In che modo la normativa NIS2 e l’HIPAA stanno ridefinendo gli standard di sicurezza relativi alla posta elettronica e alla collaborazione per i CISO

L'impulso normativo

Le autorità di regolamentazione stanno reagendo a questo cambiamento. Le norme in materia di privacy e sicurezza previste dall’HIPAA, che da tempo si concentrano sulla protezione delle informazioni sanitarie protette (PHI) contenute nelle e-mail, si applicano ora in egual misura anche ai dati scambiati tramite chat, videoconferenze e archivi di file nel cloud.

In Europa, la direttiva NIS2 sta innalzando gli standard in tutti i settori critici, imponendo alle organizzazioni di dimostrare la propria resilienza, segnalare tempestivamente gli incidenti informatici e garantire il controllo dei fornitori. Anche al di fuori dei settori soggetti a regolamentazione, lo standard PCI DSS v4.0 sta dettando le regole rendendo obbligatoria l’applicazione del protocollo DMARC, costringendo le aziende ad autenticare ogni mittente prima che entrino in vigore le scadenze previste per l’applicazione.

«Anche se Slack o Teams non vengono citati esplicitamente nel regolamento, il messaggio è chiaro», afferma Andrew Williams, responsabile principale del marketing di prodotto di Mimecast. «È necessario proteggere i dati sensibili ovunque essi vengano trasmessi, che si tratti di un’e-mail, di un messaggio di chat o di un file condiviso.»

Il passaggio a un sistema di controllo unified

Cinque anni fa, la maggior parte dei team di sicurezza considerava le piattaforme di collaborazione come spazi interni e a rischio relativamente basso. Questo non è più sostenibile. Gli autori degli attacchi stanno sfruttando credenziali rubate e token OAuth per ottenere un accesso persistente.

I CISO più lungimiranti stanno integrando i propri sistemi di controllo:

• Telemetria: integrare i dati relativi alle e-mail e alla collaborazione per individuare comportamenti a rischio su tutti i canali.
• Identità: Applicazione coerente dell’autenticazione a più fattori (MFA) e del principio del privilegio minimo per tutte le caselle di posta e gli account Teams/Slack.
• Rilevamento basato sull’intelligenza artificiale: individuazione delle anomalie nelle chat, nei link e nella condivisione di file prima che si trasformino in incidenti.

Questo cambiamento è tanto culturale quanto tecnico. Gli analisti SOC, i team addetti alla conformità e gli amministratori IT devono poter monitorare i tentativi di Phishing e di esfiltrazione dei dati da una single interfaccia, anziché tramite strumenti separati che richiedono una correlazione manuale.

Cosa è necessario in questo momento

HIPAA

L'HIPAA richiede già l'analisi dei rischi, i controlli di accesso, la crittografia, la registrazione degli audit e la formazione del personale. Ora che i dati sono distribuiti su più piattaforme, tali controlli devono essere applicati in modo uniforme.

NIS2

La normativa NIS2 impone la gestione dei rischi a livello organizzativo, piani di continuità operativa, il monitoraggio dei rischi legati ai fornitori e la segnalazione degli incidenti quasi in tempo reale. Il compito dei CISO è chiaro: devono essere in grado di dimostrare la propria resilienza e di reagire a una violazione, su tutti i canali di comunicazione, senza compromettere il regolare svolgimento delle operazioni.

Insieme, l’HIPAA e la NIS2 stanno spingendo i CISO verso un approccio single, unified che copra la posta elettronica, la chat e gli ambienti di collaborazione.

Le priorità del CISO per il 2025

1. La gestione dei rischi legati al personale diventa multicanale

Il rapporto “2025 State of Human Risk” di Mimecast ha rilevato che solo l’8% degli utenti è responsabile dell’80% degli incidenti di sicurezza.

La soluzione non consiste nel bloccare tutto, bensì in un intervento basato sulla valutazione del rischio.

La piattaforma di Mimecast analizza il comportamento degli utenti su e-mail, Slack, Teams e SharePoint, per poi applicare politiche adattive e micro-formazioni volte a “proteggere” gli utenti dagli errori senza compromettere la produttività.

2. Misure di difesa pre-consegna e in-flow basate sull’intelligenza artificiale

Il phishing non si limita alle e-mail. Le chat di Teams, i link a OneDrive e persino gli inviti su Zoom vengono utilizzati a fini malevoli. Il motore di intelligenza artificiale di Mimecast analizza i messaggi, gli URL e gli allegati prima che raggiungano l’utente, individuando tempestivamente le minacce e riducendo la necessità di interventi di pulizia post-consegna che comportano notevoli disagi.

