In che modo il DSPM individua e riduce l'esposizione dei dati a minacce interne negli ambienti cloud

L’esposizione dei dati dovuta a minacce interne negli ambienti cloud rappresenta un cambiamento fondamentale rispetto alle tradizionali problematiche di sicurezza basate sul perimetro. A differenza delle violazioni causate da malware, l’esposizione dovuta a minacce interne spesso ha inizio con modelli di accesso legittimi che gradualmente sfociano nella perdita di dati attraverso la condivisione, il download e la deriva dei permessi all’interno di applicazioni SaaS, archivi cloud e piattaforme di collaborazione.

Come si presenta l’esposizione dei dati dovuta a minacce interne nel cloud

Le moderne minacce interne comprendono tre categorie di soggetti a rischio: dipendenti malintenzionati che cercano di sottrarre dati, utenti negligenti che espongono accidentalmente informazioni e account compromessi utilizzati da aggressori esterni.

Secondo la “Guida alla mitigazione delle minacce interne” della CISA, il danno derivante dalle minacce interne è spesso il risultato di un uso improprio di accessi legittimi piuttosto che di un’intrusione non autorizzata nel sistema.

I dipendenti sincronizzano regolarmente file sensibili sui propri dispositivi personali, condividono documenti con collaboratori esterni tramite link generati dal browser, scaricano report per analizzarli offline e replicano set di dati su diverse piattaforme di analisi. Ciascuna di queste azioni rientra nella normale attività lavorativa, ma nel loro insieme creano una superficie di attacco in continua espansione che i controlli di sicurezza tradizionali faticano a monitorare.

L'analisi condotta dalla Cloud Security Alliance sulle modalità con cui i dati sensibili nel cloud vengono esposti individua diversi vettori chiave di esposizione: la replica dei dati tra servizi cloud, configurazioni di condivisione non corrette, il trasferimento tra applicazioni autorizzate e configurazioni errate dei sistemi di gestione delle identità e degli accessi (IAM) che concedono accessi eccessivi.

A differenza degli ambienti on-premises, in cui i dati risiedevano solitamente in segmenti di rete controllati, i dati nel cloud sono ora distribuiti tra applicazioni SaaS, piattaforme di collaborazione e meccanismi di condivisione esterni che aggirano i tradizionali confini di sicurezza.

Si consideri il caso di un dipendente del reparto finanziario che scarica i dati relativi ai conti dei clienti da una piattaforma di analisi cloud per preparare un rapporto trimestrale. Il dipendente carica il file su uno spazio di archiviazione cloud personale per lavorarci durante il fine settimana, condivide i dati con un partner di consulenza esterno tramite un link nel browser e lascia il repository originale accessibile a un ampio gruppo di progetto al termine dell’incarico. Non è coinvolto alcun malware. Non viene attivata alcuna regola del firewall. Eppure i dati sensibili sono sfuggiti ai controlli previsti.

Secondo il “Verizon 2026 Data Breach Investigations Report” (DBIR), la maggior parte delle violazioni ha visto il coinvolgimento di un fattore umano. Sulla base dell’analisi di oltre 22.000 incidenti di sicurezza e 12.195 violazioni confermate, il rapporto ha individuato nel comportamento umano, nella gestione inadeguata delle identità e degli accessi e nell’esposizione dell’ecosistema di terze parti i principali fattori all’origine delle violazioni. Ciò conferma il fatto che l’accesso legittimo e autorizzato diventa spesso la via principale per la perdita di dati sensibili.

Perché i controlli tradizionali non individuano le minacce interne nell’era del cloud

Gli strumenti di analisi del comportamento degli utenti e di monitoraggio degli endpoint sono stati progettati per ambienti incentrati sulla rete, in cui il flusso dei dati avveniva attraverso canali prevedibili. Questi sistemi eccellono nell’individuare anomalie comportamentali, ma non dispongono del contesto di dati necessario pervalutarela gravità dell’esposizione negli ambienti cloud.

I sistemi UEBA sono in grado di individuare quando un utente scarica volumi di file insolitamente elevati o accede ad applicazioni al di fuori dei normali schemi, ma non possono determinare se tali file contengano codice sorgente, documenti finanziari, informazioni personali identificative (PII) dei clienti o dati operativi di routine. Senza comprendere la sensibilità dei dati, i team di sicurezza si trovano di fronte a una scelta impossibile: indagare su ogni anomalia e soccombere ai falsi positivi, oppure innalzare le soglie di allerta e rischiare di trascurare vere e proprie vulnerabilità.

