La digitalizzazione ha trasformato radicalmente il modo in cui le informazioni vengono gestite e archiviate, rendendo i dati un asset di valore inestimabile per aziende, organizzazioni e privati. Ma l’interconnessione porta con sé dei rischi, o ne amplifica alcuni già tradizionalmente esistenti, come la fuga di dati, una delle minacce più gravi alla privacy, alla riservatezza, alla sicurezza informatica e al potere competitivo di un’impresa. Esaminiamola nel dettaglio.
Fuga di dati: cos’è
Una fuga di dati, o data leak, si verifica quando informazioni sensibili, riservate o personali vengono esposte o trasferite al di fuori di un ambiente sicuro senza autorizzazione.
A differenza di un attacco informatico diretto, può avvenire in modo silente, senza che ci sia una consapevolezza immediata dell’incidente, ma le conseguenze possono essere altrettanto gravi.
Fuga di dati e violazione di dati: le differenze
Spesso i termini “fuga di dati” e “violazione di dati” (data breach) vengono utilizzati in modo intercambiabile, ma in realtà si riferiscono a fenomeni distinti, sebbene correlati.
- Fuga di dati: riguarda generalmente l’esposizione accidentale di informazioni riservate, più di rado è intenzionale. In questi casi, non si ha un attacco esterno o una violazione diretta del sistema; piuttosto, la vulnerabilità è interna.
- Violazione di dati: si tratta di un’azione deliberata e malevola da parte di attori esterni, i criminali informatici, che sfruttano vulnerabilità nei sistemi di sicurezza per accedere illegalmente a informazioni protette. In questo caso, parliamo di una vera e propria intrusione dolosa, spesso realizzata attraverso malware, phishing o altre tecniche di hacking.
Fuga di dati: i tipi e le cause
La fuga di dati è il prodotto di debolezze o lacune all’interno dell’organizzazione o azienda stessa, della sua infrastruttura, dei suoi sistemi e dispositivi elettronici o del suo personale; è il prodotto di errori, negligenze, configurazioni errate, cattiva gestione dei sistemi di sicurezza o difetti nei processi interni quali facilitano l’esposizione o la perdita di informazioni sensibili. Approfondiamo le origini e implicazioni più comuni.
Errori di configurazione e protezione
Può includere:
- server, firewall o database mal configurati, che portano alla visibilità pubblica di dati sensibili su Internet senza che gli amministratori ne siano consapevoli (come un server cloud non protetto);
- utilizzo di reti Wi-Fi pubbliche non sicure, cioè non criptate, quali espongono alla facile intercettazione del traffico di dati;
- rete ospite non isolata, ossia quella rete che alcune organizzazioni offrono per i visitatori o per l’uso pubblico; se questa non è adeguatamente isolata dalla rete principale aziendale, i dispositivi collegati alla rete ospite possono avere accesso involontario a risorse interne;
- mancanza di aggiornamenti e patch di sicurezza, per software, sistemi operativi, antivirus, ecc.
Insider threat
L’insider threat – letteralmente: minaccia interna – è quella risorsa umana che con colpa – ovvero inconsapevolmente, per disattenzione o negligenza, – o con dolo – cioè con il preciso scopo di ledere – permette la fuga di dati. Può essere un dipendente imprudente, un dipendente infedele, un ex-dipendente con credenziali ancora funzionanti, un socio infedele, un collaboratore esterno, un fornitore, un partner d’impresa; insomma, chiunque per ragioni di cooperazione o dipendenza lavorativa, possiede informazioni riservate o le chiavi d’acceso ai sistemi.
La fuga di dati prodotta da un insider threat che agisce con colpa è per lo più tradotta come errore umano, e può esplicarsi mediante:
- l’invio involontario di e-mail a destinatari non autorizzati, contenenti documenti o informazioni riservati o sensibili;
- gli attacchi phishing e social engineering, azioni sì provenienti dall’esterno ma spesso realizzabili per via della negligenza e/o della mal informazione del personale interno;
- la perdita o il furto di supporti fisici di archiviazione, come laptop, hard disk, chiavette USB o documenti cartacei contenenti informazioni sensibili.
