Crittografia è un termine che ogni azienda riconosce, ma che poche esaminano davvero nelle conversazioni con potenziali fornitori. Se un fornitore afferma di crittografare i dati o di offrire una “sicurezza di livello bancario”, queste frasi suonano rassicuranti. Ma in realtà non dicono nulla sulla crittografia in sé: dove avviene, quando e come?
Spiegheremo la differenza tra crittografia dei dati a riposo e crittografia in transito, che cosa deve sapere la tua azienda al riguardo e che cosa chiedere ai fornitori quando li contatti.
Che cosa significano la crittografia dei dati a riposo e la crittografia in transito?
Che cosa significa la crittografia dei dati a riposo
Che cosa significa la crittografia in transito
Crittografia dei dati a riposo vs crittografia in transito
Perché l’architettura zero-access riduce il rischio
Perché entrambi i tipi di crittografia sono importanti per le aziende
Che cosa dicono le agenzie di sicurezza sui servizi cloud
Che cosa chiedere ai fornitori sulla crittografia
Che cosa significano la crittografia dei dati a riposo e la crittografia in transito?
Le credenziali, i dati dei clienti, i dati finanziari, i file dei dipendenti e i documenti interni attraversano tre condizioni distinte durante una normale giornata lavorativa:
- Si trovano nell’archiviazione.
- Viaggiano attraverso le reti.
- Vengono decriptati in modo che qualcuno possa effettivamente usarli.
Ognuna di queste condizioni è vulnerabile a un tipo diverso di attacco, e un servizio può essere ben protetto in una condizione e vulnerabile in un’altra.
I due termini che ogni responsabile aziendale dovrebbe conoscere sono crittografia dei dati a riposo e crittografia in transito. Spesso vengono citati insieme, ma svolgono funzioni diverse. Uno protegge i dati mentre sono archiviati. L’altro li protegge mentre sono in movimento.
Entrambi sono necessari, ma quando si usa la crittografia bisogna considerare chi detiene le chiavi per decriptare i dati. Se è il fornitore del servizio a detenerle, può accedere a tutto nella rete aziendale. Abbiamo scritto molto su come funziona la crittografia se hai bisogno di aggiornare le tue conoscenze.
Comprendere la crittografia end-to-end e l’architettura zero-access è essenziale per ogni azienda che cerca di proteggere i propri dati. Soprattutto quando si tratta di scegliere un gestore di password aziendale e altri sistemi che archiviano informazioni aziendali sensibili.
Che cosa significa la crittografia dei dati a riposo
La crittografia dei dati a riposo significa che i dati vengono crittografati mentre sono archiviati. L’archiviazione può essere un server, un database, un disco rigido, un laptop, un backup, un sistema di archiviazione cloud o un dispositivo mobile.
Per un’azienda, i dati archiviati sono un obiettivo per hacker e criminali informatici. Un laptop rubato, un disco rigido smarrito, un server compromesso, un backup esposto o un database violato mettono tutti a rischio le informazioni. Ma se i dati sono crittografati a riposo, chi ottiene il supporto di archiviazione o il database ha comunque bisogno della chiave corretta per leggerli.
Pensa a uno schedario chiuso a chiave. Lo schedario può essere rubato, ma i file all’interno sono comunque protetti se la serratura regge e la chiave non è disponibile. La crittografia dei dati a riposo svolge un ruolo simile per i dati archiviati.
La crittografia dei dati a riposo è particolarmente importante per la gestione delle credenziali. Un gestore di password aziendale, ad esempio, archivia nomi utente, password, note sicure, codici di recupero e altri elementi sensibili. Se quei dati archiviati non fossero crittografati, una violazione del server potrebbe esporne direttamente il contenuto. Con una forte crittografia dei dati a riposo, l’attaccante può ottenere materiale crittografato ma non i segreti leggibili che contiene.
Tuttavia, la crittografia dei dati a riposo ha un limite che le aziende spesso trascurano. Protegge i dati archiviati da alcuni tipi di accesso non autorizzato, ma non può proteggere automaticamente i dati da ogni utente autorizzato, da un insider malintenzionato, da un account amministratore compromesso o da un fornitore con accesso alle chiavi crittografiche.