Le applicazioni SaaS basate su browser, la sincronizzazione diretta nel cloud e la condivisione tramite collegamenti web aggirano i tradizionali controlli sugli endpoint. Un dipendente può condividere dati sensibili con collaboratori esterni esclusivamente tramite sessioni del browser senza attivare i sistemi di rilevamento basati sugli endpoint. Questi moderni modelli di collaborazione nel cloud avvengono attraverso canali che gli agenti sugli endpoint non sono in grado di monitorare completamente.

Il DLP tradizionale eccelle nell’ispezione degli allegati e-mail, dei trasferimenti tramite USB e del traffico di rete, ma presenta difficoltà nel valutare lo stato di esposizione degli archivi di storage cloud, delle autorizzazioni delle piattaforme di collaborazione o delle configurazioni di condivisione esterna. Questi sistemi spesso rilevano il movimento dei dati solo dopo che si sono già verificate condizioni di esposizione, anziché identificare gli archivi eccessivamente esposti prima che si verifichino tentativi di esfiltrazione.

I sistemi IAM registrano chi ha effettuato l'accesso a quali applicazioni cloud e in quale momento, ma tali dati telemetrici assumono rilevanza ai fini dell'individuazione delle minacce interne solo se combinati con la classificazione dei dati e il contesto di esposizione.

I segnali dei dati che rivelano il rischio interno prima che si verifichi l’esfiltrazione

Per garantire un'efficace individuazione delle minacce interne negli ambienti cloud è necessario identificare le condizioni di esposizione prima che i dati sfuggano al controllo dell'organizzazione. DSPM individua diverse categorie di segnali di rischio pre-perdita che gli strumenti di monitoraggio tradizionali solitamente non rilevano.

Il DSPM esegue una scansione continua di questi archivi per individuare i dati sensibili che potrebbero essere stati caricati, sincronizzati o replicati all’insaputa del team di sicurezza. Le piattaforme cloud e i flussi di lavoro collaborativi possono generare autorizzazioni di condivisione estese o ereditate che ampliano l’accesso oltre quanto previsto dai team.

Il DSPM identifica gli archivi contenenti dati sensibili accessibili a vasti gruppi di utenti, a collaboratori esterni o tramite link pubblici che permangono oltre la durata prevista del progetto. Se integrato con DLP, CASB, SSE o analisi comportamentali, il DSPM contribuisce a identificare scenari ad alto rischio, quali il download di file sensibili, l’inoltro a indirizzi e-mail personali o la sincronizzazione con dispositivi non gestiti, aggiungendo informazioni relative alla sensibilità dei dati e al contesto di esposizione.

Il DSPM individua questi archivi ombra e le derive di configurazione prima che diventino vettori attivi di perdita di dati.

Il framework MITRE ATT&CK illustra in che modo gli aggressori e gli insider compromessi sottraggono dati attraverso servizi di archiviazione cloud e applicazioni web legittimi. Comprendere questi modelli di attacco aiuta i team di sicurezza a riconoscere quando i normali modelli di utilizzo del cloud potrebbero indicare la preparazione di un’esfiltrazione.

Perché il DSPM è fondamentale per il rilevamento delle minacce interne negli ambienti cloud

Il DSPM affronta il problema del rilevamento delle minacce interne fornendo il contesto dei dati necessario affinché gli altri controlli di sicurezza possano funzionare efficacemente negli ambienti cloud. Anziché sostituire l’analisi comportamentale o il monitoraggio degli accessi, il DSPM funge da livello di base.

La "Gartner Market Guide for Data Security Posture Management, 2025" sottolinea che il valore fondamentale del DSPM risiede nell’individuazione e nella classificazione dei dati strutturati e non strutturati, fornendo visibilità sulle risorse di dati e contribuendo a mitigare i rischi legati alla privacy, alla sicurezza e all’intelligenza artificiale.

Il DSPM contribuisce a segnalare combinazioni rischiose, quali dati altamente sensibili associati a permessi di accesso estesi e alla condivisione esterna, in particolare se integrato con i dati di telemetria relativi ai dispositivi e agli accessi provenienti da SSE, CASB o controlli di identità.

