DSPM e DLP: qual è la differenza e sono necessari entrambi?

I responsabili della sicurezza non hanno bisogno di un altro strumento che risolva solo metà del problema. Eppure è proprio ciò che accade quando le organizzazioni trattano il Data Security Posture Management (DSPM) e Data Loss Prevention (DLP) come concetti intercambiabili — o, peggio ancora, presumono che l’uno possa sostituire l’altro.

La confusione è comprensibile. Entrambe le tecnologie sostengono di proteggere i dati sensibili. Entrambi i fornitori le presentano come indispensabili. Ed entrambe figurano nelle stesse liste di selezione degli analisti. Tuttavia, DSPM e DLP rispondono a domande fondamentalmente diverse riguardo ai vostri dati, e comprendere in quale ambito opera ciascuna di esse fa la differenza tra un programma di sicurezza con copertura completa e uno con punti ciechi sufficientemente ampi da consentire una violazione.

La presente guida illustra in dettaglio le funzionalità di ciascuna tecnologia, i punti in cui si sovrappongono e — soprattutto — come decidere quale investimento effettuare per primo in base al proprio profilo di rischio effettivo.

Un quadro di riferimento per riflettere sul DSPM e sul DLP

Prima di confrontare gli elenchi delle funzionalità, è utile incentrare la discussione su un elemento indipendente dai fornitori. Il Cybersecurity Framework (CSF) 2.0 del NIST articola la sicurezza informatica in sei funzioni fondamentali: governare, identificare, proteggere, rilevare, reagire e ripristinare. La mappatura delle soluzioni DSPM e DLP rispetto a tali funzioni chiarisce il motivo per cui esse sono complementari anziché competitive.

Il modello DSPM si ricollega principalmente alle funzioni “Govern” e “Identify”. La funzione “Govern” definisce la strategia di sicurezza informatica, la tolleranza al rischio e l’attività di supervisione — ovvero il contesto organizzativo che determina il significato del termine “sensibile” nel vostro ambiente. La funzione “Identify” si concentra sulla comprensione delle vostre risorse, dei flussi di dati e del panorama dei rischi. Il modello DSPM risponde alle domande fondamentali che queste funzioni richiedono: Dove si trovano i nostri dati sensibili? Chi può accedervi? Tale accesso è appropriato? Qual è la nostra attuale esposizione al rischio?

Il DLP si ricollega principalmente alle funzioni “Protezione” e “Rilevamento”. La funzione “Protezione” implementa misure di sicurezza volte a impedire che i dati sensibili escano dai canali autorizzati. La funzione “Rilevamento” identifica gli eventi di sicurezza informatica — come nel caso in cui un dipendente inoltri un foglio di calcolo contenente numeri di previdenza sociale a un account Gmail personale — nel momento stesso in cui si verificano o poco dopo. Il DLP opera nel punto in cui avviene l’azione, applicando politiche che impediscono ai dati di essere trasferiti dove non dovrebbero.

Questa analisi mette in luce l’asimmetria fondamentale: il DSPM vi indica di cosa disponete e dove siete esposti. Il DLP impedisce che le informazioni di cui siete a conoscenza escano dall’organizzazione. Nessuna delle due funzioni è facoltativa, ma l’ordine in cui si investe dipende da quale lacuna sta generando un rischio maggiore in questo momento.

Cosa fa realmente il DSPM

La gestione della sicurezza dei dati (Data Security Posture Management, DSPM) è un approccio incentrato sui dati volto a comprendere e gestire i rischi in ambienti cloud, SaaS, ibridi e on-premise. Anziché concentrarsi sulla protezione del perimetro o sul monitoraggio degli endpoint, la DSPM pone l’accento sui dati stessi.

