La gestione sicurezza dati nelle PMI svizzere raramente inizia con una gara d’appalto. Di norma nasce da una constatazione scomoda: dopo un quasi incidente, nessuno sa con precisione dove si trovino dati personali sensibili, documenti contrattuali e segreti aziendali tra archivi cloud, applicazioni SaaS e file share locali. La direzione chiede rapidamente chiarezza, i responsabili della protezione dei dati richiamano il registro delle attività di trattamento e il vincolo di finalità, mentre l’IT deve governare un panorama cresciuto nel tempo e ricco di eccezioni. Questo contributo inquadra il DSPM come disciplina di governance e classificazione, illustra i limiti della Data Discovery manuale e descrive i lavori preparatori che una PMI dovrebbe svolgere prima di scegliere uno strumento.
Che cosa deve offrire il Data-Security-Posture-Management per la gestione sicurezza dati
Il Data-Security-Posture-Management, in breve DSPM, sposta l’attenzione dai sistemi ai dati. La questione centrale non è anzitutto se una risorsa cloud sia configurata correttamente sul piano tecnico. Occorre invece sapere quali dati vi risiedono, quanto siano sensibili, chi possa accedervi e se tale esposizione sia compatibile con la finalità aziendale e con i requisiti legali. Nel contesto delle PMI questa prospettiva è particolarmente preziosa. Infatti, gli ambienti cloud e SaaS cresciuti nel tempo raramente derivano da decisioni architetturali pienamente centralizzate.
La definizione di mercato di Gartner descrive il DSPM come la capacità di individuare, categorizzare e classificare dati prima sconosciuti negli ambienti On-Premises e cloud. Include inoltre la valutazione dei diritti di accesso in relazione ai rischi per la sicurezza, la protezione dei dati e l’intelligenza artificiale. Questa definizione è utile perché presenta il Data-Security-Posture-Management non come un ulteriore cruscotto, bensì come uno strato di controllo orientato ai dati. La definizione è disponibile pubblicamente nella panoramica di mercato dedicata al Data Security Posture Management.
La distinzione rispetto alle categorie affini è essenziale per le decisioni di acquisto. Il CSPM verifica soprattutto configurazioni cloud, autorizzazioni e lacune nelle policy a livello infrastrutturale. Il DLP affronta di regola la fuoriuscita di dati, le violazioni delle policy e punti di controllo come endpoint, e-mail o canali web. La Data-Access-Governance considera maggiormente la logica delle autorizzazioni e delle responsabilità relative ai patrimoni informativi. Il DSPM attraversa questi ambiti: parte dalla Data Discovery, attribuisce sensibilità e contesto e, quindi, stabilisce la priorità dei rischi risultanti. Una distinzione in lingua tedesca tra CSPM e DSPM è disponibile presso ComputerWeekly.
Emerge così anche la tesi centrale: il DSPM è anzitutto governance e classificazione; solo in seguito diventa una questione di scelta degli strumenti. Senza classi di dati definite, responsabilità chiare, criteri di rischio e un perimetro definito per la protezione dei dati, anche una Discovery tecnicamente valida resta un elenco di risultati privo di una base decisionale affidabile. Per questo la gestione sicurezza dati richiede metodo prima della tecnologia.
Gestione sicurezza dati senza software: ambito, classificazione e perimetro giuridico
Prima di introdurre il DSPM, una PMI deve chiarire quale panorama di dati intenda esaminare. Un ambito ragionevole comprende normalmente archivi cloud centrali, piattaforme di collaborazione, applicazioni specialistiche, file share, database e servizi SaaS selezionati. Nella prima fase non occorre analizzare ogni luogo di archiviazione con la stessa profondità. È tuttavia essenziale delimitare consapevolmente l’ambito, stabilire le priorità in base al rischio e motivare le scelte in modo comprensibile, anziché lasciarle dipendere da circostanze tecniche casuali.
