Il documento discute la prevenzione della fuga di informazioni sensibili all'interno delle aziende, sottolineando l'importanza di proteggere i dati non solo da attacchi esterni ma anche da minacce interne. Viene evidenziato che una grande percentuale di incidenti di sicurezza è causata da fughe di informazioni e che è necessaria un'adeguata gestione e controllo delle informazioni sensibili tramite politiche e tecnologie specifiche. L'implementazione di un sistema di Information Leakage Prevention (ILP) è essenziale per garantire la sicurezza dei dati aziendali e soddisfare le normative vigenti.

1. Information Leakage Prevention Controllo e Limitazione sulla Diffusione non Autorizzata di Informazioni e Documenti Sensibili Dott. Maurizio Milazzo La nuova generazione dell’Enterprise Content Management

2. Premessa Le Informazioni e le Risorse Umane rappresentano il Patrimonio piu’ Importante di ogni Organizzazione, e spesso sono anche il piu’ Critico Le Aziende focalizzano la loro attenzione su attacchi di agenti, sconosciuti , provenienti dall’esterno (Inbound) E’ necessario anche proteggere i dati sensibili, noti , presenti in Azienda evitandone la fuga (Outbound)

3. Fuga: La Tecnologia I mezzi tecnologici moderni portano ad un aumento della possibilità di “esportare” informazioni sia per attività illecite e volontarie che per disattenzione o incidenti involontari. Il consolidamento di strumenti quali e-mail ed instant messaging all’interno dell’azienda, la proliferazione di dispositivi portatili (chiavette, pen-drive, ...) e le tecnologie di file sharing , wi-fi e bluetooth , consentono di veicolare agevolmente informazioni sensibili fuori dal perimetro aziendale.

4. Maggiore sensibilità verso le minacce interne Nonostante le minacce “tradizionali” quali virus e trojan horse siano sempre in cima alle priorità dell’information security, l’introduzione di nuove regolamentazioni sulla protezione degli asset digitali (Direttive sulla Privacy e SOX) ed una maggior comprensione degli impatti che l’Information Leakage può recare, ha posto la gestione di tale minaccia interna ad un livello di massima attenzione e criticità.

5. Lo Scenario 110 Information Leaks, rese pubbliche, hanno causato perdite alle Aziende comprese tra $ 5M-$ 14M (Ponemon Inst. Survey 2005) Studi recenti dimostrano che più del 70% delle frodi informatiche provengono dall'interno delle aziende ( Intelligrate, 2006 ) Il 95% dei Security Managers afferma di non sapere di Fuga di Informazioni dalla propria Azienda Il 64% e’ certo che qualora cio’ accadesse ne sarebbero coinvolti i Vertici Aziendali Il 10%, solamente, afferma di essere intervenuto per Prevenire la Fuga di Informazioni + del 5% del Fatturato Annuo Aziendale e’ il Costo stimato relativo all’Information Leak (Survey 2007, London e-crime Congress)

6. … Lo Scenario Il 50% delle Migliori Aziende ammette di aver avuto incidenti Il 43% delle Aziende Industry Norm ammette di aver avuto incidenti, cio’ deriva dalla minore qualita’ delle informazioni aziendali Circa l’80% delle Aziende meno organizzate ammette incidenti La meta’ degli intervistati ha avuto incidenti (1 su 2) Source Aberdeen Group, December 2006

7. Categorie Fuga non Intenzionale, di Informazioni, da parte di Utenti Onesti Puo’ accadere quando un Dipendente accidentalmente svela informazioni riservate Fuga Intenzionale, di Informazioni, da parte di Utenti Onesti Accade, ad esempio, quando un Dipendente accede volontariamente ad informazioni riservate violando le Policies Aziendali Fuga Intenzionale, di Informazioni, da parte di Utenti Disonesti Accade ad esempio quando un Dipendente che sta lasciando l’Azienda sceglie deliberatamente di prelevare informazioni Sensibili

8. Repository NO Ok Perimetro Aziendale Utenti Autorizzati Utenti interni non autorizzati Fuori Controllo Utenti esterni non autorizzati 84% of all Enterprise Security Incidents are a Result of Corporate Information Leaks. Fonte: EMC IRM

9. Classificazione Informazioni Sensibili Definizione di una Data Classification Policy Best Practice Internazionali (BS7799) SOXA DL 196 (dati sensibili) Specificità Aziendale Elementi Competitivi (Sales, Marketing) Proprietà intellettuale etc…

10. Information Leakage Prevention (ILP) E’ un sistema costituito dall’insieme di Politiche per il Digital Rigths Management e la gestione delle informazioni, sia a livello organizzativo aziendale che tecnico-operativo, e Strumenti tecnologici per la loro applicazione e controllo. Progettato e sviluppato in aderenza agli standard internazionali ( Sarbanes-Oxley, GLBA, Privacy, ISO27001, ... ) per prevenire e tracciare la trasmissione non autorizzata di dati e documenti sensibili. Il sistema di Policy & Procedures definisce la classificazione delle informazioni e dei documenti, i privilegi di ciascun utente in base a ruoli, le restrizioni da applicare e le procedure di attuazione delle regole stabilite. Gli Strumenti a supporto garantiscono il Controllo sull’Accesso e la Diffusione di ciascun documento attraverso il tracciamento , il controllo degli accessi in lettura, modifica, share e stampa, la protezione del forwarding non autorizzato. Permettono l’auditing delle attività svolte sulle informazioni sensibili ed il loro controllo anche al di fuori del perimetro aziendale.

11. Esempio di Sistema ILP Affinché l’inserimento di una soluzione di ILP in una complessa realtà aziendale risulti efficace, sono necessarie specifiche attività di Analisi e Progettazione. 1 Fonte: EMC IRM

12. Prevenzione: La Tecnologia Content Security Repository Encryption Electronic Signatures Information Rights Management Mandatory Access Control Digital Shredding Electronic signatures Digital shredding Single sign-on Authentication Auditing Encryption Information Rights Fonte: EMC IRM

13. Alcune Funzionalita’ di EMC IRM Protezione e Controllo dei Contenuti anche fuori dal Perimetro Aziendale Sapere chi effettivamente ha avuto Accesso ai Contenuti Controllo degli Accessi in Lettura, Copia, Modifica, Share e Stampa Auditing e Controllo Dinamico delle Attività Principali Visualizzazione Stampa Modifica Possibilità di Impostare una Scadenza in qualsiasi momento Consentire l’Accesso Guest e Offline Integrazione con Processi e Contenuti Esistenti

14. EMC IRM: Gestione della Sicurezza Vantaggi : Controllo dinamico dei Diritti (View, Copy, Edit, Print) in Tempo Reale Controllo Persistente per tutto il Ciclo di Vita delle Informazioni Audit trails( Chi, Cosa, Quando, Dove ) Supporto nativo a: Documents: MS-Office, Adobe PDF Web Content: HTML Email: MS-Outlook, Lotus Notes Totale Integrazione con Sistemi Esistenti, Documentum ed eRoom Deployment Rapido e Low Cost

15. Vantaggi Attesi Certezza della Riservatezza Certezza della Segretezza Maggiore Confidenza con l’Infrastruttura Elaborativa Controllo dei Rischi di Fuga Eventuale Riduzione Premi Assicurativi (Sistema Blindato) Elevato ROI, Basso TCO

16. Innovation with No Limitation Dott. Maurizio Milazzo