Un fornitore può crittografare i dati a riposo ed essere comunque tecnicamente in grado di decriptarli se controlla le chiavi. Ciò può essere accettabile per alcuni servizi, a seconda dei dati e del caso d’uso. Non equivale a dire che il fornitore non può leggere i dati.
Che cosa significa la crittografia in transito
La crittografia in transito protegge i dati mentre viaggiano tra i sistemi. Ad esempio, può avvenire tra il browser di un dipendente e un’applicazione cloud, tra un’app e un server, tra due server o tra un gestore di password sul laptop di una persona e i server con cui si sincronizza.
L’esempio più ovvio è HTTPS. Quando un sito web usa HTTPS, la connessione tra il browser e il sito web è crittografata. Ciò aiuta a impedire che qualcuno sulla stessa rete, un fornitore di servizi internet o un altro intermediario legga o modifichi i dati durante il transito.
Per le aziende, la crittografia in transito è importante perché il lavoro (e i dati) ora si sposta costantemente tra persone, dispositivi e servizi cloud. Una richiesta di login, un caricamento di file, una connessione API, una visualizzazione del pannello di controllo o un messaggio possono passare attraverso reti che l’azienda non controlla. La crittografia in transito aiuta a proteggere questo movimento, così le informazioni sensibili non vengono esposte mentre viaggiano tra il dipendente e il servizio che sta usando.
Le pagine di login, i moduli di pagamento, i pannelli di controllo, gli strumenti cloud e i gestori di password non dovrebbero mai fare affidamento su connessioni non crittografate. Se le credenziali viaggiano su internet senza crittografia, sono esposte prima ancora di raggiungere il sistema che le archivia.
La crittografia in transito è essenziale, ma protegge i dati solo mentre sono in movimento. Una volta arrivati, il sistema ricevente deve comunque archiviarli ed elaborarli in modo sicuro. Un servizio può usare HTTPS e archiviare comunque i dati in un modo che crea rischi in seguito. La crittografia dei dati a riposo e la crittografia in transito devono lavorare insieme.
Crittografia dei dati a riposo vs crittografia in transito
La differenza tra questi due tipi di crittografia è più facile da capire osservando che cosa succede a un dato aziendale nel corso della giornata:
Una password archiviata in un gestore di password aziendale deve essere protetta mentre si trova in una cassaforte. Questa è la crittografia dei dati a riposo.
Quando l’app si sincronizza con un server, o quando un dipendente si connette da un browser o da un dispositivo mobile, anche gli stessi dati devono essere protetti mentre viaggiano. Questa è la crittografia in transito.
Entrambe le fasi sono importanti, ma proteggono da rischi diversi. I dati archiviati possono essere esposti tramite una violazione del server, un dispositivo rubato, un database compromesso o un backup cloud non protetto. I dati in transito possono essere esposti tramite intercettazione, reti non sicure o connessioni configurate in modo errato. Una volta decriptati i dati per l’uso, il rischio cambia: phishing, malware(nuova finestra), account compromessi, accesso malevolo o accesso da parte del fornitore possono entrare in gioco a seconda di come è costruito il servizio.
Una semplice dichiarazione di crittografia da parte di un fornitore non basta. Un fornitore che crittografa la connessione ma non i dati archiviati può comunque lasciare le informazioni vulnerabili dopo che raggiungono il server. Un fornitore che crittografa sia l’archiviazione sia il trasporto ha una base più solida, ma le aziende devono comunque capire chi detiene le chiavi e chi può decriptare i dati.
Questo è particolarmente importante per le credenziali di un’azienda. Le password, i codici di recupero e le note sicure non sono normali documenti aziendali. Sono percorsi di accesso a più sistemi sensibili. Per le informazioni a rischio più basso, la crittografia standard dei dati a riposo e in transito può essere sufficiente. Per le credenziali aziendali, i dati legali, i file sensibili e i dati dei clienti, le aziende dovrebbero chiedersi se i dati vengono crittografati solo mentre sono archiviati e in movimento, oppure se il servizio è progettato in modo che il fornitore non possa leggere nemmeno il contenuto.
