Che cos'è una fuga di dati?

Le sue piattaforme di collaborazione aziendale potrebbero essere una porta aperta per l'infiltrazione dei dati.

E se le dicessimo che esiste un luogo in cui le informazioni riservate sono disponibili per quasi tutta la sua organizzazione? Dove gli estranei sono invitati a entrare e i dati possono essere consultati, scaricati o copiati con un clic. A meno che non abbia preso provvedimenti per evitarlo, sta accadendo nella sua organizzazione in questo momento.

Stiamo parlando di strumenti di collaborazione aziendale e di social network. La maggior parte delle aziende ne utilizza almeno due. Slack, Microsoft Teams, Workplace di Meta, Yammer.... Tutte queste piattaforme stanno aiutando ad abbattere i silos e a mettere il turbo alla produttività sul posto di lavoro. Ma a quale costo?

Le basi di una fuga di dati: definizione e fatti chiave

Ogni volta che i dati riservati vengono rilasciati inavvertitamente, si tratta di una fuga di dati. Le fughe di dati non sono la stessa cosa delle violazioni di dati. Nei casi di violazione dei dati, l'organizzazione viene attaccata da un cattivo attore che vuole rubare quelle informazioni. Le fughe di dati avvengono per negligenza o svista, e non sempre è necessario un attacco per scatenarle.

Le aziende moderne dispongono di salvaguardie e strumenti di sicurezza per proteggersi dalle violazioni dei dati. Ma molte organizzazioni trascurano ancora il rischio rappresentato dalle moderne piattaforme di collaborazione interna. E questo può avere conseguenze disastrose.

Fuga di dati vs. violazione di dati

La maggior parte delle fughe di dati rappresenta un rischio piccolo ma gestibile per le finanze, la reputazione del marchio e la fiducia dei dipendenti di un'azienda, mentre una violazione dei dati è una fuga di dati che è andata fuori controllo. Gli effetti di una violazione dei dati sull'azienda creano costi significativi che minacciano la sopravvivenza stessa dell'azienda.

Poiché non esistono due aziende esattamente uguali, una fuga di dati per un'azienda potrebbe essere una violazione per un'altra, in base alle dimensioni, alle finanze e alle risorse dell'azienda. Una grande azienda affermata potrebbe essere in grado di resistere a multe salate, alla perdita di fiducia dei clienti e alle cause legali, ma una piccola startup potrebbe fallire a causa di un paio di piccole fughe di dati. Ma sia per le aziende che per i piccoli operatori, individuare e riparare una falla dovrebbe essere una priorità assoluta, perché le conseguenze di una falla trasformata in violazione possono essere gravi. Sia le fughe di dati che le violazioni possono provenire dall'interno di un'organizzazione, spesso a causa di un errore accidentale di un dipendente. Tuttavia, non tutte le fughe di dati sono dovute alla negligenza dei dipendenti. Ad esempio, un insider potrebbe condividere malignamente i dati con una terza parte. Per essere chiari, l'80% degli incidenti non è di natura dolosa, ma a prescindere dall'intento, le perdite hanno il potenziale di gonfiarsi e di far fallire la sua azienda.

Le fughe di notizie non ricevono lo stesso spazio e la stessa attenzione delle violazioni. Spesso sentiamo parlare di grandi violazioni di dati che fanno notizia e costano milioni alle aziende. Ma le fughe di dati, anche se più piccole, possono comunque causare gravi sofferenze, soprattutto per chi lavora nel settore della sicurezza. Con i recenti aggiornamenti della normativa SEC del dicembre 2023, potrebbe essere necessario segnalare anche piccole perdite se alterano in modo significativo la reputazione complessiva della sicurezza della sua azienda.

Quali sono le cause delle fughe di dati?

Sebbene parlare di fughe di dati possa far venire in mente immagini di hacker informatici e spionaggio aziendale, la realtà è molto più banale. Nel 2021, la causa più comune delle fughe di dati è stata l'errata configurazione del software. Ad esempio, UpGuard ha scoperto delle impostazioni in Microsoft Power Apps che hanno esposto 38 milioni di record.

