Che cos'è il DSPM? Data Security Posture Management spiegato

Data Security Posture Management — DSPM — è uno di quegli acronimi arrivati più in fretta della loro definizione. Questo articolo spiega cosa significa realmente, perché è emerso, in cosa differisce dagli acronimi vicini con cui viene confuso e come capire se la sua organizzazione ne ha bisogno.

La definizione in una frase

Il DSPM è la pratica di individuare in modo continuo dove risiedono i dati sensibili, chi e cosa può accedervi, e se tale accesso è appropriato — segnalando le lacune affinché possano essere corrette.

L'accento è sui dati e sulla postura. Non la rete, non l'endpoint, non il perimetro: i dati stessi, e lo stato permanente della loro esposizione.

Perché è emerso il DSPM

Per la maggior parte della storia della sicurezza, il modello era il perimetro. Si tracciava un confine attorno alla rete aziendale, si difendeva il confine e ci si fidava di ciò che stava all'interno. I dati risiedevano su server di proprietà dell'azienda, in un data center controllato direttamente.

Quel modello si è dissolto. Oggi i dati risiedono in applicazioni SaaS e piattaforme cloud — Google Workspace, Microsoft 365, Salesforce, storage a oggetti, data warehouse — accessibili da qualsiasi luogo da dipendenti, collaboratori esterni, partner e, sempre più spesso, da agenti automatizzati. Non esiste un unico perimetro da difendere perché i dati sono ovunque e l'accesso viene concesso attraverso mille piccole decisioni prese dai singoli utenti.

In questo scenario, le domande che contano sono cambiate:

• *Dove* si trovano i nostri dati sensibili, in tutti questi sistemi?
• *Chi* può raggiungere ciascuna parte di essi — inclusi soggetti esterni e identità non umane?
• Tale accesso è *appropriato*, oppure qualcosa è condiviso in eccesso, pubblico o obsoleto?
• Come faremmo a *saperlo* quando la situazione cambia?

Il DSPM è la disciplina costruita per rispondere a queste domande in modo continuo, invece che una volta l'anno in un audit.

In cosa il DSPM differisce da CSPM, DLP e CIEM

La minestra di acronimi è reale. Ecco come si relazionano i concetti vicini:

• CSPM (Cloud Security Posture Management) si concentra sulle configurazioni errate dell'*infrastruttura* cloud — bucket di storage aperti, gruppi di sicurezza troppo permissivi, volumi non cifrati. Si chiede "il cloud è configurato in modo sicuro?". Il DSPM si chiede "i dati sono esposti, ovunque essi risiedano?". Si sovrappongono a livello di storage, ma puntano a obiettivi diversi.
• DLP (Data Loss Prevention) cerca di *impedire* che i dati sensibili escano — bloccando un'email con un numero di carta di credito, impedendo il caricamento di un file. Il DLP riguarda i dati in movimento al momento dell'uscita. Il DSPM riguarda la postura permanente: segnala che il file era già stato condiviso in eccesso, prima ancora che qualcosa si muova.
• CIEM (Cloud Infrastructure Entitlement Management) si concentra sulle identità e sui loro diritti nelle piattaforme cloud — chi può fare cosa. Il DSPM utilizza le informazioni sui diritti di accesso ma centra l'attenzione sui *dati*: collega l'accesso alle risorse che contano e ne valuta l'esposizione.

Un modello mentale utile: il CSPM protegge il cloud, il DLP sorveglia le uscite, il CIEM sbroglia i permessi, e il DSPM impedisce che i dati stessi vengano esposti fin dall'inizio.

Cosa fa davvero un approccio DSPM

Spogliato del posizionamento di marketing dei fornitori, un flusso di lavoro DSPM comprende quattro mosse:

1. Scoperta. Connettersi ai sistemi in cui risiedono i dati e catalogare le risorse, le identità e i permessi che le collegano. Non si può proteggere ciò che non è stato inventariato.
2. Classificazione. Comprendere quali dati sono sensibili — dati personali, informazioni finanziarie, segreti, contenuti regolamentati — così da poter dare priorità all'esposizione in base a ciò che è realmente in gioco.
3. Valutazione dell'esposizione. Combinare risorsa, identità e permesso per individuare i rischi: link pubblici, condivisione esterna, accesso con privilegi eccessivi, concessioni obsolete, configurazioni errate.
4. Definizione delle priorità e correzione. Classificare i risultati in base al rischio reale — sensibilità moltiplicata per ampiezza di accesso moltiplicata per livello di accesso — e portarli a risoluzione, per poi riverificare a ogni cambiamento.

La parte "continua" è ciò che distingue la *gestione* della postura da una scansione puntuale. La postura si evolve costantemente man mano che le persone condividono, concedono e dimenticano l'accesso. Uno snapshot è già obsoleto nel momento stesso in cui viene scattato.