Il DSPM richiede anzitutto uno schema di classificazione, responsabili dei dati e criteri decisionali chiari. Solo dopo interviene la Data Discovery tecnica
Classificazione dei dati nelle PMI: snella, non accademica
Una PMI non necessita di un modello di classificazione sovradimensionato. Le serve invece un modello che consenta decisioni coerenti. Sono praticabili pochi livelli, come pubblico, interno, confidenziale e strettamente confidenziale, integrati da esempi concreti: dossier del personale, dati dei clienti, dati sanitari, informazioni finanziarie, offerte, documentazione di sviluppo o credenziali di accesso. È importante distinguere i livelli operativi di riservatezza dalle categorie legali, come i dati personali degni di particolare protezione. Inoltre, ogni classe deve essere associata a regole di gestione. Queste possono riguardare luoghi di archiviazione ammessi, condivisione, conservazione, cifratura, registrazione e canali di segnalazione per i dati trovati fuori dalle zone consentite.
Parallelamente occorre designare i responsabili dei dati. Nelle PMI spesso non esiste una funzione autonoma di Data Governance. Le responsabilità specialistiche, la protezione dei dati e la sicurezza IT possono quindi convergere nella stessa persona o nello stesso gruppo. Questo assetto è praticabile, purché compiti e poteri decisionali siano definiti espressamente. Senza un responsabile dei dati, un risultato DSPM difficilmente può essere valutato in modo affidabile. L’IT riconosce il luogo di archiviazione, ma spesso ignora il significato operativo, la finalità del trattamento o il termine di conservazione applicabile.
nLPD: registro delle attività di trattamento e valutazione d’impatto come riferimenti
Per le PMI svizzere, il perimetro della protezione dei dati non è un tema marginale. La Legge federale sulla protezione dei dati riveduta esige una sicurezza dei dati adeguata al rischio. Il registro delle attività di trattamento secondo l’art. 12 LPD e la valutazione d’impatto sulla protezione dei dati secondo l’art. 22 LPD costituiscono un ponte metodologico verso il DSPM. Infatti, richiedono un’analisi strutturata delle finalità del trattamento, delle categorie di dati, dei destinatari, della conservazione e dei rischi. Riguardo all’eccezione prevista per le PMI in materia di registro delle attività di trattamento, Steiger Legal spiega che la dimensione dell’impresa non è l’unico criterio. Conta anche se il trattamento comporti soltanto un rischio ridotto per la personalità delle persone interessate.
Le scansioni di Discovery richiedono una finalità chiara
La Data Discovery tecnica analizza contenuti, metadati e autorizzazioni. Di conseguenza, costituisce essa stessa un trattamento nella misura in cui coinvolge dati personali. Prima della scansione occorre quindi chiarirne la finalità, le fonti di dati incluse, le persone autorizzate a consultare i risultati e la durata di conservazione dei riscontri. L’Ordinanza sulla protezione dei dati concretizza, per determinate imprese, l’eccezione basata sul rischio relativa al registro delle attività di trattamento. L’eccezione non si applica se il trattamento comporta un rischio elevato per la personalità delle persone interessate. Il commento all’art. 24 OPDa chiarisce perché sia opportuno documentare questa valutazione del rischio.
Gestione sicurezza dati: i limiti del lavoro manuale negli ambienti cloud e SaaS distribuiti
La domanda critica è legittima: se una PMI non sa esattamente dove si trovino determinati dati, come può svolgere un lavoro preliminare solido prima di scegliere uno strumento? La risposta è scomoda, ma richiede una distinzione precisa. Il lavoro concettuale resta possibile e necessario indipendentemente dallo strumento. Persone competenti devono definire ambito, schema di classificazione, responsabilità, perimetro giuridico e criteri di rischio. Tuttavia, negli ambienti moderni e distribuiti, una Data Discovery tecnicamente completa è difficilmente realizzabile a mano.
