Stabilire una disciplina di sicurezza dei dati

Questo articolo aiuta i team della sicurezza e della tecnologia a stabilire e modernizzare una disciplina di sicurezza dei dati che consente alle organizzazioni di proteggere i dati ovunque vengano creati, archiviati, elaborati, condivisi o usati, consentendo comunque la collaborazione, l'analisi, i servizi cloud e l'adozione dell'IA.

Le discipline di sicurezza sono raggruppamenti di lavoro correlati alla sicurezza che aiutano le organizzazioni a offrire costantemente risultati di sicurezza nell'intero patrimonio tecnologico. All'interno del modello di adozione della sicurezza, le discipline consentono di fornire un ponte tra scenari aziendali e implementazione tecnica, garantendo che gli investimenti per la sicurezza si traduca in risultati misurabili reali come parte del modello di adozione della sicurezza.

Perché questa disciplina

I dati sono il lifeblood delle organizzazioni moderne. Supporta le operazioni aziendali, il processo decisionale e l'innovazione, ma è anche uno degli asset più importanti mirati dagli utenti malintenzionati.

Gli approcci tradizionali di protezione dei dati incentrati sulla rete non sono più sufficienti in ambienti che usano servizi cloud, crittografia, dispositivi mobili e collaborazione distribuita. Una moderna disciplina di sicurezza dei dati va oltre i controlli perimetrali e adotta una protezione basata sull’identità e sul ciclo di vita, allineata al valore aziendale e al rischio. Senza una sicurezza efficace dei dati, le organizzazioni devono affrontare rischi aziendali materiali, tra cui:

• Esposizione involontaria dei dati da parte dei dipendenti che usano servizi cloud, dispositivi personali e intelligenza artificiale.
• Attività dannose da parte di insider mirate a informazioni sensibili.
• Gli attori delle minacce ignorano i controlli basati sul perimetro negli ambienti distribuiti.
• Attacchi ransomware e di estorsione che interrompono l'operatività.
• Sanzioni normative, danni alla reputazione e, in alcuni settori, effetti sulla sicurezza della vita.

Una disciplina dedicata per la sicurezza dei dati fornisce la struttura necessaria per ridurre questi rischi, consentendo al tempo stesso l'uso sicuro e produttivo dei dati nell'intera organizzazione.

Obiettivi e risultati

La missione della disciplina Sicurezza dei dati è proteggere la riservatezza, l'integrità e la disponibilità degli asset di dati durante il ciclo di vita, consentendo operazioni aziendali sicure e processi decisionali informati.

Una disciplina di sicurezza dei dati matura offre questi risultati principali:

• Riservatezza dei dati: assicurarsi che solo gli utenti e i sistemi autorizzati possano accedere ai dati.
• Integrità dei dati: impedisce modifiche non autorizzate o danneggiamento dei dati.
• Disponibilità dei dati: assicurarsi che i dati siano accessibili agli utenti autorizzati quando necessario.

L'errore in questi risultati può causare il furto e l'abuso dei dati, interrompere le operazioni aziendali, abilitare frodi, esporre dati regolamentati o persino causare danni fisici alle persone.

Quando si stabilisce una chiara proprietà, classificazione e strategie di protezione, la sicurezza dei dati diventa un abilitatore dei risultati aziendali anziché un vincolo.

Per applicare la disciplina Sicurezza dei dati in modo efficace, concentrarsi sulla definizione di un approccio coerente alla protezione dei dati in base alla sensibilità e all'impatto aziendale:

