Il racconto che faccio quando parlo di sicurezza dei dati con le banche

Scritta su un treno delle 7 del mattino, dopo tre caffè decisamente pessimi.

Questo articolo è nato come un messaggio su Teams al nostro Direttore Marketing. Ero sul treno delle 7 diretto a Manhattan, con tre caffè decisamente pessimi già in corpo, e avevo appena finito di spiegare a un collega cosa fa realmente PKWARE per le banche.

Ecco la storia che gli ho raccontato.

Quando entro in una grande banca, la domanda non è: “Che cosa fa il vostro prodotto?“Ogni fornitore ha il suo prodotto e la sua presentazione.

La vera domanda, quella che nessuno esprime apertamente, è un’altra:

“Considerata la complessità della nostra infrastruttura, sappiamo davvero dove si trovano tutti i nostri dati sensibili? E siamo in grado di proteggerli prima che qualcun altro possa comprometterli?”

Questa non è una domanda sulla qualità del lavoro del team di sicurezza. È una domanda che nasce dalla complessità dell’infrastruttura.

Con oltre duecentomila endpoint, numerosi ambienti cloud, milioni di file in SharePoint e sistemi legacy che continuano a gestire processi mission critical, la visibilità dei dati non è più un problema operativo: è un problema di architettura.

Vediamo come questa conversazione si traduce nella pratica, attraverso alcuni esempi tratti dalle banche con cui lavoro.

JPMorgan Chase: oltre un quarto di milione di endpoint

JPMorgan Chase gestisce più di 250.000 endpoint: sale operative, filiali, call center, notebook dei consulenti e dispositivi distribuiti in sedi che spesso nemmeno l’inventario IT riesce a censire completamente.

Su ciascuno di questi sistemi può essere presente qualche dato sensibile lasciato lì per errore: informazioni sulle carte di pagamento (PCI), dati personali (PII), vecchi screenshot di conti clienti salvati durante attività di assistenza e mai rimossi.

È qui che interviene PK Protect.

La piattaforma non si limita a individuare questi dati. Identifica il tipo di informazione, da quanto tempo è presente, verifica se è ancora utilizzata oppure se è ormai obsoleta e applica automaticamente la policy di protezione prevista.

A seconda del caso, il dato può essere cifrato, mascherato, anonimizzato, archiviato o eliminato. La scelta dipende dal tipo di dato, dai requisiti normativi e dalle politiche definite dall’organizzazione.

Una sola scansione. Un unico motore di policy. Più di 250.000 endpoint gestiti.

Fiserv: mettere ordine per semplificare gli audit

Per Fiserv il problema è diverso.

I dati sensibili non sono sconosciuti: sono semplicemente ovunque. Server, cartelle condivise, repository legacy.

L’obiettivo del CISO non è tanto scoprirli, quanto poter affrontare serenamente un audit.

Per questo PK Protect esegue la scansione dell’infrastruttura e, oltre a proteggere i dati, li centralizza in repository definiti e controllati.

In questo modo esiste un unico punto in cui risiedono le policy, un unico punto di riferimento per gli auditor e un ambiente facilmente gestibile dal team Compliance.

Quando arriva un’ispezione da parte dell’autorità di vigilanza, la domanda “Dove sono conservati i dati delle carte di pagamento?“ non richiede una riunione di novanta minuti. Basta una semplice interrogazione del sistema.

Western Union: SharePoint oltre i limiti di scalabilità

Western Union gestisce centinaia di milioni di record dei clienti e un’enorme infrastruttura SharePoint.

Microsoft consente di applicare le Sensitivity Labels ai documenti, ma gli strumenti nativi presentano limiti di scalabilità quando i volumi diventano estremamente elevati.

È qui che PK Protect fa la differenza.

La piattaforma individua i contenuti sensibili e applica automaticamente le etichette Microsoft anche su volumi molto superiori.

E se un file non può essere etichettato, la policy non si interrompe.

Il sistema passa automaticamente all’azione successiva prevista: maschera il contenuto, lo anonimizza, lo sposta oppure lo mette in quarantena.

In altre parole, il dato viene comunque protetto.

Wells Fargo e USAA: la stessa protezione, anche su scala petabyte

Ora immaginiamo un’infrastruttura di dimensioni ancora maggiori. Non parliamo più di endpoint, ma di cluster HDFS, tabelle Hive, bucket S3 e Azure Data Lake: gli ambienti in cui operano organizzazioni come Wells Fargo e USAA.

In contesti di questo tipo, una sola configurazione errata di un bucket può esporre su Internet una quantità di dati personali (PII) superiore a quella gestita complessivamente da alcuni piccoli Paesi.

Il motore di scansione è lo stesso. Le policy sono le stesse. Anche le opzioni di protezione rimangono invariate.

