Nelle organizzazioni esiste in generale una fondamentale mancanza di controllo sui dati, che le espone maggiormente agli attacchi e alle violazioni perpetrate dai criminali informatici, violazioni sempre più spesso in grado di esfiltrare informazioni critiche o dati sensibili. Così David Gibson, vice president of strategy and market development di Varonis – multinazionale con quartier generale a New York, fornitrice di soluzioni software per difendere le informazioni dalle minacce interne e dai cyber-attacchi – fotografa la situazione attuale all’interno delle imprese, quando gli si domanda come percepisca, dal suo punto di vista, lo stato dell’arte della tecnologia di protezione dei dati nelle aziende in Europa e in Italia.
Ed è proprio questo problema di fondo, spiega, che ha motivato nel 2005 la nascita di Varonis, ispirata, qualche anno prima, da un caso eclatante: nel 2003, a una grande azienda del settore industriale petrolio e gas, che aveva speso milioni di dollari nell’acquisizione di immagini ad alta risoluzione del fondale marino, poi memorizzate sui propri file server, era capitato di non riuscire più a ritrovarle, e di non possedere nemmeno file di registro sui sistemi di storage, utili a rintracciare il percorso dei dati, chi vi aveva avuto accesso e con quali permessi, per capire cosa fosse successo. Dunque, chiarisce, il punto chiave è saper gestire l’infrastruttura di file sharing aziendale, a livello di permessi per cartelle e file, in modo che solo le persone corrette possano accedere a determinate informazioni.
«Nel 2003 si è poi raggiunto un livello di maturità del business in cui i dati sono cresciuti in valore e volume, e così rapidamente da rendere difficile seguire tutti i dettagli sulle varie attività, e da aumentare l’esigenza di maggior controllo sulle informazioni. Oggi, i volumi di dati crescono ancora, e la carenza di intelligence sul loro controllo ha causato quello che si è visto negli ultimi anni». Gibson cita il rapporto OPM (Office of Personnel Management) Data Breach, sulle gravi e irreparabili perdite di dati causate dalle violazioni della rete di uffici di gestione del personale degli Stati Uniti, ma anche vicende come quella di Sony Pictures, i Panama Papers, WikiLeaks. Tali violazioni, spiega, hanno almeno due cose in comune: la prima è l’uso delle credenziali e privilegi di un ‘insider’ per guadagnare l’accesso ai dati, e la seconda è che i dati esfiltrati sono tipicamente di tipo destrutturato, come e-mail e video. Sono questi, quindi, i dati da identificare e proteggere in modo particolare, controllandone l’accesso.
Ma come? Le soluzioni e la metodologia sviluppata da Varonis aiutano a far questo, mappando utenti e gruppi, accessi alle directory, e monitorando ogni attività sui dati. La tecnologia di Varonis classifica e identifica in automatico i dati sensibili, applica restrizioni sulle cartelle con autorizzazioni di accesso sovradimensionate rispetto alle reali necessità, e utilizza tecniche di machine learning per rilevare comportamenti sospetti degli utenti e mitigare i rischi di violazioni. Attraverso tali funzionalità, Varonis aiuta le aziende anche a rispettare la conformità al Regolamento Generale sulla Protezione dei Dati (RGPD), che entrerà in vigore nel maggio 2018, introducendo maggiori vincoli sul trattamento dei dati e nuove regole per la comunicazione delle violazioni. La tecnologia di Varonis, precisa Gibson, è in grado di verificare potenziali punti di non conformità alla normativa GDPR, concentrandosi sulle aree IT con dati a maggior rischio, e mitigando in automatico la possibilità di violazioni, attraverso la riduzione dei dati sensibili a cui si ha accesso, e la loro apertura ai soli utenti autorizzati.