1. Definire una strategia di protezione dei dati allineata alle priorità e ai rischi aziendali
   Stabilire un approccio chiaro per identificare, classificare e proteggere i dati in base al valore e ai rischi associati all'esposizione o all'uso improprio.
2. Applicare la protezione in modo coerente nel ciclo di vita dei dati
   Assicurarsi che i dati siano protetti ovunque si trovino, si spostano o vengano usati, inclusi dispositivi, applicazioni e ambienti cloud.
3. Stabilire criteri e controlli di protezione dei dati standardizzati
   Fornire indicazioni chiare per garantire che i dati sensibili vengano gestiti, accessibili e condivisi in modo coerente e sicuro nell'intera organizzazione.
4. Allineare la protezione dei dati con asset e scenari aziendali critici
   Classificare in ordine di priorità i controlli che proteggono dati di alto valore e regolamentati, in particolare in scenari come la protezione degli asset critici e l'abilitazione della collaborazione sicura.
5. Monitorare e migliorare continuamente la protezione dei dati
   Usare informazioni dettagliate sull'utilizzo dei dati, i segnali di rischio e gli eventi di sicurezza per perfezionare le protezioni e ridurre il rischio di esposizione o perdita dei dati nel tempo.

Gestire il cambiamento

Gli approcci di sicurezza dei dati tradizionali spesso si basano su un singolo punto di controllo, ad esempio la prevenzione della perdita dei dati basata sulla rete (DLP). Questo modello è inefficace negli ambienti moderni perché:

• Opera solo in punti limitati nel ciclo di vita dei dati.
• Deve bilanciare perfettamente la protezione e la produttività in un unico momento,
• Si verifica un errore quando i dati vengono crittografati, condivisi tramite servizi cloud o a cui si accede nei dispositivi personali.

Questo diagramma riepiloga le sfide da superare usando un approccio moderno alla sicurezza dei dati.

Una disciplina moderna di sicurezza dei dati è incentrata sulla visibilità e sul controllo continui nell'intero ciclo di vita dei dati.

Aree di interesse chiave

Le strategie di sicurezza dei dati moderne evidenziano:

Focus	Dettagli
Assegnare priorità ai dati critici	Proteggere prima i dati più critici per l'azienda.
Collaborare, copertura, visibilità	Collaborare in tutta l'azienda per ottenere visibilità completa dei dati strutturati e non strutturati tra dispositivi, app e cloud, impedendo i silo di dati.
Scopri i dati	Sapere dove si trovano i dati e che valore abbiano o quanto siano sensibili.
Classificare i dati	Applicare etichette coerenti in modo che i controlli di sicurezza possano essere applicati automaticamente.
Protezione del ciclo di vita	Proteggere i dati indipendentemente dalla posizione, dalla piattaforma tecnica, dal dispositivo o dall'ambiente. Applicare questa strategia per tutto il ciclo di vita dei dati: creare, utilizzare, archiviare, condividere ed eliminare. Proteggere i dati durante la creazione e la generazione, nell'archiviazione a riposo, durante l'accesso, la condivisione e l'uso, e in transito, nonché i dati che non sono più attivi, archiviati o eliminati.
Monitoraggio e imposizione	Implementare visibilità in tempo reale e applicazione automatizzata per rilevare e rispondere all'accesso o all'esfiltrazione non autorizzata in tempo reale.
Imparare e migliorare	Migliorare continuamente la sicurezza dei dati. Adattare i controlli di strategia e dati man mano che si evolvono formati di dati, piattaforme e casi d'uso, tra cui intelligenza artificiale.

Questo approccio consente la protezione scalabile con il cambiamento aziendale e tecnologico.

Questo diagramma illustra una strategia di sicurezza dei dati di alto livello che consente sia la sicurezza che la produttività.

Nel diagramma:

• La base Zero Trust, illustrata da una linea punteggiata, stabilisce un limite di identità moderno e la prevenzione della perdita dei dati tra le funzioni interne e l'ambiente esterno. Questa base impedisce la perdita di dati non autorizzata, ma consente la collaborazione con parti esterne autorizzate.
• L'ambiente di collaborazione aziendale, in verde più chiaro, è la posizione in cui viene creata, elaborata e archiviata la maggior parte dei dati dell'organizzazione. Limitare l'accesso solo agli utenti interni e applicare privilegi minimi per impostazione predefinita.
• Le app e i dati critici, in verde più scuro, rappresentano i dati più sensibili nell'organizzazione che devono essere limitati a un set limitato di utenti e applicazioni autorizzati. È possibile condividere questi dati all'interno dell'ambiente di collaborazione aziendale e con alcune parti esterne autorizzate, ma devono essere sempre protetti e monitorati.