Perché la Data Discovery manuale raggiunge i propri limiti
Primo: Shadow Data. I dati non nascono soltanto nei sistemi centrali, ma anche in tabelle esportate, cartelle temporanee di progetto, archivi di chat, archivi e-mail, file di log, rapporti scaricati e copie nelle applicazioni SaaS. Questi patrimoni informativi spesso derivano da un’esigenza operativa comprensibile, ma non sono più visibili sul piano organizzativo. Interviste e registri manuali rilevano quindi tali dati solo in modo lacunoso.
Secondo: archivi non strutturati. Una PMI può forse indicare i database più importanti. Più difficili da censire sono invece le strutture di cartelle annidate, gli allegati, i link condivisi, le sincronizzazioni locali e gli archivi. Proprio in questi luoghi si trovano spesso dati personali e segreti aziendali privi di una classificazione affidabile. Le semplici ricerche per parole chiave producono molti risultati, ma offrono poco contesto. Inoltre, trascurano i contenuti che non possono essere riconosciuti mediante termini univoci.
Terzo: accessi dinamici. Le autorizzazioni cambiano più rapidamente della documentazione corrispondente. I gruppi di progetto si ampliano, i partner esterni ricevono accessi temporanei e il personale cambia funzione. Senza una valutazione tecnica dei diritti di accesso effettivi, la postura di sicurezza dei dati resta un’istantanea fondata in larga misura su ipotesi.
Questa tensione non può quindi essere risolta con una scelta esclusiva tra i due approcci. Una PMI non dovrebbe acquistare alla cieca uno strumento DSPM sperando che ne scaturisca la governance. Al contempo, non dovrebbe presumere che un inventario dei dati su cloud, SaaS e On-Premises possa rimanere completo nel tempo grazie a fogli di calcolo, workshop e controlli a campione. È sostenibile un approccio in due fasi: dapprima si definiscono i criteri decisionali. In seguito, la Data Discovery tecnica aiuta ad applicarli ai patrimoni reali, a verificare le ipotesi e a rendere visibili le lacune. Così la gestione sicurezza dati diventa verificabile.
Compiti prima della scelta dello strumento: un’agenda strutturata per le PMI
L’introduzione del Data-Security-Posture-Management non dovrebbe iniziare con presentazioni di prodotto. Una PMI trae maggiore beneficio se struttura con pragmatismo i primi pacchetti di lavoro. Crea così una base solida per la selezione, il progetto pilota e i controlli successivi.
1) Rilevare le fonti di dati: create un elenco prioritario dei luoghi di archiviazione rilevanti: archivi cloud, piattaforme di collaborazione, file share, applicazioni specialistiche, database, esportazioni in archivi prossimi ai sistemi di backup e servizi SaaS selezionati. La completezza resta l’obiettivo. Nella prima fase conta però la trasparenza sulle principali zone di rischio.
2) Stabilire le priorità di rischio: definite quali dati considerare per primi: dati personali degni di particolare protezione, grandi volumi di altri dati personali, segreti aziendali, credenziali di accesso, dati finanziari e informazioni soggette a obblighi contrattuali di protezione. Questa definizione delle priorità impedisce al DSPM di arenarsi in un inventario generalizzato privo di effetti visibili.
3) Documentare la logica di classificazione: stabilite quali caratteristiche determinano una classe di dati. Possono rientrarvi contenuto, origine, contesto operativo, tipo di file, metadati, luogo di archiviazione e modello di autorizzazione. All’inizio le regole non devono essere perfette. Tuttavia, devono poter essere spiegate, verificate e gestite in versioni successive.
4) Definire i ruoli di governance: nominate i responsabili dei dati, i responsabili delle approvazioni, il referente per la protezione dei dati e i gestori tecnici. Definite chi esamina e stabilisce la priorità dei risultati DSPM, chi può accettare i rischi e a partire da quale soglia debba essere coinvolta la direzione.