3. Considerare le piattaforme di collaborazione alla stregua di elementi fondamentali

Agli autori degli attacchi non interessa se un messaggio si trovi nella posta in arrivo o in una conversazione, e lo stesso dovrebbe valere per le vostre difese. I CISO sono oggi:

• Applicazione delle misure DLP e scansione su Slack, Teams, SharePoint e OneDrive.
• Applicazione delle misure di controllo previste dalle politiche relative alla condivisione di file sensibili e ai caricamenti non autorizzati.
• Centralizzazione della conservazione dei dati e della registrazione per accelerare la produzione di report di conformità e l’eDiscovery.

Mimecast Collaboration Security riunisce tutte queste funzionalità in un'unica soluzione, fornendo alle organizzazioni un livello di protezione uniforme su tutti i canali.

4. Anticipare i rischi legati al personale interno e all’esfiltrazione dei dati

Il rischio interno non è sempre doloso, ma è quasi sempre costoso. Nel 2025, i rischi maggiori non deriveranno solo da dipendenti insoddisfatti, ma anche dalla divulgazione accidentale di dati e dallo “Shadow IT”, ovvero quelle applicazioni e strumenti di intelligenza artificiale non autorizzati che i dipendenti collegano ai sistemi aziendali senza che siano stati sottoposti a verifica di sicurezza.

Da una ricerca condotta da Mimecast emerge che anche i dipendenti ben intenzionati possono inavvertitamente divulgare dati sensibili caricando file su servizi di archiviazione cloud personali o concedendo autorizzazioni eccessivamente permissive agli strumenti di intelligenza artificiale generativa.

Questi punti ciechi consentono agli aggressori di sottrarre facilmente i dati una volta che si sono fatti strada nel sistema.

Quali dovrebbero essere i prossimi passi dei CISO:

• Individuare comportamenti a rischio in tempo reale: monitorare trasferimenti di file insoliti, download di massa o l’inoltro da parte dei dipendenti di documenti riservati ad account esterni.
• Segnalare le connessioni ad app non autorizzate: identificare automaticamente le autorizzazioni OAuth concesse ad app di terze parti a rischio e revocarle prima che i dati vengano esposti.
• Garantire il corretto svolgimento del processo di uscita: assicurarsi che gli account vengano disattivati tempestivamente, che i link condivisi vengano revocati e che le chiavi di accesso vengano sostituite quando i dipendenti lasciano l’azienda.

In questo caso, l'automazione è fondamentale. Quando viene rilevata un’attività sospetta, la piattaforma Mimecast è in grado di mettere automaticamente in quarantena i file, revocare le autorizzazioni e avvisare i team di sicurezza, mantenendo al contempo una traccia verificabile ai fini della rendicontazione di conformità. Tale traccia di controllo non è destinata esclusivamente alle autorità di regolamentazione; essa aiuta anche i team legali e delle risorse umane a comprendere le motivazioni alla base di un incidente e a reagire in modo adeguato.

5. Governance dei dati consolidata ed eDiscovery

Quando un'autorità di regolamentazione o un team legale richiede delle prove, il tempo non gioca a vostro favore. Le normative HIPAA e NIS2 richiedono alle organizzazioni di fornire i dati relativi alla posta elettronica e alla collaborazione in modo rapido, coerente e giuridicamente sostenibile.

È qui che entra in gioco una governance dei dati ben consolidata. Le politiche di conservazione devono essere indipendenti dal canale utilizzato e devono riguardare non solo le e-mail, ma anche i messaggi su Slack, le cronologie delle chat su Teams e i file condivisi su SharePoint e OneDrive. Se i dati sono dispersi in silos o, peggio ancora, vengono cancellati prematuramente, le organizzazioni rischiano sanzioni, azioni legali e danni alla reputazione.

Mimecast Archiving offre un sistema di archiviazione immutabile e a prova di manomissione, dotato di funzionalità di ricerca rapida e federata.

Ciò consente ai team legali e agli addetti alla gestione degli incidenti di:

• Applicate immediatamente le misure di conservazione a fini legali su più canali di comunicazione.
• Eseguite ricerche complesse su miliardi di messaggi e file in pochi secondi.
• Produca documentazione attendibile per revisori, autorità di vigilanza o tribunali, garantendo l’integrità delle chains of custody.