Ciò che cambia è l’ambiente in cui i dati risiedono.

PK Protect tratta un data lake di dimensioni petabyte con lo stesso approccio utilizzato per il laptop di un responsabile marketing: individua i dati sensibili, li classifica, li protegge e ne dimostra la conformità.

Il livello di controllo rimane identico; cambia soltanto il contesto in cui viene applicato.

È questo il principio su cui si basa l’intera piattaforma.

Truist: il mainframe che molti fornitori preferiscono evitare

È a questo punto che la conversazione cambia spesso tono. Basta parlare di dataset COBOL, file GDG o file PDS perché molti fornitori di soluzioni di sicurezza “moderne” sfoggiano un sorriso di circostanza e cambino rapidamente argomento.

Noi no.

Con Truist applichiamo ai sistemi mainframe lo stesso approccio che utilizziamo per un laptop. Individuiamo i dati sensibili all’interno dei programmi COBOL e dei dataset associati, quindi applichiamo le policy di protezione previste: crittografia, mascheramento, anonimizzazione o eliminazione dei dati, a seconda delle esigenze.

Il mainframe entra così a far parte dello stesso piano di controllo che governa endpoint e ambienti cloud.

Per le banche che operano con infrastrutture di questo tipo – e sono molte più di quanto lascino intendere i report degli analisti – questa rappresenta una differenza sostanziale.

Pochissimi fornitori sono in grado di offrire una protezione unificata su tutti e tre gli ambienti: endpoint, cloud e mainframe. Ed è proprio questo che rende la conversazione con i clienti molto più concreta.

Cosa significa, in concreto

L’idea è semplice: un’unica interfaccia, un unico prodotto e un solo motore di policy in grado di operare sugli endpoint di JPMorgan Chase, sui file server di Fiserv, su SharePoint di Western Union, sui data lake di Wells Fargo e USAA e sui mainframe di Truist.

L’obiettivo non è vendere una singola funzionalità.

Le banche acquistano qualcosa di molto più importante: la certezza che i dati sensibili siano individuati correttamente, protetti in modo coerente e sempre conformi ai requisiti normativi.

Secondo PKWARE, questo livello di affidabilità può essere raggiunto soltanto attraverso un’architettura unica, capace di gestire ogni ambiente in cui i dati vengono archiviati.

Questa è la storia che racconto ogni volta. Mi ci sono voluti un viaggio in treno e tre pessimi caffè per metterla nero su bianco. ll caffè, per fortuna, è stato l’unica cosa davvero difficile di quella mattina.

La conclusione, però, rimane la stessa.

Se ti occupi di sicurezza o protezione dei dati nel settore bancario e questa conversazione ti suona familiare, parliamone

Fonte: EJ Pappas – Pkware

Data Retention: Allineare le strategie di protezione dei dati ai requisiti di conformità

La gestione del ciclo di vita dei dati è diventata la base della conformità a livello normativo, di privacy e di sicurezza. La Data retention, che prevede l’archiviazione delle informazioni per un determinato periodo, è fondamentale per le aziende che intendono ridurre i costi, i rischi di natura normativa e le minacce alla sicurezza. È essenziale una politica di conservazione dei dati ben chiara, che definisca le linee guida per la durata della conservazione dei diversi tipi di dati e le procedure per la loro eliminazione. Questa politica deve descrivere in dettaglio la raccolta dei dati, i luoghi di archiviazione, i periodi di conservazione, la conformità alle leggi e le procedure di eliminazione dei dati, assicurando che le aziende rimangano in linea con le leggi sulla privacy, si proteggano dalle vulnerabilità e garantiscano una corretta gestione dei dati.

L’importanza di ottimizzare la conservazione e la sicurezza dei dati sottolinea che politiche efficaci consentono alle aziende di gestire l’archiviazione, rispettare gli standard normativi ed evitare sanzioni. Queste politiche devono conciliare i requisiti normativi, le esigenze aziendali e la cultura organizzativa per stabilire obiettivi e procedure chiare. La Data Security Posture Management (DSPM) svolge un ruolo fondamentale in questo contesto, con l’obiettivo di proteggere i dati sensibili da accessi o modifiche non autorizzati attraverso pratiche come la classificazione dei dati, la crittografia, il controllo degli accessi e il monitoraggio.