Seguono i criteri di successo per il progetto pilota. Non conta soltanto il numero di documenti sensibili individuati. Sono soprattutto rilevanti la qualità della classificazione, la riduzione dei diritti di accesso eccessivi, la tracciabilità delle decisioni, l’integrazione nei controlli esistenti e la gestibilità con risorse limitate. Per le PMI che intendono sviluppare la sicurezza delle informazioni in modo più sistematico, l’integrazione con un ISMS è naturale. Un inquadramento è disponibile nel nostro contributo ISO 27001 per PMI in Svizzera. Anche in questo ambito, la gestione sicurezza dati crea un collegamento operativo tra governance e controlli.
La posizione di TECHWAY sulla gestione sicurezza dati
Come consulente di Cybersecurity indipendente dai produttori, non consideriamo il DSPM un semplice acquisto IT. Il Data-Security-Posture-Management è un metodo per collegare patrimoni informativi, sensibilità, accessi e rischi in un quadro governabile. Il supporto di strumenti può risultare necessario per la Discovery tecnica. Tuttavia, non sostituisce le decisioni sui dati critici per l’impresa, sugli accessi ammissibili e sui rischi che l’organizzazione può sostenere.
Per i CISO e gli Information Security Manager, il beneficio risiede nella definizione delle priorità in base al rischio. Le funzionalità DSPM possono arricchire con il contesto dei dati categorie esistenti come DLP, CASB, SIEM e controlli delle identità. Non tutte le configurazioni errate hanno la stessa criticità. La loro portata aumenta quando coinvolgono dati particolarmente sensibili, accessi troppo estesi o condivisioni esterne incompatibili con la finalità del trattamento. Per i responsabili della protezione dei dati, il valore risiede nel collegamento tra registro delle attività di trattamento, valutazione d’impatto e panorama effettivo dei dati. Strumenti di supporto come la checklist nLPD per PMI mostrano che documentazione e valutazione del rischio restano lacunose senza chiarezza sui patrimoni informativi.
Quattro criteri per stabilire quando adottare e come scegliere uno strumento DSPM:
1) Copertura delle proprie fonti di dati: lo strumento deve poter rilevare le fonti cloud, SaaS e On-Premises rilevanti per la PMI. Un ampio elenco di funzioni serve a poco se non supporta applicazioni specialistiche o archivi critici.
2) Qualità della classificazione: non conta soltanto che lo strumento individui i dati sensibili. I risultati devono anche essere comprensibili e verificabili sul piano operativo. I falsi positivi devono poter essere gestiti in modo efficiente. Inoltre, controlli a campione rappresentativi, test e revisioni specialistiche dovrebbero permettere di individuare eventuali dati non rilevati.
3) Integrazione nei controlli esistenti: il DSPM dovrebbe collegare i risultati ai processi disponibili: ticketing, access review, policy DLP, analisi SIEM, workflow di protezione dei dati e reporting direzionale. Gli elenchi isolati di riscontri generano lavoro, ma raramente producono una governance efficace.
4) Gestibilità nella PMI: un’impresa con risorse limitate ha bisogno di ruoli chiari, priorità comprensibili e processi operativi controllabili. Se una soluzione produce stabilmente più riscontri di quanti l’organizzazione possa esaminare e trattare, diventa un deposito di rischi irrisolti. Non costituisce più uno strumento per decisioni fondate. In questo senso, la gestione sicurezza dati deve restare proporzionata.
Conclusione
Il Data-Security-Posture-Management è prezioso per le PMI svizzere quando viene concepito come un ciclo ricorrente di governance: rilevare le fonti, classificare i dati, valutare gli accessi, stabilire le priorità di rischio, avviare misure e verificare regolarmente i risultati. Il lavoro concettuale preliminare non può essere delegato a uno strumento. Ambito, schema di classificazione, responsabili dei dati, perimetro giuridico e tolleranza al rischio devono essere chiariti in misura sufficiente prima della scelta dello strumento. Solo così la gestione sicurezza dati diventa una capacità aziendale, non un progetto isolato.