Perché l’architettura zero-access riduce il rischio
La crittografia end-to-end significa che i dati vengono crittografati prima di lasciare il dispositivo dell’utente e possono essere decriptati solo dall’utente o dal destinatario previsti. In un modello zero-access, il fornitore archivia dati crittografati ma non dispone delle chiavi necessarie per leggerli.
Questa distinzione spesso si perde nelle discussioni aziendali sulla crittografia. Un fornitore può crittografare i dati a riposo sui propri server e crittografare i dati in transito sulla rete, ma detenere comunque le chiavi. In tal caso, i sistemi del fornitore possono decriptare i dati durante le normali operazioni.
Con la crittografia zero-access, il servizio è progettato in modo diverso. Il fornitore può archiviare e sincronizzare dati crittografati, ma non può leggere il contenuto sottostante. Ciò elimina il rischio creato dall’accesso del fornitore, dalla compromissione del server o da un uso improprio interno, perché i dati più sensibili non sono disponibili in forma leggibile presso il fornitore.
L’hub sulla crittografia di Proton offre una spiegazione completa di come funziona la crittografia nell’ecosistema Proton, inclusa la crittografia end-to-end e la crittografia zero-access.
Un gestore di password aziendale sicuro come Proton Pass for Business applica la crittografia end-to-end a ogni campo, non solo alla password: i nomi utente, gli indirizzi web e tutto ciò che è archiviato nelle note crittografate vengono crittografati prima che i dati raggiungano i server di Proton e possono essere decriptati solo con la password dell’account dell’utente, che Proton non detiene. Questa copertura dei metadati è un vero elemento distintivo.
Alcuni gestori di password crittografano il campo password e lasciano esposti metadati come nomi utente e URL, il che significa che il fornitore, e chiunque violi i suoi sistemi, può comunque vedere con quali servizi un’azienda ha account, anche senza leggere una singola password.
Questo elenco è una mappa efficace per un attaccante: quale piattaforma finanziaria, quale fornitore di servizi per le buste paga o quale console di amministrazione prendere di mira per agire in modo efficace. È esattamente il tipo di ricognizione che altrimenti richiederebbe molto lavoro a un attaccante. Con Proton Pass for Business, nulla resta non crittografato.
Perché entrambi i tipi di crittografia sono importanti per le aziende
Le aziende dipendono dai servizi cloud per email, archiviazione di file, risorse umane, buste paga, finanza, CRM, analisi e molto altro. Ogni servizio su cui fanno affidamento diventa quindi parte della loro strategia di protezione dei dati.
La crittografia in transito aiuta a proteggere i dipendenti mentre si connettono a quei servizi. La crittografia dei dati a riposo aiuta a proteggere i dati archiviati al loro interno. La crittografia ad accesso zero o end-to-end aggiunge un ulteriore livello quando l’azienda ha bisogno di una garanzia più solida che il fornitore stesso non possa leggere il contenuto.
È inoltre fondamentale tenere conto dei metadati, perché sono lo strato che più spesso rimane non protetto. I metadati possono rivelare a un attaccante chi ha un account presso quale servizio, quando un elemento è stato creato o modificato l’ultima volta o a quali URL punta una cassaforte. Anche se un’azienda ha ogni password crittografata, i metadati non crittografati possono far trapelare un inventario completo dei suoi strumenti, dei suoi fornitori e della sua struttura interna solo attraverso i metadati.
Quando si tratta di un gestore di password, la differenza è chiara. Se crittografa i dati in transito ma non a riposo, le credenziali archiviate potrebbero essere esposte in caso di violazione del servizio. Se crittografa i dati a riposo e in transito ma conserva le chiavi di decriptazione, il fornitore potrebbe comunque essere in grado di accedere ai dati. Se utilizza la crittografia end-to-end con un modello ad accesso zero ed estende questa crittografia ai metadati, né le credenziali né il quadro di dove vengono utilizzate sono leggibili da chiunque tranne che dall’azienda stessa.