Requisiti normativi per la conservazione dei dati

I requisiti normativi per la conservazione dei dati sono fondamentali per le aziende per conformarsi a varie leggi e regolamentazioni, garantendo una corretta gestione e protezione dei dati. Ecco i punti chiave dei requisiti legislativi per la conservazione dei dati:

Conformità alle normative: Leggi come HIPAA nel settore sanitario, SOX per il settore finanziario e GDPR nell’UE si concentrano su specifiche durate di conservazione dei dati, condizioni per la rimozione e distruzione dei dati personali.
Legislazione statunitense: Varie leggi come il Federal Trade Commission Act, il Fair Labor Standards Act e l’HIPAA impongono requisiti di conservazione dei dati.
Regolamenti specifici di settore: FISMA richiede la conservazione dei dati per le agenzie federali e gli imprenditori, NERC stabilisce i requisiti per gli operatori di bulk power system e PCI-DSS impone requisiti di conservazione dei dati alle aziende che accettano pagamenti con carta di credito.
Best Practices: La revisione regolare delle politiche di conservazione dei dati, le linee guida per la cancellazione dei dati e la conformità alle leggi sulla privacy sono essenziali per evitare sanzioni legali e garantire la protezione dei dati.

Sfide e soluzioni nella conservazione dei dati

La Data retention, una componente critica delle moderne strategie di gestione dei dati, presenta sfide complesse che le organizzazioni devono affrontare per garantire conformità, sicurezza ed efficienza operativa. Queste sfide, che spaziano dalla conformità normativa alla sicurezza dei dati e alla gestione dello storage, hanno un impatto significativo sulla capacità di un’azienda di gestire e proteggere efficacemente le informazioni sensibili. Di seguito, vorremmo esplorare queste sfide e delineare le soluzioni per aiutare le aziende a superarle.

Conformità legislativa

Sfida: Le aziende devono affrontare un compito arduo nel navigare nel labirinto di leggi e regolamenti che variano da una giurisdizione all’altra e da un settore all’altro. Aderire a specifici mandati di conservazione dei dati, come quelli delineati nel GDPR, HIPAA, PCI-DSS e NIST, richiede una comprensione complessa dei requisiti normativi che possono differire in modo significativo da una regione all’altra.
Soluzione: L’implementazione di politiche di gestione dei dati complete e sufficientemente flessibili da adattarsi ai vari standard legislativi è fondamentale. Strumenti come PK Protect offrono soluzioni automatizzate per scoprire, classificare e gestire i dati in base ai requisiti normativi a livello mondiale, semplificando la conformità.

Sicurezza dei dati

Sfida: Proteggere i dati da accessi non autorizzati, attacchi informatici e violazioni è fondamentale. La crescente sofisticazione delle minacce informatiche rappresenta un rischio costante per le informazioni sensibili e richiede misure di sicurezza solide per prevenire il furto o la perdita dei dati.
Soluzione: Le pratiche di Data Security Posture Management (DSPM), tra cui la classificazione dei dati, la crittografia, il controllo degli accessi e il monitoraggio continuo, sono essenziali. Le soluzioni che sfruttano l’automazione per il rilevamento delle vulnerabilità e l’implementazione della sicurezza possono migliorare notevolmente la capacità di un’azienda di proteggere i dati sensibili da accessi o modifiche non autorizzati.

Gestione dello storage

Sfida: I costi e le complessità associati alla gestione delle esigenze di archiviazione e infrastruttura dei dati sono significativi, soprattutto se si considerano il volume e il valore dei dati che le aziende gestiscono oggi.
Soluzione: Le soluzioni di archiviazione dati efficienti che ottimizzano la gestione del ciclo di vita dei dati, dalla creazione alla rimozione, possono aiutare. Le aziende possono ridurre i costi di archiviazione e migliorare l’efficienza operativa implementando politiche di conservazione dei dati che indichino quando i dati devono essere archiviati o eliminati.

PK Protect: li trova, li sposta, li crittografa

Gestire le informazioni sensibili rispettando gli standard normativi è fondamentale per le aziende. La conservazione dei dati emerge come una strategia critica, che richiede l’allineamento con gli obiettivi aziendali, i mandati legali e i valori organizzativi. PK Protect offre una soluzione completa con strumenti avanzati per il data discovery, la conformità, la remediation e la sicurezza. Questa suite affronta le complesse sfide della conservazione dei dati, consentendo alle aziende di semplificare la gestione dei dati, migliorare l’efficienza operativa, soddisfare le richieste normative e rafforzare la fiducia dei clienti.

PK Protect semplifica la conservazione dei dati, inserendola nel tessuto della strategia aziendale e sottolineandone l’importanza al di là della conformità normativa. Consentendo una classificazione e una gestione efficiente dei dati, PK Protect aiuta le aziende a ridurre i costi di archiviazione, a garantire la conformità alle normative e a proteggere i dati sensibili. Questa strategia olistica di gestione dei dati amplifica l’impatto di PK Protect, aumentando la fiducia dei clienti con misure rigorose di privacy dei dati e posizionandolo come un asset essenziale nell’era digitale.