Una piattaforma DSPM individua costantemente i dati sensibili ovunque essi si trovino: bucket di archiviazione cloud, applicazioni SaaS, data warehouse, condivisioni di file, piattaforme di collaborazione e, sempre più spesso, pipeline di addestramento dell’intelligenza artificiale. Successivamente, classificatali dati in base alla sensibilità e alla rilevanza normativa (PII, PHI, PCI, proprietà intellettuale), individua chi ne ha accesso e valuta se tale accesso sia appropriato, ed evidenzia i rischi legati alla sicurezza, quali repository configurati in modo errato, link di condivisione eccessivamente permissivi, archiviazione non crittografata o dati presenti in posizioni in cui non avrebbero mai dovuto trovarsi.

Le funzionalità chiave di DSPM includono l’individuazione automatizzata dei dati in tutti gli ambienti, una classificazione basata sull’intelligenza artificiale in grado di comprendere il contesto anziché limitarsi al semplice abbinamento di parole chiave, una governance degli accessi che mappa le autorizzazioni e identifica gli accessi eccessivi o orfani, una valutazione del rischio che assegna priorità alle esposizioni in base all’impatto sul business, la mappatura della conformità rispetto a quadri normativi quali HIPAA, GDPR, PCI DSS e CCPA, nonché il rilevamento dei dati ombra, che individua le informazioni create o archiviate al di fuori dei sistemi sottoposti a governance.

Il DSPM costituisce il livello di ricognizione. Esso crea la mappa del panorama dei dati su cui si basano tutti gli altri controlli di sicurezza. Senza di esso, si applicano le politiche su un terreno che non si riesce a vedere nella sua interezza.

Cosa fa effettivamente il DLP

Data Loss Prevention , DLP) Data Loss Prevention una tecnologia di controllo basata su criteri, progettata per impedire che dati sensibili vengano trasmessi, condivisi o consultati da soggetti non autorizzati. La DLP è ormai da oltre un decennio un elemento fondamentale della sicurezza aziendale, e a ragione: opera proprio nel punto in cui i dati escono effettivamente dall’organizzazione.

Una piattaforma DLP monitora i dati in transito (e-mail, caricamenti sul web, sincronizzazione su cloud, messaggistica), i dati inattivi (server di file, database, endpoint) e i dati in uso (operazioni sugli appunti, cattura dello schermo, stampa). Quando rileva contenuti che corrispondono a criteri predefiniti — un numero di carta di credito in un’e-mail in uscita, il codice sorgente caricato su un servizio cloud non autorizzato, la copia di una cartella clinica su una chiavetta USB — può bloccare l’azione, mettere in quarantena il file, avvisare il team di sicurezza o fornire indicazioni all’utente con un promemoria relativo ai criteri.

Le funzionalità chiave del DLP comprendono l’ispezione in tempo reale dei contenuti su canali quali e-mail, web, endpoint e cloud; l’applicazione di politiche che bloccano, mettono in quarantena o crittografano i dati in base a regole prestabilite; il monitoraggio del comportamento degli utenti, volto a identificare modelli di comportamento a rischio prima che si trasformino in incidenti; flussi di lavoro per la gestione degli incidenti, finalizzati all’indagine e alla risoluzione delle violazioni; l’applicazione della conformità normativa in materia di trattamento dei dati; nonché l’integrazione con secure web gateway CASB e secure web gateway per garantire l’uniformità delle politiche sul traffico cloud e web.

Il DLP rappresenta il livello di applicazione. Agisce sulla base delle informazioni di cui dispone, applicando le regole in tempo reale per impedire l’esfiltrazione. Il suo limite risiede nel fatto che la sua efficacia dipende interamente dalla qualità della classificazione e dalla definizione delle politiche su cui si basa — ed è proprio in questo ambito che il DSPM colma la lacuna.

DSPM e DLP: confronto delle funzionalità

La tabella illustra chiaramente la relazione: il DSPM fornisce le informazioni, mentre il DLP ne garantisce l’applicazione. Utilizzare il DLP senza il DSPM significa applicare le politiche a un panorama di dati che non si comprende appieno. Utilizzare il DSPM senza il DLP significa individuare rischi che non è possibile prevenire attivamente.