Cosa dicono le agenzie di sicurezza sui servizi cloud
Molte aziende si affidano ai servizi cloud senza comprendere appieno come questi servizi proteggono i dati. La guida alla sicurezza cloud(nuova finestra) del NCSC nel Regno Unito invita le organizzazioni a valutare i servizi cloud in base a una serie di principi di sicurezza, tra cui protezione dei dati, identità e autenticazione, amministrazione sicura e sicurezza operativa. CISA negli Stati Uniti ed ENISA in tutta l’UE pubblicano quadri di riferimento comparabili, che convergono sulle stesse aspettative fondamentali.
Per la crittografia, ciò significa che le aziende non dovrebbero limitarsi a chiedere se un fornitore crittografa i dati. Dovrebbero capire come i dati sono protetti lungo tutto il ciclo di vita del servizio: quando vengono caricati, archiviati, elaborati, consultati, sottoposti a backup, condivisi ed eliminati.
Questo è particolarmente rilevante per gli strumenti SaaS in cui il fornitore gestisce gran parte dell’infrastruttura. L’azienda potrebbe non controllare i server, ma può comunque scegliere fornitori con un’architettura di sicurezza migliore, una documentazione più chiara, un’autenticazione più solida e modelli di crittografia adeguati alla sensibilità dei dati.
Un gestore di password per le aziende rientra nella categoria ad alta sensibilità perché concentra l’accesso ad altri sistemi aziendali. Se il suo modello di crittografia è debole, il rischio non si ferma alla cassaforte delle password. Può estendersi a email, archiviazione cloud, strumenti finanziari, piattaforme per i clienti, pannelli di amministrazione e qualsiasi altro servizio connesso alle credenziali archiviate al suo interno.
Come gestore di password per i team IT, Proton Pass for Business aggiunge controlli aziendali come policy di amministrazione, report, log, gestione dei gruppi, provisioning SCIM e integrazione SSO. Queste funzionalità aiutano le aziende a gestire chi può accedere alle credenziali, come viene concesso l’accesso e come viene governata la sicurezza delle credenziali in tutto il team.
Cosa chiedere ai fornitori sulla crittografia
Quando un fornitore afferma che i tuoi dati sono crittografati, chiedi informazioni specifiche. La parola “crittografati” è utile solo se l’azienda comprende cosa è protetto, quando lo è e chi può decriptarli.
Per qualsiasi servizio che archivia dati aziendali sensibili, chiedi:
- I dati sono crittografati in transito?
- I dati sono crittografati a riposo?
- Quali tipi di dati sono coperti: solo le password o tutti i campi?
- Anche i metadati sono crittografati, inclusi nomi utente, URL e titoli degli elementi?
- Anche i backup sono crittografati?
- Chi crea e archivia le chiavi crittografiche?
- Il fornitore può decriptare i dati dei clienti?
- I team di supporto possono accedere ai contenuti?
- Il servizio utilizza la crittografia end-to-end o la crittografia ad accesso zero?
- Cosa succede se i server del fornitore vengono violati?
- Il servizio supporta MFA, policy di amministrazione, log di accesso e condivisione sicura?
Queste domande sono ancora più importanti da porre a un gestore di password per le aziende, perché le credenziali si connettono ad altri sistemi. Il servizio dovrebbe proteggere le password lungo tutto il loro ciclo di vita: creazione, archiviazione, condivisione, utilizzo, monitoraggio e rimozione.
La generazione di password complesse è utile, ma è una funzionalità all’interno del gestore di password, non una soluzione autonoma. Il vero valore deriva dal combinare credenziali uniche con archiviazione crittografata, condivisione controllata, MFA, chiavi di accesso, visibilità per gli amministratori e controlli di offboarding.
Un gestore di password per le aziende si inserisce in quella più ampia strategia di protezione dei dati aiutando i team ad archiviare le credenziali con crittografia end-to-end, a condividere l’accesso in modo sicuro, a ridurre il riutilizzo delle password, a gestire le chiavi di accesso, a utilizzare l’autenticazione a due fattori integrata e a offrire agli amministratori un maggiore controllo sull’accesso alle credenziali aziendali.
Archivia le credenziali aziendali con la crittografia ad accesso zero, prova Proton Pass for Business.
