tipica di romanzi e film di spionaggio. Visti con gli occhi di oggi, proteggere questi documenti era abbastanza semplice: venivano tenuti in posti sicuri, lontani da occhi indiscreti. I file digitali che usiamo oggi – documenti Word, PDF, fogli di calcolo e presentazioni – non sono però così semplici da proteggere.
Essi tuttavia rappresentano la linfa vitale della maggior parte delle organizzazioni di oggi, liberamente condivisi con colleghi, partner e clienti. Secondo l’ultimo Security Report di Check Point, in media ogni 49 minuti vengono inviati dati sensibili all’esterno dell’azienda, mentre l’85% delle organizzazioni ha utilizzato Dropbox per condividere documenti aziendali. Una volta che il documento ha lasciato la rete aziendale, tipicamente non vi è né visibilità né controllo di come venga condiviso, o chi vi stia accedendo.
Questo pone il contenuto dei documenti, e le organizzazioni stesse, a rischio. Il problema è particolarmente attuale a seguito del recente attacco a Sony Pictures, in cui hacker sono stato in grado di sottrarre e pubblicare una serie di informazioni personali sui dipendenti così come corrispondenza privata relativa a terze parti molto note, e questo ha messo in grave imbarazzo l’azienda.
=> Sicurezza informatica PMI: online le linee guida
Proteggere i documenti
Il problema principale è che proteggere i contenuti dei documenti aziendali – che si tratti di informazioni aziendali confidenziali, dettagli sui dipendenti o altro materiale sensibile – di solito non è una priorità per il dipendente che li crea. Si dà per scontato che i documenti rimarranno al sicuro all’interno dell’infrastruttura di sicurezza di rete dell’organizzazione e che non saranno mai inviati inavvertitamente o condivisi con persone non autorizzate. Ma come si è ripetutamente visto nel corso dell’ultimo decennio, i documenti non protetti spesso finiscono per cadere in mani sbagliate come risultato di azioni accidentali o malevole. Le aziende non possono sempre affidarsi ai loro sistemi di sicurezza di rete, o alle misure di sicurezza che i dipendenti implementano sui loro laptop e dispositivi mobili, per mantenere i documenti al sicuro.
Allora come possono essere protetti questi file con un equivalente moderno, applicabile e tracciabile dell’avvertimento “strettamente confidenziale”, che garantisce che solo le persone autorizzate a visualizzare e utilizzare tale documento possano effettivamente farlo?
Tradizionalmente, i documenti vengono protetti con password utilizzando una soluzione fornita da un OEM o un fornitore specializzato. Una volta che il documento viene bloccato, può essere sbloccato solo immettendo una password o tramite lo stesso software di decifratura del mittente. Il problema di questo metodo è che le password vengono perse, dimenticate o compromesse in continuazione. E proteggersi con password semplici non fornisce il livello di sicurezza che le aziende richiedono.
=> Sistemi e metodi per password sicure
Quali diritti?
È necessaria una protezione dei dati che vada oltre una loro semplice crittografia, aggiungendo una gestione di taglio aziendale dei diritti digitali, che consente alle organizzazioni di personalizzare il modo in cui proteggono i loro documenti. La sicurezza dovrebbe essere stabilita quando il documento viene creato per la prima volta e dovrebbe viaggiare con esso, in modo che le linee guida aziendali siano sempre applicate, con la possibilità di tracciare e analizzare chi ha avuto accesso e condiviso il documento.
Questo può essere fatto utilizzando un client leggero di document security, utilizzabile su PC e dispositivi mobili, che opera come plug-in di noti programmi aziendali quali Microsoft Office e Adobe Acrobat. Quando si crea un documento con questi programmi, l’autore utilizza il plug-in di sicurezza per scegliere quali utenti o gruppi possono vederlo e modificarlo, e stabilisce in che modo il documento può essere distribuito (per esempio, impedendo la sua stampa o l’inoltro a terzi). Questo permette di proteggere anche documenti e dati archiviati su dispositivi e servizi cloud non fidati, e garantisce che rimangano cifrati in maniera forte, e accessibili solo ai destinatari definiti dall’autore del documento attraverso il loro ciclo di vita.
Se un utente prova ad aprire un documento protetto senza il client appropriato sul suo dispositivo, riceverà un sintetico alert che lo informa che tale documento è protetto, con le indicazioni per scaricare il relativo client in modo da visualizzare o modificare il documento protetto. Il plugin tiene traccia delle operazioni condotte sul documento e determina quali funzioni sono consentite o bloccate, sulla base dei permessi concessi all’utente (come lettura, modifica, salvataggio, stampa, screen-grab, copia/incolla, e così via). Rimuovere un utente da un’organizzazione comporta l’immediata revoca dell’accesso ai documenti protetti.
Questa capacità di applicare in modo granulare il controllo degli accessi e la gestione dei diritti in base a come i documenti possono essere condivisi, visualizzati e modificati attraverso il loro ciclo di vita, e da quali utenti, rappresenta un’arma potente nell’arsenale di sicurezza di qualsiasi organizzazione. Focalizzarsi sulla gestione e proteggere l’uso di dati e documenti aziendali semplifica le sfide legate alla sicurezza – in particolare con la rapida crescita del lavoro mobile e da remoto.
Dopo tutto, la questione realmente importante non è il dispositivo usato per accedere ed elaborare i documenti, ma il fatto che la persona abbia i diritti adeguati. Adottando un approccio che mette al centro il documento per proteggere i file confidenziali, le aziende possono mantenere protetti i loro dati dagli occhi indiscreti di coloro che non sono autorizzati a vederli – rendendo effettiva la frase “strettamente confidenziale”.
Per maggiori informazioni consultare il sito Checkpoint.