Scenario: un’organizzazione sanitaria scopre ciò che il DLP non riesce a individuare

Il Regional Memorial Health System gestisce un sistema DLP ben consolidato. Il DLP per la posta elettronica intercetta le informazioni sanitarie protette (PHI) nei messaggi in uscita. Il DLP per gli endpoint impedisce il trasferimento dei dati dei pazienti tramite dispositivi USB. Il loro team addetto alla conformità ritiene che data loss prevention sia data loss prevention problema risolto.

A quel punto, un’implementazione DSPM esegue per la prima volta una scansione dell’ambiente Microsoft 365.

La piattaforma individua una cartella condivisa su OneDrive — creata 18 mesi fa da un coordinatore della fatturazione nell’ambito di un progetto a breve termine con un revisore assicurativo esterno — contenente 2.300 moduli di registrazione dei pazienti con nomi, date di nascita, diagnosi e numeri di polizza assicurativa. Durante la collaborazione originaria, le autorizzazioni della cartella erano state impostate su “Chiunque disponga del link”. Il progetto del revisore esterno si è concluso un anno fa. Il link non è mai stato revocato.

DLP non ha mai segnalato questa vulnerabilità. I dati non venivano trasmessi tramite un canale monitorato. Nessuno inviava questi file via e-mail né li scaricava su una chiavetta USB. I dati erano semplicemente archiviati in una cartella cloud condivisa in modo eccessivo, accessibile a chiunque disponesse dell’URL, completamente invisibile al livello di controllo.

Il DSPM ha classificato i contenuti come PHI, ha segnalato l’autorizzazione “Chiunque disponga del link” come esposizione critica, ha rilevato che l’accesso esterno era inattivo da oltre un anno e ha generato una raccomandazione correttiva: revocare il link pubblico, limitare l’accesso al team di fatturazione e applicare un’etichetta di sensibilità HIPAA.

Per un’organizzazione sanitaria soggetta alla normativa HIPAA, questo tipo di esposizione passiva è altrettanto pericolosa quanto l’esfiltrazione attiva — e probabilmente più difficile da individuare. I dati non sono mai andati “persi” nel senso inteso dalla normativa DLP. Sono stati semplicemente esposti in una posizione che il sistema DLP non monitorava. Senza le funzionalità di individuazione e governance degli accessi offerte da DSPM, questa cartella avrebbe potuto rimanere accessibile a tempo indeterminato, costituendo una violazione della conformità in attesa di un audit dell’OCR o di un attore malintenzionato in possesso dell’URL corretto.

Scenario: un’azienda del settore dei servizi finanziari necessita di ciò che DSPM non è in grado di offrire

Meridian Capital Partners gestisce un trading desk proprietario. La loro proprietà intellettuale non consiste solo nei dati dei clienti, ma anche negli algoritmi di trading, nei dati relativi alle posizioni e nelle analisi di mercato che garantiscono loro un vantaggio competitivo. La fuga di un solo documento strategico potrebbe comportare una perdita di vantaggio pari a milioni prima ancora che qualcuno si accorga di quanto accaduto.

Il loro team di sicurezza implementa DSPM e ottiene risultati significativi: individua modelli di trading archiviati in un bucket S3 con autorizzazioni IAM eccessivamente ampie, rileva copie dei dati di portafoglio in un data warehouse Snowflake creato dal team di ingegneria dei dati per un progetto di analisi ormai abbandonato e identifica tre pagine di Confluence contenenti riepiloghi delle posizioni accessibili all’intera organizzazione di ingegneria anziché solo al trading desk.

DSPM mette in luce tutto ciò. Il team corregge le autorizzazioni, elimina i dati obsoleti e rafforza i controlli di accesso. La loro sicurezza informatica migliora in modo significativo.