Ruoli e collaboratori della disciplina

La sicurezza dei dati richiede una stretta collaborazione tra team aziendali, di sicurezza e di tecnologia. Nelle organizzazioni di grandi dimensioni, i ruoli vengono spesso distribuiti e formalizzati; in organizzazioni più piccole, le responsabilità potrebbero essere combinate.

I ruoli principali in questa disciplina in genere includono:

• Responsabile dei dati/team di governance dei dati
• Architetti di dati e intelligenza artificiale
• Team di ingegneria e operazioni di dati e intelligenza artificiale

I collaboratori chiave includono:

• Responsabili aziendali e proprietari di dati : definire il valore, l'utilizzo e la classificazione dei dati.
• Team di strategia e governance della sicurezza : definire criteri, standard e supervisione.
• Ruoli dell'architettura : integrare i controlli di sicurezza dei dati nelle progettazioni di sistema e piattaforma.
• Sviluppatori : implementare la gestione sicura dei dati all'interno delle applicazioni.
• Discipline adiacenti alla sicurezza : allineare la sicurezza dei dati alle attività di privacy, rischio e conformità.

Allineamento con altre discipline

La disciplina Sicurezza dei dati funziona in stretta coordinamento con altre discipline:

• Disciplina accesso e identità: i criteri di identità e accesso determinano chi può accedere ai dati.
• Disciplina Architettura di sicurezza: l'architettura definisce modelli end-to-end per la protezione dei dati.
• Disciplina Operazioni di sicurezza (SecOps): rileva e risponde agli eventi imprevisti correlati ai dati.
• Disciplina del comportamento di sicurezza : misura e migliora la maturità della protezione dei dati.

La proprietà chiara e la responsabilità condivisa sono essenziali man mano che le responsabilità dei dati si espandono.

Allineamento ai pilastri tecnologici

I dati viaggiano tra sistemi, utenti e ambienti. Di conseguenza, la disciplina Sicurezza dei dati si estende su tutti i pilastri della tecnologia.

I pilastri della tecnologia allineati includono:

• Identità: la sicurezza dei dati si basa sui controlli di sicurezza delle identità per applicare l'accesso sicuro ai dati tramite controlli di identità e accesso sicuri.
• Endpoint: la sicurezza dei dati si basa sui controlli di sicurezza degli endpoint per impedire il furto di dati da dispositivi compromessi o non gestiti.
• Infrastruttura: la sicurezza dei dati si basa sui controlli di sicurezza dell'infrastruttura per proteggere i dati archiviati o elaborati su server, contenitori e piattaforme cloud.
• App: la sicurezza dei dati si basa sui controlli di sicurezza delle app per garantire alle app l'accesso sicuro e la gestione dei dati sensibili.
• Dati: la sicurezza dei dati si basa sui controlli di sicurezza dei dati per individuare, classificare, proteggere e monitorare i dati durante tutto il ciclo di vita. - Rete: la sicurezza dei dati si basa sui controlli di sicurezza dei dati per individuare e proteggere i dati durante il trasferimento tra i sistemi.
• Intelligenza artificiale: la sicurezza dei dati si basa sui controlli di sicurezza dell'intelligenza artificiale per proteggere i dati usati per eseguire il training, analizzare e generare output di intelligenza artificiale.

Passaggi successivi

Microsoft Unified offre workshop guidati da esperti per aiutare le organizzazioni ad accelerare la modernizzazione della strategia, dell'architettura e della tecnologia di gestione del comportamento di sicurezza. Questi workshop includono:

• Workshop sull'architettura e sulla strategia : il workshop sulla sicurezza dei dati di Security Adoption Framework è incentrato sulla modernizzazione della sicurezza dei dati. Questo workshop è disponibile in una discussione di meno di quattro ore incentrata sulle procedure consigliate e sull'apprendimento chiave.

• Workshop sull'adozione della tecnologia - Microsoft Unified ha workshop per aiutare le organizzazioni a conoscere, pianificare, implementare e ottimizzare l'uso delle tecnologie dati.