Al contempo, sarebbe irrealistico voler svolgere integralmente a mano la Data Discovery tecnica negli ambienti cloud e SaaS distribuiti. L’approccio sostenibile nasce dalla combinazione dei due elementi: la governance definisce le domande, mentre le funzionalità DSPM aiutano a trovare risposte affidabili nei patrimoni informativi reali. Per le PMI non è quindi decisivo un Big-Bang. Occorre invece iniziare in modo iterativo dalle fonti di dati più critiche e ampliare gradualmente i controlli secondo criteri verificabili.
Primo colloquio per preparare il DSPM
Volete introdurre il Data-Security-Posture-Management, ma prima chiarire ambito, schema di classificazione, ruoli e riferimento alla nLPD? TECHWAY affianca le PMI svizzere con una consulenza indipendente dai produttori. Il supporto comprende la preparazione metodologica, la definizione delle priorità per le fonti di dati e l’elaborazione di criteri solidi per una futura scelta degli strumenti.
🎯 Punti chiave per i decisori
Sintesi per direzione, CISO e responsabili della protezione dei dati:
✓ Il DSPM è anzitutto governance: ambito, classificazione dei dati, responsabili dei dati, vincolo di finalità e criteri di rischio devono essere chiariti prima della scelta dello strumento.
✓ Il lavoro manuale ha dei limiti: negli ambienti cloud, SaaS e On-Premises distribuiti, una Data Discovery completa non è più realisticamente realizzabile a mano.
✓ Il riferimento alla nLPD è centrale: registro delle attività di trattamento, valutazione d’impatto, sicurezza dei dati e vincolo di finalità definiscono il perimetro giuridico per le scansioni di Discovery e le valutazioni del rischio.
✓ La scelta dello strumento segue il profilo dei requisiti: copertura delle fonti di dati, qualità della classificazione, integrazioni e gestibilità nella PMI contano più della mera ricchezza funzionale.
✓ Iniziare in modo iterativo: un approccio DSPM sostenibile parte dalle fonti di dati più critiche e amplia progressivamente i controlli. In questo modo, la gestione sicurezza dati resta concreta e misurabile.
Domande frequenti sul Data-Security-Posture-Management
Qual è la differenza tra DSPM, DLP e CSPM?
Il DSPM parte dai dati: individua i patrimoni informativi, ne classifica la sensibilità, valuta gli accessi e stabilisce le priorità di rischio. Il DLP si concentra maggiormente sulla prevenzione o sul controllo della fuoriuscita di dati attraverso canali definiti. Il CSPM verifica soprattutto l’infrastruttura cloud, le configurazioni e le lacune nelle policy. Nella pratica, queste categorie si completano a vicenda.
Una PMI svizzera ha necessariamente bisogno di uno strumento DSPM?
Non per il lavoro preliminare di governance. Ambito, schema di classificazione, responsabilità, perimetro giuridico e criteri di rischio devono essere definiti indipendentemente dagli strumenti. Tuttavia, per la Data Discovery tecnica su cloud, SaaS e On-Premises, il supporto di uno strumento è di solito necessario, perché le rilevazioni manuali difficilmente individuano in modo completo Shadow Data e accessi dinamici.
Come si rapporta il DSPM al registro delle attività di trattamento previsto dalla nLPD e alla valutazione d’impatto?
Il DSPM non sostituisce né il registro delle attività di trattamento né la valutazione d’impatto sulla protezione dei dati. Può però migliorare la base fattuale, rendendo visibili luoghi di archiviazione, classi di dati e accessi. Queste informazioni supportano la documentazione dei trattamenti, la valutazione del rischio e la definizione di misure tecniche e organizzative.
Come può una PMI con poche risorse iniziare pragmaticamente con il DSPM?
È opportuno iniziare in modo iterativo con poche fonti di dati critiche, per esempio archivi cloud centrali e sistemi specialistici contenenti dati personali degni di particolare protezione o segreti aziendali. Seguono uno schema di classificazione snello, responsabili dei dati chiaramente definiti, criteri di successo e un progetto pilota per la funzionalità di Discovery. L’ampliamento avviene in base al rischio e non come Big-Bang.