La fuga di dati prodotta da un insider threat che agisce con dolo, invece, può avvenire per:
- vendetta o avidità;
- corruzione da parte di attori esterni;
- obiezione morale sull’operato dell’azienda, è il caso dei cosiddetti whistleblower, coloro che lasciano volontariamente trapelare le informazioni di cui sono a conoscenza per denunciare, pubblicamente o segretamente, attività illecite o poco etiche.
Gestione inadeguata delle credenziali
Un altro punto critico di vulnerabilità interna è la gestione inadeguata delle credenziali di accesso, che può configurarsi mediante:
- password deboli, quali possono essere rapidamente compromesse attraverso tecniche fraudolente come il brute force o l’ingegneria sociale;
- mancata autenticazione a più fattori (MFA), quale aumenta il rischio di accesso non autorizzato ai sistemi, specialmente nel caso in cui le credenziali vengano rubate o esposte;
- password condivise tra più utenti o riutilizzate su più piattaforme;
- permessi di accesso eccessivi, il che si verifica quando i dipendenti hanno accesso a più dati di quanto sia necessario per le loro mansioni; è un fenomeno noto come principio del privilegio minimo non applicato, responsabile di aumentare il rischio di divulgazione non consentita.
Policy di sicurezza assenti o inadeguati
Molte organizzazioni non dispongono di processi di sicurezza o non li applicano in modo rigoroso. Alcuni esempi di vulnerabilità procedurali includono:
- la mancanza di politiche di sicurezza dei dati, ossia l’assenza di linee guida chiare su come gestire, archiviare e trasferire i dati;
- l’insufficienza di monitoraggio, ovvero l’azione di osservazione e controllo continuo capace di rilevare tempestivamente accessi sospetti o anomalie nei sistemi;
- backup inadeguati o non sicuri, cioè non criptati o fatti usando sistemi vulnerabili.
Fuga di dati: quali informazioni sono a rischio?
Le informazioni più a rischio di essere esposte durante una fuga di dati variano a seconda del contesto in cui opera l’organizzazione o l’individuo coinvolto. Tra le più appetibili, si annoverano:
- i dati personali, come nomi, indirizzi, numeri di telefono, codici fiscali, ecc.;
- le credenziali di accesso, come password, PIN e altri dati di autenticazione;
- i dati finanziari, numeri di carte di credito, conti bancari, ecc.;
- i dati sanitari, quindi diagnosi, trattamenti e storie cliniche;
- la proprietà intellettuale, quindi la proprietà industriale (comprendente brevetti, marchi, disegni e modelli industriali e il segreto industriale) e il diritto d’autore;
- i segreti commerciali, ovvero quelle conoscenze sottoposte a protezione tramite accordi di non divulgazione (NDA – “Non Disclosure Agreements”) o patti di non concorrenza.
Fuga di dati: le conseguenze
Da una fuga di dati possono generarsi conseguenze devastanti, sia per le aziende che per gli individui; possono infatti derivare:
- perdite economiche;
- cause legali;
- danni reputazionali;
- rallentamento o interruzione delle attività aziendali.
Fuga di dati: come prevenirla
La prevenzione delle fughe di dati richiede un approccio proattivo e multilivello, che combina misure tecniche, organizzative e formative. Eccone alcune:
- formazione del personale, per ridurre il rischio di incidenti dovuti a impreparazione;
- configurazioni, protezioni e aggiornamenti adeguati dei sistemi, per non rendersi vulnerabili agliattacchi informatici;
- crittografia dei dati, per proteggere i dati sia in transito che a riposo;
- controllo e limitazione degli accessi;
- monitoraggio continuo, per individuare e arginare individuare tempestivamente un’eventuale fuga.