Ma il DSPM non può intervenire su ciò che accade in seguito. Un analista junior, frustrato da una controversia relativa alla retribuzione, decide di inoltrare un foglio di calcolo contenente le posizioni di trading attuali e gli ordini in sospeso a un account di posta elettronica personale. I dati sono correttamente classificati, archiviati nella posizione corretta e dotati delle autorizzazioni appropriate: l’analista dispone di un accesso legittimo. La situazione è in regola. Non vi è nulla che il DSPM possa segnalare.

È proprio in questo ambito che il DLP risulta insostituibile. La politica DLP relativa alla posta elettronica intercetta il messaggio in uscita, identifica il contenuto come dati di trading riservati sulla base di tag di classificazione e modelli di contenuto, blocca la trasmissione e segnala l’incidente al team addetto alle operazioni di sicurezza. Il responsabile dell’analista viene informato. I dati non escono mai dall’organizzazione.

Nessuna misura di monitoraggio delle attività è in grado di impedire a un utente interno motivato e dotato di autorizzazioni legittime di tentare l’esfiltrazione. Ciò richiede un controllo in tempo reale nel momento stesso in cui l’azione viene compiuta — esattamente ciò per cui è stato progettato il DLP.

Quadro decisionale: da dove iniziare

La risposta “servono entrambe le cose” è vera, ma non è di grande aiuto quando si dispone di un budget per una sola iniziativa in questo trimestre. Ecco come stabilire le priorità in base alla vostra situazione attuale.

Iniziate con DSPM se la vostra organizzazione ha subito una rapida migrazione al cloud e non disponete di un inventario aggiornato ed esaustivo delle posizioni in cui risiedono i dati sensibili. Se, durante un audit, il vostro team addetto alla conformità non è in grado di rispondere con certezza alle domande «Dove si trovano tutti i nostri dati soggetti a regolamentazione e chi può accedervi?», DSPM colma quella lacuna fondamentale di visibilità da cui dipende tutto il resto. Questo è anche il punto di partenza ideale se vi state preparando all’adozione dell’intelligenza artificiale: implementare Microsoft Copilot o strumenti simili senza prima comprendere a quali dati tali strumenti possano accedere crea un problema di amplificazione del rischio che solo DSPM è in grado di evidenziare.

Iniziate con il DLP se disponete già di una visibilità adeguata sul vostro panorama dei dati, ma vi mancano controlli di applicazione sui canali di uscita. Se la vostra preoccupazione principale è rappresentata dalle minacce interne, dalla condivisione accidentale di dati tramite e-mail o messaggistica, oppure dai requisiti normativi che impongono controlli attivi sulla trasmissione dei dati (come i requisiti PCI DSS per i dati dei titolari di carte di credito o le norme SEC relative alle informazioni di negoziazione), il DLP colma immediatamente questa lacuna a livello di applicazione. Questo è anche il punto di partenza ideale se avete recentemente subito un incidente di esfiltrazione dei dati e dovete chiudere la porta prima di procedere alla verifica interna.

Investite in entrambi contemporaneamente se siete un’impresa soggetta a regolamentazione (servizi finanziari, sanità, pubblica amministrazione) in cui sia le lacune nella sicurezza che quelle nell’applicazione delle norme comportano rischi di non conformità. In tali contesti, un revisore vi chiederà sia “sapete dove si trovano i vostri dati soggetti a regolamentazione?” sia “quali controlli impediscono che questi dati escano dall’organizzazione?” — e dovrete fornire risposte certe a entrambe le domande.

L’integrazione è fondamentale. Quando il DSPM e il DLP operano come strumenti scollegati, si ottiene un livello di visibilità che non è in grado di applicare le misure di controllo e un livello di applicazione che non è in grado di vedere. L’architettura più efficace alimenta il motore delle policy del DLP con i dati di classificazione e di rischio del DSPM, aggiornati continuamente, creando un ciclo chiuso in cui l’individuazione informa l’applicazione delle misure e i dati relativi all’applicazione vengono reimmessi nella valutazione dello stato di sicurezza. Cercate piattaforme che offrano questa integrazione in modo nativo o tramite API ben documentate, anziché acquistare due strumenti sperando che riescano a comunicare tra loro.