I sistemi IAM tradizionali tengono traccia dei diritti di accesso, ma il DSPM mette in correlazione tali autorizzazioni con l’effettiva sensibilità dei dati per identificare i rischi di escalation dei privilegi, gli account inattivi con accesso a dati sensibili e i collaboratori esterni che mantengono l’accesso oltre i tempi previsti dal progetto. Il DSPM monitora costantemente tali cambiamenti per rilevare quando le attività operative di routine creano inavvertitamente nuovi vettori di esposizione.

Il DSPM può trasmettere le informazioni relative agli archivi ad alto rischio a data loss prevention , fornire il contesto dei dati alle piattaforme UEBA e fornire metriche di esposizione ai sistemi SIEM. È proprio questa correlazione a trasformare le attività grezze in informazioni utili sulle minacce interne.

Come stabilire le priorità nelle indagini sulle minacce interne in base al rischio aziendale

Non tutti gli episodi di esposizione nel cloud meritano la stessa risposta. I team di sicurezza possono ridurre il rumore e migliorare la qualità della risposta classificando gli incidenti in base all’impatto sul business, anziché considerare ogni evento come una potenziale violazione.

Si inizi dalla sensibilità dei dati in questione. I dati relativi ai clienti, quelli relativi alle buste paga, il codice sorgente, la proprietà intellettuale e i contenuti soggetti a regolamentazione dovrebbero avere la massima priorità. La classificazione dei dati è fondamentale perché un modello di accesso apparentemente innocuo assume una gravità ben maggiore quando riguarda informazioni altamente sensibili.

Successivamente, valutate l’accessibilità. I repository accessibili a ampi gruppi interni, a partner esterni o tramite collegamenti pubblici rappresentano un rischio molto più elevato rispetto a cartelle con ambito ristretto e autorizzazioni limitate. La gravità dell’esposizione aumenta quando l’accesso persiste al termine di un progetto, quando i file vengono copiati in posizioni non gestite o quando le autorizzazioni si discostano dallo scopo aziendale originario.

Si consideri quindi il contesto relativo all’utente e al dispositivo. L’accesso da dispositivi non gestiti, da luoghi insoliti o tramite sessioni browser non standard potrebbe non indicare necessariamente un intento doloso, ma può aumentare la probabilità che i dati sensibili vengano copiati, condivisi o archiviati al di fuori dei controlli approvati.

Anche i tempi e i valori di riferimento comportamentali sono importanti. Un download di grandi dimensioni da un’area di lavoro dedicata alla finanza durante le operazioni di chiusura di trimestre può essere normale. La stessa azione, se compiuta da un dipendente in procinto di lasciare l’organizzazione, che accede a un archivio per la prima volta o che utilizza un dispositivo che non conosce, merita invece un’analisi più approfondita.

Il risultato è un modello di triage che concentra l’attenzione sulla combinazione tra sensibilità dei dati, stato di esposizione e comportamento, piuttosto che su un singolo segnale considerato isolatamente.

Un'architettura moderna per il rilevamento dell'esposizione dei dati relativi alle minacce interne nel cloud

Un efficace rilevamento delle minacce interne negli ambienti cloud richiede una visibilità unificata su archivi di dati, sistemi di controllo degli accessi e canali di attività degli utenti, anziché affidarsi a strumenti di sicurezza isolati. Il piano dati ne costituisce la base.

Il DSPM individua e classifica i dati sensibili negli ambienti cloud e SaaS. Identifica dove si trovano i dati, come sono etichettati e quali archivi sono eccessivamente esposti. Tale visibilità costituisce il livello contestuale su cui si basano tutte le altre attività.

Il piano di accesso fornisce un contesto fondamentale. I sistemi IAM, le autorizzazioni alla collaborazione e le impostazioni di condivisione esterna rivelano chi può accedere ai dati sensibili e a quali condizioni. Se combinate con la classificazione dei dati, queste informazioni mettono in luce quali autorizzazioni comportano un rischio reale e quali sono invece puramente teoriche.

I controlli relativi all’SSE possono contribuire a garantire politiche di accesso e condivisione più coerenti sui canali web e cloud, se abbinati alle informazioni sul contesto dei dati fornite dal DSPM. Cloud Access Security Broker offrono una visibilità dettagliata sull’utilizzo delle applicazioni cloud, consentendo al contempo l’applicazione granulare delle politiche in base alla sensibilità dei dati e al contesto di accesso. Secure Web Gateway possono impedire il caricamento di dati sensibili su servizi cloud non autorizzati, mentre le funzionalità DLP integrate consentono di ispezionare i contenuti nelle e-mail, nelle piattaforme di collaborazione e nei trasferimenti verso archivi cloud.