L'errata configurazione è una causa crescente di fughe di dati aziendali, responsabile di oltre il 40% degli incidenti nel 2019. Si tratta di un aumento di cinque volte dal 2015, un aumento che è andato di pari passo con la trasformazione digitale del posto di lavoro moderno. Semplicemente, l'utilizzo di un maggior numero di applicazioni basate sul cloud significa che ci sono più opportunità di perdere i dati.

Anche affidarsi a password predefinite o riciclate rappresenta un pericolo per la sicurezza delle informazioni. Questo è particolarmente problematico quando i dispositivi dell'Internet of Things sono collegati a una rete aziendale più ampia. Il frigorifero intelligente, il termostato o il fitness tracker potrebbero aprire una porta sul caveau digitale della sua organizzazione.

Infine, quando attori senza scrupoli vogliono accedere ai dati sensibili della sua azienda, molti trovano più facile violare le persone che il software. Le truffe di social engineering si basano sulle gerarchie aziendali per ingannare i dipendenti e indurli a fornire le credenziali di accesso. Pensi a una receptionist che riceve un messaggio dall'amministratore delegato che le chiede i dati della carta di credito aziendale. Oppure un'e-mail di Mike dell'ufficio IT che dice che tutti devono cliccare su un link per completare un login di sicurezza. Solo che, ovviamente, il CEO non ha inviato alcun messaggio di questo tipo, e non c'è nessun Mike nell'IT.

Rischi comuni di fuga di dati: protegga le sue informazioni sensibili

Il termine "fuga di dati" può sembrare piuttosto ampio. Quali tipi specifici di informazioni potrebbero far parte di una fuga di dati? La maggior parte dei dati coinvolti nelle fughe ha il potenziale di compromettere i clienti, i dipendenti e le conoscenze interne proprietarie della sua organizzazione:

• Dati dei clienti: Numeri di telefono, indirizzi, e-mail, numeri di carta di credito, numeri di previdenza sociale e altre informazioni di identificazione personale.
• Dati interni dei dipendenti: Indirizzi ed e-mail, nonché informazioni sulle risorse umane, come controlli di base, scansioni di passaporti e dati sulla retribuzione.
• Proprietà intellettuale: Ricerca, segreti commerciali, documentazione interna e codice sorgente.
• Credenziali di sicurezza: Password o numeri di telefono per l'autenticazione a più fattori (MFA).

Le fughe di dati sono gravi?

Non tutte le informazioni divulgate in una fuga di dati saranno critiche per l'organizzazione. Tuttavia, la presenza della perdita è di per sé un problema serio. La violazione media dei dati costa 3,92 milioni di dollari per essere mitigata, e 280 giorni per essere rilevata e contenuta. Alcune delle conseguenze delle fughe di dati includono:

• Perdita della fiducia del cliente o dei clienti
• Multe regolamentari
• Tempi di inattività operativa
• I concorrenti accedono alla proprietà intellettuale

Poiché le fughe di dati sono solitamente il risultato di una negligenza o di una svista, possono causare più danni alla reputazione dell'azienda rispetto a un targeted attack da parte di attori malintenzionati. Eppure la maggior parte delle aziende spende molto più tempo e risorse per difendersi dagli hacker. È facile trascurare la formazione e la tecnologia che potrebbero evitare perdite accidentali.

Esempi di perdita di dati

Molte aziende hanno sperimentato perdite come quelle descritte sopra. Alcuni esempi chiave dei leader del settore evidenziano quanto danno possa causare la fuga di dati.

Boeing

L'azienda aerospaziale globale Boeing ha subito una fuga di notizie quando nel 2017 uno dei suoi dipendenti ha inviato via e-mail un foglio di calcolo a sua moglie, una non dipendente. Sperava che lei potesse aiutarlo con alcuni problemi di formattazione, ma non si era reso conto che il foglio di calcolo includeva i dati personali di 36.000 dipendenti Boeing all'interno di colonne nascoste.

Inviando il foglio di calcolo via e-mail a un dispositivo non protetto e a un account e-mail non dipendente, ha aggirato i protocolli di sicurezza e ha compromesso gli ID dei dipendenti, il luogo di nascita e le informazioni sulla sicurezza sociale dei suoi colleghi.

