Il grande dibattito sul blocco dei siti: quando i controlli di sicurezza favoriscono (e ostacolano) la produttività

Il paradosso tra produttività e sicurezza

Ogni responsabile della sicurezza ha vissuto questo momento: un vicepresidente chiama, furioso, perché un trasferimento di file fondamentale destinato a un partner è stato bloccato pochi minuti prima della scadenza. La politica DLP ha funzionato esattamente come previsto, eppure il risultato è stato comunque quello sbagliato.

Questa è la tensione fondamentale che sta alla base della prevenzione della perdita di dati (DLP). I team di sicurezza hanno il compito di proteggere i dati sensibili, ma le misure di controllo che adottano possono causare il blocco delle attività aziendali. Il DLP tradizionale si è guadagnato una pessima reputazione non perché l’obiettivo sia sbagliato, ma perché la sua attuazione è stata storicamente grossolana, rigida e fastidiosamente avulsa dal contesto. I dipendenti vengono bloccati. Si sentono frustrati. Trovano delle soluzioni alternative. E i team di sicurezza finiscono per essere sommersi da richieste di deroga invece di indagare sulle minacce effettive.

Pertanto, la questione non è se bloccare o meno. Il punto è se stiamo applicando i blocchi in modo intelligente, tenendo conto del contesto, della fiducia e delle giuste misure di sicurezza.

Le ragioni contro il blocco

Cerchiamo di essere onesti riguardo al motivo per cui così tante organizzazioni operano in modalità di solo monitoraggio. Le ragioni sono di natura pratica, non filosofica.

Quando le politiche di blocco sono troppo restrittive, gli utenti trovano il modo di aggirarle. Caricano file su account cloud personali, si inviano documenti via e-mail o utilizzano strumenti non autorizzati che i team di sicurezza non riescono affatto a individuare. L'“Shadow IT” non nasce perché i dipendenti abbiano intenzioni malevole, ma perché cercano semplicemente di svolgere il proprio lavoro. Ogni azione bloccata che non sia chiaramente giustificata mina la fiducia nel programma di sicurezza e spinge le attività verso punti ciechi.

A ciò si aggiungono i costi operativi. Un blocco aggressivo genera un'ondata di richieste di eccezione, ticket all'help desk e segnalazioni ai livelli superiori. Gli analisti della sicurezza trascorrono le loro giornate a risolvere controversie aziendali piuttosto che a indagare sui rischi reali. I dirigenti oppongono resistenza. Le unità aziendali si distaccano. In breve tempo, il team di sicurezza viene percepito come un ostacolo piuttosto che come un partner — e tale percezione è incredibilmente difficile da ribaltare.

La filosofia che privilegia la visibilità esiste per una buona ragione: è necessario comprendere i flussi di dati e il panorama dei rischi prima di iniziare ad applicare i controlli. Bloccare senza quelle basi è come installare dossi di rallentamento su strade che non sono ancora state mappate.

I vantaggi del blocco intelligente

Eppure, vi sono situazioni in cui il solo monitoraggio non è semplicemente sufficiente.

Quando un dipendente tenta di caricare un foglio di calcolo contenente i dati finanziari dei clienti su un servizio cloud non autorizzato, il monitoraggio di tale evento e la sua successiva analisi non impediscono la violazione, ma si limitano a documentarla. Per i contenuti soggetti a regolamentazione, i materiali relativi a fusioni e acquisizioni, il codice sorgente e altri dati di grande importanza, il blocco è imprescindibile. Il rischio di esposizione supera di gran lunga le difficoltà legate alla mancata esecuzione di un trasferimento.

In pratica, la disponibilità a bloccare è un segno della maturità del programma. I programmi di gestione dei rischi interni nelle fasi iniziali si concentrano sulla visibilità e sull’individuazione. Man mano che maturano, passano a sistemi di controllo adattivi che intervengono nei momenti opportuni. Le organizzazioni che non vanno mai oltre la semplice attività di monitoraggio si ritrovano spesso con registri molto voluminosi e senza alcuna riduzione significativa dell'esposizione dei dati.

L'ascesa dell'intelligenza artificiale "ombra " ha accelerato notevolmente questa transizione. Poiché i dipendenti inseriscono dati sensibili negli strumenti di IA generativa, il blocco delle destinazioni è diventato una delle principali richieste da parte dei team di sicurezza. La superficie di attacco si è ampliata a un ritmo tale che le politiche non riescono a stare al passo, e il blocco — se applicato con attenzione — rappresenta parte della soluzione.

Controlli adattivi: oltre le decisioni binarie

La vera innovazione nel DLP moderno non consiste nel dover scegliere tra il blocco e l'autorizzazione. Si tratta di definire una gamma di risposte adeguate al livello di rischio di ciascuna situazione.

I controlli di sicurezza adattivi offrono ai team una serie di strumenti che va ben oltre l'approccio binario. Un dipendente che tenti di copiare un file sensibile potrebbe ricevere un messaggio informativo che illustri la politica aziendale. Un secondo tentativo potrebbe comportare la concessione di un'autorizzazione temporanea, previa presentazione di una motivazione aziendale documentata. Il trasferimento di dati soggetti a regolamentazione verso una destinazione ad alto rischio potrebbe essere bloccato in modo definitivo. Ogni risposta viene adattata al contesto: il ruolo dell’utente, la sensibilità dei dati, la destinazione e la cronologia del comportamento.