Data Compliace: PK Protect automatizza la conformità alle normative con funzioni di crittografia, classificazione e masking, semplificando i protocolli di privacy dei dati.
Data Discovery: Sfruttando le tecnologie DSPM, PK Protect identifica i potenziali rischi per la sicurezza e la privacy in vari formati e piattaforme di dati, facilitando la gestione preventiva dei rischi.
Data Remediation Grazie alla crittografia e al masking dei dati, PK Protect garantisce la data remediation per diverse applicazioni, adattandosi ai requisiti di conformità specifici.
Data Protection: PK Protect rafforza la sicurezza dei dati su tutte le piattaforme con una potente crittografia abbinata a controlli di accesso, garantendo la riservatezza dei dati in ogni momento.
File Remediation: Permette agli utenti di filtrare i file in base alla data, consentendo una remediation precisa, l’ottimizzazione dell’archiviazione e/o la creazione di report sulle discovery.

Affrontare le sfide della privacy dei dati richiede un approccio diversificato che vada oltre le misure di sicurezza e normative convenzionali, concentrandosi sulla conservazione efficiente e sull’agilità operativa. PK Protect si distingue per garantire l’accuratezza dei dati, l’archiviazione sicura e la governance facile da gestire, elementi cruciali per qualsiasi azienda data-driven. In questo contesto, la crittografia e l’archiviazione sicura diventano indispensabili: i dati vengono crittografati per proteggerli da accessi non autorizzati e si utilizzano soluzioni di archiviazione sicura per proteggerli dalle minacce esterne. Questo duplice approccio rafforza i meccanismi di difesa di un’azienda, rendendo PK Protect una soluzione fondamentale per la salvaguardia dei dati con un’efficacia senza pari.

Conclusione

Il ruolo delle politiche di data retention supera la mera conformità normativa, diventando una componente fondamentale di solide strategie di sicurezza, privacy e protezione dei dati. Queste politiche garantiscono la conformità normativa e migliorano l’organizzazione dei dati, ma svolgono anche un ruolo fondamentale nel mitigare i rischi per la sicurezza e nel promuovere la fiducia dei clienti attraverso pratiche di gestione responsabile dei dati. L’integrazione di soluzioni complete come PK Protect si rivela indispensabile quando le aziende si trovano ad affrontare la complessità della gestione delle informazioni sensibili. Offrendo una suite di strumenti per la discovery, la conformità, la remediation e la protezione dei dati, PK Protect consente alle aziende di affrontare le molteplici sfide della conservazione dei dati. Questo approccio non solo semplifica la gestione dei dati sensibili, ma si allinea anche alle strategie aziendali per ridurre al minimo i costi di archiviazione, mantenere la conformità legale e salvaguardare le informazioni, rafforzando la fiducia dei clienti. Adottando un approccio di questo tipo, le aziende possono rafforzare la loro posizione di sicurezza dei dati, assicurandosi di essere ben preparate a proteggere i dati sensibili nell’attuale ambiente incentrato sui dati e, in ultima analisi, migliorando la loro posizione di sicurezza generale di fronte all’evoluzione delle minacce informatiche.

I 5 punti chiave più importanti

Gestione completa dei dati: PK Protect offre una soluzione completa per la data retention che si allinea agli obiettivi aziendali, ai requisiti normativi e alla cultura organizzativa. Semplifica la gestione dei dati, proteggendo le informazioni sensibili e stabilendo standard normativi, migliorando l’efficienza operativa e la fiducia dei clienti.
Strategia di data retention semplificata: PK Protect integra perfettamente la conservazione dei dati con le strategie aziendali, sottolineando l’importanza di tali politiche non solo per la conformità normativa. Aiuta a minimizzare i costi di archiviazione e a mantenere la conformità alle normative, il tutto salvaguardando le informazioni sensibili.
Conformità e sicurezza automatizzate: La piattaforma automatizza il rispetto dei requisiti normativi grazie a funzioni avanzate di crittografia, classificazione e masking. Questa automazione semplifica le pratiche di privacy dei dati, rendendo PK Protect uno strumento fondamentale per le aziende che vogliono affrontare la complessità della conformità e della protezione dei dati.
Gestione proattiva del rischio: PK Protect utilizza le tecnologie DSPM per identificare i rischi per la sicurezza e la privacy su vari tipi di dati e piattaforme. Questo approccio proattivo consente alle aziende di gestire efficacemente i rischi, mantenendo l’integrità dei dati e garantendone una protezione completa.
Crittografia e archiviazione sicura: PK Protect sottolinea l’importanza della crittografia e della conservazione sicura come componenti essenziali di una solida strategia di privacy dei dati. PK Protect fornisce un formidabile meccanismo di difesa rendendo i dati illeggibili agli utenti non autorizzati e salvaguardandoli dalle minacce, garantendo la riservatezza e l’integrità dei dati in ogni fase.

Fonte: PKWARE