Ha bisogno del DSPM?

Probabilmente ha già il problema; la domanda è se lo sta gestendo. Alcuni segnali indicano che è necessario un approccio DSPM deliberato:

• La maggior parte dei suoi dati risiede in piattaforme SaaS e cloud piuttosto che su infrastrutture controllate direttamente.
• La condivisione è in self-service — ogni utente può concedere l'accesso — quindi il suo inventario degli accessi è incompleto.
• Ha obblighi di conformità (SOC 2, ISO 27001, GDPR, HIPAA) che richiedono di dimostrare il controllo su chi può accedere ai dati.
• Attualmente non può rispondere alla domanda "chi può vedere questa cartella di dati sensibili?" senza un'indagine manuale.
• Agenti automatizzati e account di servizio detengono l'accesso ai suoi dati e nessuno li governa.

Se diverse di queste affermazioni le risultano vere, l'esposizione esiste indipendentemente dal fatto che la si stia monitorando o no. Il DSPM è semplicemente la decisione di monitorarla in modo continuo e agire su ciò che si trova.

Il DSPM in pratica per Google Workspace

Il DSPM è teoricamente indipendente dalla piattaforma, ma nella pratica viene erogato sistema per sistema. Per le organizzazioni che operano su Google Workspace, ciò significa individuare in modo continuo le risorse di Drive e la loro condivisione, mappare le identità — umane, esterne, di servizio e IA — che possono raggiungerle, e far emergere le esposizioni: link pubblici, condivisioni esterne, accesso con permessi eccessivi, app OAuth rischiose e configurazioni errate degli amministratori. È esattamente il problema della sicurezza di Google Workspace, inquadrato come postura.

Come si presenta un buon DSPM nella pratica

È facile descrivere il DSPM in astratto, più difficile riconoscere una buona implementazione. Alcune qualità distinguono una gestione della postura realmente utile da uno scanner rumoroso:

• Stabilisce le priorità senza compromessi. Uno strumento che restituisce diecimila risultati ha semplicemente spostato il problema. Un buon DSPM classifica in base al rischio reale — sensibilità moltiplicata per ampiezza di accesso moltiplicata per livello di accesso — così che i pochi elementi che contano emergano in cima e il resto attenda il proprio turno.
• Si spiega da sé. "Link pubblico su Q3-financials.xlsx, raggiungibile da chiunque abbia l'URL, perché la condivisione è stata impostata su 'chiunque abbia il link' il 4 marzo" è un'informazione su cui si può agire. Un codice di rilevamento non lo è. La chiarezza esplicativa è ciò che permette a un non specialista di agire senza dover fare escalation.
• È di sola lettura per impostazione predefinita. La scoperta non dovrebbe richiedere accesso in scrittura ai suoi dati. Gli strumenti meno invasivi inventariano e valutano senza la capacità di modificare, il che impedisce allo strumento di sicurezza stesso di diventare un rischio.
• Chiude il cerchio. Individuare un'esposizione è metà del lavoro; monitorarla fino alla risoluzione e confermare che sia rimasta risolta è l'altra metà. Una postura che viene misurata ma mai corretta è solo una preoccupazione più dettagliata.

Idee sbagliate comuni

Alcuni miti frenano i team:

• "Abbiamo il DLP, quindi siamo protetti." Il DLP sorveglia le uscite; non le dice che il file era già stato condiviso in eccesso internamente ed esternamente fin dall'inizio. I due strumenti sono complementari, non sostitutivi.
• "Il nostro fornitore cloud protegge i nostri dati." I fornitori proteggono l'infrastruttura e offrono i controlli; il modo in cui *configura* la condivisione e l'accesso — e quindi la sua esposizione — è sua responsabilità, secondo il modello di responsabilità condivisa.
• "Abbiamo fatto un audit l'anno scorso." La postura non è uno stato che si raggiunge; è uno stato che si mantiene. L'audit dell'anno scorso descrive un mondo che non esiste più.

Superare queste convinzioni è di solito il momento in cui un team si rende conto che l'esposizione c'era da sempre — semplicemente non la stavano osservando in modo continuo.

8200.dev è un DSPM progettato appositamente per Google Workspace: scoperta di sola lettura, spiegazioni in linguaggio semplice del *perché* ciascun risultato è rischioso, e riverifica continua affinché la sua postura rifletta la realtà. Scopra di più su come funziona.

Curioso di scoprire come si presenta oggi la postura dei suoi dati? Avvii il suo audit di sicurezza gratuito e ottenga una mappa prioritaria di chi e cosa può raggiungere i suoi dati più sensibili su Google Workspace.