Boeing ha dichiarato di essere certa che i dati siano rimasti limitati al dispositivo del dipendente e a quello della moglie, ma ha offerto a tutti i dipendenti interessati due anni di monitoraggio gratuito del credito, per un costo stimato di 7 milioni di dollari.

Microsoft

Il gigante del software Microsoft ha sperimentato in prima persona cosa può accadere a causa di errori incauti.

Nell'agosto del 2022, la società di sicurezza informatica spiderSilk ha notato delle credenziali di accesso trapelate nell'ambiente Github di Microsoft. Se i cybercriminali avessero trovato le credenziali, avrebbero potuto essere il punto di ingresso per accedere ai server Azure di Microsoft e forse ad altri sistemi interni.

Gli effetti dei dati e del codice sorgente Microsoft esposti avrebbero potuto essere catastrofici per l'organizzazione, i suoi clienti e i suoi dipendenti. Sebbene Microsoft non abbia rivelato i sistemi specifici a cui le credenziali hanno dato accesso, se gli estranei avessero avuto accesso alle informazioni dei clienti dell'Unione Europea, Microsoft avrebbe potuto ricevere una multa fino a 20 milioni di euro per aver violato le normative GDPR.

Dopo ulteriori indagini, Microsoft ha confermato che nessuno ha avuto accesso ai dati e sta implementando nuove misure di sicurezza per evitare un'altra fuga di notizie.

Amazon

Molte aziende si affidano ai prodotti AWS, tra cui Amazon S3, ma le configurazioni errate dei bucket S3 hanno portato a delle perdite. Ad esempio, nel 2019, i ricercatori dell'azienda vpnMentor hanno trovato un bucket s3 pubblicamente disponibile pieno di dati provenienti dai dipartimenti delle risorse umane di diverse società di consulenza del Regno Unito. Questi file includevano informazioni sensibili sul personale, come passaporti, documenti fiscali, controlli di base, date di nascita e numeri di telefono.

Come prevenire le fughe di dati

La maggior parte delle fughe di dati è causata da errori umani. Ciò significa che hanno bisogno di soluzioni umane. La formazione del personale sulle procedure corrette per accedere o condividere le informazioni deve essere un processo continuo. Far vedere ai nuovi assunti un video di un'ora durante l'onboarding non è sufficiente. Man mano che la tecnologia si evolve - e i truffatori diventano più sofisticati - i passi per prevenire una fuga di notizie devono essere aggiornati.

I corsi di aggiornamento di routine sulle migliori pratiche di sicurezza dei dati dovrebbero far parte delle normali operazioni aziendali della sua organizzazione. Crei politiche chiare su come gestire le informazioni, dove conservare le password e cosa fare per convalidare una richiesta insolita.

Il passaggio al lavoro a distanza durante la pandemia ha aumentato drasticamente il rischio per le organizzazioni. L'adozione immediata di nuove tecnologie ha creato grandi falle nella sicurezza digitale. Di fronte a uno sconvolgimento senza precedenti, i dipendenti non sapevano come proteggere se stessi o le loro organizzazioni. Poiché il lavoro a distanza è destinato a rimanere, le aziende devono rivedere il loro attuale stack tecnologico per identificare e chiudere i potenziali punti di accesso.

Piattaforme di collaborazione e fughe di dati

Oltre a migliorare la formazione dei dipendenti, le aziende dovrebbero anche fornire al personale gli strumenti giusti per salvaguardare le informazioni. Forse non esiste una politica di pulizia della scrivania per il lavoro a distanza, ma la sicurezza è comunque fondamentale. I dipendenti devono conoscere le procedure per l'archiviazione delle password, l'accesso ai file aziendali e la condivisione delle informazioni.

I gestori di password, le VPN, le soluzioni di archiviazione centralizzata e l'SSO/zero trust possono contribuire a proteggere le informazioni riservate all'interno del luogo di lavoro remoto. Tuttavia, c'è un luogo comune in cui le informazioni sono condivise liberamente e gli estranei sono spesso invitati a partecipare. Queste sono le sue piattaforme di collaborazione digitale.