Questo approccio basato sulla “pausa di riflessione” è molto efficace. A volte, il semplice fatto di visualizzare una richiesta — chiedendo all’utente di confermare la propria intenzione o di fornire una motivazione — è sufficiente a impedire l’esposizione involontaria dei dati. La maggior parte dei casi di perdita di dati non è dovuta a azioni dolose. È una mancanza di attenzione. E un piccolo suggerimento dato al momento giusto può impedire che si commetta un errore senza interrompere il lavoro.

Autorizzazione temporanea: instaurare un rapporto di fiducia senza rinunciare al controllo

Uno dei controlli adattivi più efficaci è l’autorizzazione temporanea, un meccanismo che consente agli utenti di procedere previa giustificazione documentata, garantendo al contempo una tracciabilità completa.

Questo approccio tiene conto del fatto che i team addetti alla sicurezza non possono prevedere ogni esigenza aziendale legittima. Un consulente che condivide i risultati del proprio lavoro con un cliente, un team finanziario che collabora con i revisori esterni, uno sviluppatore che invia il codice a un repository di un partner autorizzato: si tratta di attività legittime che politiche rigide bloccherebbero indiscriminatamente.

Il ricorso a soluzioni temporanee consente di mantenere la produttività garantendo al contempo la responsabilità. Il fatto stesso di documentare una motivazione costituisce di per sé un deterrente: i dipendenti che sanno che le loro giustificazioni vengono registrate e possono essere verificate si comportano in modo diverso rispetto a coloro che ritengono che nessuno li stia osservando. Consente di creare una traccia di controllo senza suscitare risentimento e fornisce ai team di sicurezza le prove necessarie per distinguere tra un utilizzo legittimo e un rischio effettivo.

Blocco in base alla fonte: proteggere ciò che conta di più

Anziché cercare di bloccare ogni destinazione a rischio — un’operazione in continua espansione e, in definitiva, inutile — i programmi più avanzati proteggono sempre più spesso i dati alla fonte.

Le politiche di blocco per fonte si concentrano sui dati stessi: cartelle della dirigenza, sistemi di pianificazione finanziaria, piattaforme delle risorse umane, repository di codice proprietario. Se i dati sono sensibili, le misure di controllo li accompagnano ovunque, indipendentemente dalla destinazione a cui si tenti di inviarli. Questo approccio è più efficace del blocco delle destinazioni, poiché affronta il problema alla radice. Non è necessario prevedere ogni endpoint a rischio se vi siete già assicurati che i vostri dati più critici non possano uscire dall'azienda senza un'adeguata autorizzazione.

Questo modello supporta anche le eccezioni granulari. Un'organizzazione può impostare valori predefiniti rigorosi per le fonti sensibili, concedendo al contempo un accesso basato sui ruoli a team specifici. Il team finanziario può condividere i documenti destinati al consiglio di amministrazione con i consulenti legali esterni autorizzati. I responsabili tecnici possono effettuare il push verso i repository designati. I controlli si adattano alla struttura organizzativa anziché opporsi ad essa.

Consigli pratici per l'implementazione

Anche i migliori controlli adattivi sono destinati a fallire se non vengono introdotti in modo ponderato. Le organizzazioni che hanno successo seguono uno schema coerente.

Si parte dalla visibilità, applicando le politiche in modalità di monitoraggio per un periodo sufficientemente lungo da consentire di comprendere il proprio panorama dei dati e il comportamento di base degli utenti. Comunicano chiaramente le aspettative prima di applicare le conseguenze, assicurandosi che i dipendenti comprendano non solo le regole, ma anche il ragionamento che sta alla base di esse. Investono in politiche di utilizzo accettabile che siano specifiche e aggiornate. Inoltre, favoriscono l’adesione dell’organizzazione: informano i responsabili delle unità aziendali, tengono conto dei loro riscontri e considerano la sicurezza una responsabilità condivisa piuttosto che un obbligo imposto dall’alto.

L'obiettivo è far sì che la prima azione bloccata risulti equa, non inaspettata. Quando gli utenti comprendono il concetto di “ "” (perché"), la conformità ne deriva in modo naturale.

La via di mezzo

Il blocco non è il nemico. Il blocco rigido e indipendente dal contesto è.

Il futuro della prevenzione della perdita di dati spetta ai controlli adattivi: sistemi che valutano il rischio in modo dinamico, reagiscono in modo proporzionato e considerano la fiducia degli utenti come una risorsa da preservare. L’automazione della sicurezza e l’intelligenza artificiale stanno rendendo possibile tutto ciò su una scala che la gestione manuale delle politiche non avrebbe mai potuto raggiungere, consentendo l’attuazione di programmi di gestione dei rischi interni che offrono una maggiore protezione e causano meno disagi rispetto ai loro predecessori.

La domanda che ogni responsabile della sicurezza deve porsi non è se il proprio programma sia in grado di bloccare. Ciò che conta è se il vostro programma interviene con intelligenza, tenendo conto del contesto e nel rispetto delle persone che è destinato a proteggere. Valutate il livello di maturità del vostro programma, investite in controlli di sicurezza adattivi e sviluppate una strategia in cui le migliori pratiche di prevenzione della perdita di dati e la produttività non siano obiettivi in contrasto tra loro, ma costituiscano un unico obiettivo.