Il vero vantaggio non è solo la conformità, ma la rapidità. Nel corso di un’indagine su una violazione, il tempo risparmiato nella fase di analisi dei dati si traduce direttamente in un contenimento più rapido e in un minore impatto sull’attività aziendale.

6. Applicare il protocollo DMARC e l'autenticazione

In passato, DMARC era facoltativo. Non più. Con l’entrata in vigore della versione 4.0 dello standard PCI DSS e l’adozione di criteri di applicazione sempre più rigorosi da parte dei provider di posta elettronica, il protocollo DMARC è ormai indispensabile sia ai fini della conformità che della deliverability.

DMARC (Domain-based Message Authentication, Reporting & Conformance) opera in combinazione con SPF e DKIM per autenticare ogni messaggio inviato dal Suo dominio. Passando da p=none (solo monitoraggio) a p=reject si garantisce che le e-mail contraffatte vengano bloccate prima che raggiungano i vostri clienti, partner o dipendenti.

Tuttavia, il DMARC non serve solo a impedire l’usurpazione dell’identità del marchio, ma costituisce anche un indicatore di affidabilità. I dirigenti chiedono sempre più spesso ai CISO di tradurre le metriche DMARC in risultati aziendali:

• Meno episodi di BEC: la riduzione delle e-mail contraffatte inviate a nome di dirigenti comporta un minor numero di tentativi di frode finanziaria.
• Maggiore deliverability: è meno probabile che le comunicazioni di marketing e delle risorse umane finiscano nella cartella dello spam.
• Fiducia normativa: la dimostrazione di un flusso di posta autenticato soddisfa i revisori e riduce l’esposizione al rischio ai sensi della direttiva NIS2 e della normativa HIPAA (qualora siano coinvolti dati relativi a pazienti o clienti).

Il DMARC Analyzer di Mimecast automatizza l’identificazione dei mittenti, allinea i record SPF/DKIM/DMARC e fornisce report dettagliati per guidare le organizzazioni nell’applicazione delle politiche, senza interrompere il flusso di posta legittima.

Come procedere con l'implementazione

I primi 90 giorni

• Si effettui un inventario completo di tutti i tenant di posta elettronica e collaborazione, dei connettori e dei flussi di dati.
• Individuare i comportamenti a rischio di base e pubblicare il DMARC in modalità di monitoraggio.
• Garantite la visibilità su Teams, Slack e SharePoint per individuare tempestivamente gli accessi non autorizzati.

90–180 giorni

• Portare avanti l'attuazione del DMARC.
• Ampliare la scansione dei file e degli URL negli strumenti di collaborazione.
• Implementare sistemi di rilevamento dei rischi interni e flussi di lavoro di risposta automatizzati.

Oltre 180 giorni

• Standardizzare le politiche di conservazione dei dati e di blocco legale su tutte le piattaforme.
• Si raccomanda di simulare la procedura di segnalazione degli incidenti al fine di rispettare le rigide scadenze previste dalla normativa NIS2.
• Ripetere cicli di addestramento e politiche adattive sulla base dei dati telemetrici e degli incidenti sfiorati.

Definire i termini della discussione per il consiglio di amministrazione

Quando i CISO informano i dirigenti, il messaggio deve essere chiaro: i controlli unified sulla posta elettronica e sulla collaborazione non sono facoltativi, ma sono indispensabili ai fini della conformità, della continuità operativa e della fiducia nel marchio.

I consigli di amministrazione richiedono indicatori concreti: un minor numero di incidenti legati al phishing, tempi di risposta più rapidi e una minore esposizione ai rischi normativi. Una piattaforma consolidata riduce inoltre la proliferazione degli strumenti e migliora l’esperienza dei dipendenti, un vantaggio che si riflette anche al di fuori del SOC.

Rimanere all’avanguardia

La sicurezza della posta elettronica e quella della collaborazione stanno convergendo, e lo stesso vale per i rischi. Le normative HIPAA, NIS2 e PCI DSS v4.0 stanno trasformando le linee guida in obblighi.

Mimecast offre ai CISO una piattaforma single per gestire il rilevamento basato sull'intelligenza artificiale, la valutazione dei rischi da parte di esperti e la governance su e-mail, Teams, Slack, SharePoint e altre piattaforme.

Prenoti oggi stesso una demo e scopra come Mimecast possa aiutare la Sua organizzazione a garantire la conformità, mantenere la resilienza e bloccare le minacce prima che si diffondano.

Scoprite la piattaforma di sicurezza per la posta elettronica e la collaborazione di Mimecast →