L'obiettivo della collaborazione è abbattere i silos interni e democratizzare l'accesso alle informazioni. Quanto più veloce e facile è la comunicazione tra le persone dell'organizzazione, tanto meglio possono svolgere il loro lavoro. Per facilitare la condivisione delle informazioni, le piattaforme di collaborazione possono essere collegate a qualsiasi altro programma. Slack consente centinaia di integrazioni diverse, dagli strumenti di gestione dei progetti e di produttività alla condivisione di file, ai social media e ai giochi. È la stessa storia con Microsoft Teams e Workplace di Meta. Anche Yammer consente a circa un centinaio di applicazioni di terze parti di collegarsi al suo ufficio remoto.

Ognuna di queste applicazioni espone il suo posto di lavoro online a nuove vulnerabilità. Una violazione di uno di essi potrebbe aprire una porta sul retro di tutte le informazioni condivise nella sua rete di collaborazione. Ecco perché è importante verificare e approvare attentamente ogni integrazione che i suoi dipendenti collegano alle sue piattaforme - prima che lo facciano. Un'altra preoccupazione per le aziende che utilizzano la collaborazione è l'accesso di utenti terzi. Slack Connect consente agli utenti di invitare clienti, appaltatori e fornitori nell'ambiente Slack del posto di lavoro, per rendere ancora più facile la comunicazione e la condivisione di documenti. Una funzionalità simile esiste nella maggior parte delle piattaforme di collaborazione, tra cui Teams Connect, i gruppi multiaziendali di Workplace e i gruppi esterni di Yammer.

Consentire a terzi l'accesso alle piattaforme di collaborazione aziendali ha dei vantaggi comprovati per l'azienda. Può accelerare i progetti, rafforzare i rapporti di lavoro e produrre risultati migliori per tutte le parti. Ma non è privo di rischi. I rapporti commerciali possono cambiare e quando finiscono non vuole che vecchi documenti, IP e altre informazioni sensibili rimangano in un single archivio condiviso.

Anche se rimane in buoni rapporti con un partner commerciale in uno spazio di collaborazione condiviso, come può essere sicuro che le sue politiche di sicurezza corrispondano alle sue? Ha scritto o condiviso i suoi dati di accesso con una terza parte, come un appaltatore che lavora per suo conto? Come fa a sapere se l'hanno fatto? E come può essere sicuro che ogni attore del suo ecosistema di collaborazione stia adottando misure per salvaguardare le informazioni riservate condivise all'interno della sua rete di messaggi e chat?

Come Mimecast può aiutare a prevenire le fughe di dati nella collaborazione

Molte potenziali fughe di dati possono essere evitate implementando una single soluzione di monitoraggio sicura. La nostra piattaforma si collega a tutte le principali reti di collaborazione tramite API e webhook, il che significa che non è necessario un ulteriore passaggio IT. Da lì, può impostare le politiche che si applicano a tutto il suo ecosistema di collaborazione e noi ci occuperemo dell'implementazione.

Il caricamento continuo significa che catturiamo l'intero contesto della collaborazione quasi in tempo reale, comprese le revisioni e le cancellazioni. Altri strumenti di sicurezza per la collaborazione si basano su ingestioni batch per registrare i dati, con conseguente perdita di informazioni e contesto incompleto. Solo noi possiamo offrire una supervisione completa e contestualizzata a 360 gradi delle attività nell'ambito della collaborazione.

Poi portiamo la sicurezza della collaborazione un passo avanti, con il monitoraggio automatizzato delle conversazioni utilizzando intuizioni infuse dall'AI/ML e addestrate a comprendere i messaggi di collaborazione di breve durata. Il nostro processore di linguaggio naturale è il migliore della categoria per la collaborazione, perché è stato costruito e addestrato specificamente per questo compito. Ottenere informazioni autentiche sul sentimento dei dipendenti e capire dove esiste un rischio all'interno del suo ambiente di collaborazione. Diamo la possibilità ad alcune delle più grandi organizzazioni del mondo di diventare proattive sulla sicurezza dei dati della collaborazione.