Il monitoraggio continuo garantisce che le condizioni di esposizione vengano rilevate man mano che cambiano le configurazioni del cloud, vengono creati nuovi collegamenti di collaborazione o i ruoli degli utenti subiscono variazioni nel tempo.

Errori comuni commessi dalle aziende nel gestire la divulgazione di dati da parte di personale interno

Uno degli errori più comuni consiste nel considerare ogni evento di accesso insolito come una minaccia confermata. Tale approccio provoca una “stanchezza da allarmi” e oscura i pochi incidenti che contano davvero. La strategia migliore consiste nel combinare l’analisi comportamentale con la sensibilità dei dati e lo stato di esposizione.

Un altro errore consiste nell’affidarsi esclusivamente ai registri di identificazione. Sapere chi ha effettuato l’accesso a un sistema è utile, ma non chiarisce se i dati in questione fossero sensibili, condivisi con soggetti esterni o archiviati in un repository eccessivamente esposto.

Inoltre, le organizzazioni sottostimano gli accessi effettuati tramite browser e i dispositivi non gestiti. La collaborazione nel cloud avviene spesso al di fuori della portata dei controlli tradizionali sugli endpoint; pertanto, i programmi di sicurezza che si concentrano esclusivamente sui laptop gestiti trascurano una quota consistente delle vie di esposizione.

Un problema correlato è la proliferazione degli strumenti. Le organizzazioni spesso implementano strumenti separati per DLP, UEBA, IAM, CASB e SSE senza integrarli attorno a un modello di dati condiviso. Il risultato è una visibilità frammentata e un lavoro duplicato.

La ricerca del Ponemon Institute sui rischi interni sottolinea che i dipendenti disattenti e negligenti rappresentano rischi per la sicurezza significativi e costosi, al pari degli attori intenzionalmente malintenzionati. I programmi completi di gestione delle minacce interne devono affrontare tutte le categorie di rischio interno, anziché concentrarsi esclusivamente sul furto deliberato di dati.

L'adozione di politiche eccessivamente restrittive che ostacolano una collaborazione legittima può favorire il ricorso all'IT sommerso e creare nuovi vettori di vulnerabilità.

Cosa occorre considerare in una soluzione per il rilevamento delle esposizioni di dati dovute a minacce interne

Un approccio efficace parte dall’individuazione. La piattaforma dovrebbe identificare i dati sensibili presenti nei repository cloud, nelle applicazioni SaaS e negli ambienti di collaborazione senza richiedere un’etichettatura manuale in ogni singolo caso.

Dovrebbe inoltre supportare la classificazione, la mappatura dell’esposizione e l’applicazione delle politiche in un unico flusso di lavoro. Ciò consente ai team non solo di individuare dove si trovano i dati sensibili, ma anche di verificare chi può accedervi e se tale accesso sia in linea con le esigenze aziendali.

L'integrazione è fondamentale. I sistemi più efficaci si integrano con i controlli IAM, SIEM, DLP, CASB e SSE, in modo che la sensibilità dei dati possa orientare le decisioni di sicurezza a più ampio raggio. I flussi di lavoro di indagine dovrebbero riunire in un unico contesto lo stato di esposizione, il comportamento degli utenti e il contesto di accesso, anziché costringere gli analisti a consultare più console contemporaneamente.

Anche il supporto alla conformità riveste grande importanza. I team addetti alla sicurezza necessitano di prove che indichino dove risiedono i dati soggetti a regolamentazione, chi può accedervi, in che modo sono stati condivisi e quali misure correttive sono state adottate dopo l’individuazione di un’esposizione.

Le funzionalità di indagine assistite dall'intelligenza artificiale possono aiutare a mettere in relazione la sensibilità dei dati, i modelli di accesso e il comportamento degli utenti, al fine di dare priorità agli incidenti a più alto rischio.

Per le organizzazioni alla ricerca di una protezione completa contro le minacce interne, il riconoscimento da parte di Gartner dei leader nel settore della sicurezza SSE conferma l’importanza di piattaforme integrate che combinino visibilità dei dati, controllo degli accessi e monitoraggio comportamentale in architetture unificate.