Prevenire violazioni dati nel trasferimento: checklist sicurezza

Prevenire le violazioni dei dati durante il trasferimento file richiede controlli a cinque livelli: crittografia in transito (TLS 1.3) e a riposo (AES-256-GCM lato client), accesso autenticato per destinatario, log di audit su uno store a prova di manomissione, conservazione breve con scadenza automatica, e procedure di risposta agli incidenti che si attivano entro minuti dal rilevamento di anomalie. La violazione MOVEit Transfer del 2023 ha esposto i dati di oltre 2.600 organizzazioni perché un singolo zero-day in un prodotto di trasferimento file gestito ha aggirato i livelli 1-3 per i clienti che non monitoravano il livello 5. Un approccio basato su checklist individua le lacune. Ecco la lista completa con note di implementazione concrete.

Perché il trasferimento file è un punto caldo per le violazioni

Il trasferimento file si trova all'intersezione di reti esterne, molteplici confini di trust, e spesso contenuti non strutturati che gli strumenti DLP (data loss prevention) non riescono a scansionare facilmente. Il Verizon DBIR 2023 ha attribuito il 74% delle violazioni a un elemento umano, e la condivisione file errata è uno dei trigger più comuni, insieme al phishing. Accellion FTA (2021), Progress MOVEit (2023) e Cleo Harmony (2024) hanno tutti fornito prodotti enterprise per il trasferimento file che sono stati violati su larga scala, esponendo milioni di record per incidente.

La lezione: gli strumenti di trasferimento file sono obiettivi ad alto valore perché portano i dati business-critical che si spostano tra le organizzazioni. Il loro rafforzamento non è opzionale.

Checklist crittografia

[ ] TLS 1.3 su tutti gli endpoint HTTPS, HSTS abilitato con max-age=31536000
[ ] AES-256-GCM per i contenuti dei file, non AES-CBC (suscettibile agli attacchi di padding oracle)
[ ] Chiavi derivate tramite PBKDF2-SHA-256 a 600.000+ iterazioni o Argon2id (OWASP 2023)
[ ] Crittografia lato client per tutto ciò classificato come riservato o superiore
[ ] Crittografia lato server come secondo livello (envelope encryption con AWS KMS, GCP KMS o Azure Key Vault)
[ ] Perfect forward secrecy (cipher suite ECDHE) su tutte le connessioni TLS
[ ] Certificate pinning per i client enterprise dove possibile

Se un servizio di trasferimento pubblicizza "crittografia di livello militare" senza nominare le primitive, premi per specifiche. Le affermazioni vaghe di solito significano AES-128 solo lato server.

Checklist controllo accessi

[ ] Ogni link di condivisione richiede autenticazione oltre al link stesso (password, verifica email, SSO)
[ ] Link monouso preferibili per i destinatari esterni
[ ] Scadenza su ogni link, default 72 ore, massimo 30 giorni
[ ] Limiti al numero di download dove pertinente (es. max 1 o 5 download)
[ ] IP allowlisting per gli scambi B2B con range di partner fissi
[ ] Filigranatura per documenti ad alta sensibilità (.pdf con timbri per destinatario)
[ ] mTLS per i trasferimenti automatizzati server-to-server

Un link di condivisione senza protezione è un bearer token: chiunque abbia l'URL ha pieno accesso. I bearer token trapelano negli inoltri email, nei canali chat, nelle cronologie del browser e nei log di accesso CDN.

Classificazione dei dati prima della condivisione

Non ogni file merita lo stesso trattamento. Uno schema a tre livelli funziona per la maggior parte delle organizzazioni:

Pubblico: comunicati stampa, materiali di marketing; la crittografia solo del trasporto va bene
Riservato: dati dei clienti, report finanziari, registri HR; AES-256-GCM lato client più controlli di accesso
Ristretto: segreti commerciali, dettagli di vulnerabilità non ancora corrette, materiali M&A; crittografia lato client più accesso autenticato più filigranatura più scadenza di 24–48 ore

La classificazione automatica aiuta. Microsoft Purview, Google Drive DLP e Forcepoint DLP scansionano i caricamenti per PII, dati dei titolari di carta PCI-DSS o PHI e bloccano o reindirizzano in base alla policy. Per team più piccoli, una convenzione di denominazione dei file ([CONF], [RISTRETTO]) più un team formato è sufficiente.

Controlli sul fattore umano

I dati sulle violazioni mostrano costantemente che gli esseri umani sono il punto di ingresso. Controlli che affrontano questo problema:

Autenticazione phishing-resistant (chiavi hardware FIDO2 o passkey, non SMS)
Prompt di verifica del destinatario: "Conferma l'email del destinatario prima di inviare"
Flag per destinatari esterni nell'interfaccia in modo che i mittenti sappiano quando un file sta lasciando l'organizzazione
Finestre di revoca: 5–10 minuti dopo l'invio in cui il mittente può annullare la consegna
Formazione obbligatoria ogni 6 mesi con simulazioni di phishing

I messaggi "Esterno" di Google Workspace nelle condivisioni Drive hanno ridotto la condivisione esterna accidentale del 23% nella ricerca interna di Google. I piccoli nudge UX contano.

Log di audit e monitoraggio

[ ] Tutti gli eventi di caricamento, download, creazione link e accesso vengono registrati
[ ] Log inviati a un SIEM (Splunk, Elastic, Sentinel, Datadog) entro 5 minuti
[ ] Conservazione dei log da 1 a 7 anni a seconda dei requisiti normativi (PCI-DSS: min 1 anno, HIPAA: 6 anni, GDPR: caso per caso)
[ ] Rilevamento anomalie: volumi di download insoliti, accessi fuori orario, outlier geografici
[ ] Alert indirizzati a una rotazione on-call con SLA definito (15 minuti di acknowledgment)

Gli aggressori MOVEit hanno esfiltrato dati per settimane prima del rilevamento nella maggior parte delle organizzazioni vittime. Il rilevamento di anomalie in tempo reale (picchi di volume di download, nuovi range IP, user agent insoliti) avrebbe ridotto significativamente il dwell time.

Controlli di conservazione ed eliminazione

Ogni giorno che un file rimane su un server è un giorno in cui potrebbe essere rubato. La conservazione breve è il singolo controllo ad alto impatto:

Conservazione predefinita: 7 giorni per la maggior parte dei trasferimenti file
Conservazione massima: 30 giorni, con estensioni che richiedono giustificazione
Eliminazione crittografica alla scadenza (sovrascrivi le chiavi, non solo i payload)
Notifiche al destinatario prima della scadenza in modo che possa scaricare in tempo
Auto-eliminazione delle voci scadute da log e backup nelle finestre regolamentate

HexaTransfer — Invia fino a 50 GB per trasferimento con caricamenti suddivisi in blocchi. Scadenza: 1–30 giorni interi, 14 giorni per impostazione predefinita. Dropbox Transfer e WeTransfer offrono impostazioni di conservazione; usa la finestra più breve possibile.

Procedure di risposta agli incidenti

Quando si sospetta una violazione:

[ ] Revoca i link di condivisione interessati entro 15 minuti dal rilevamento
[ ] Ruota le credenziali per qualsiasi utente associato ad attività sospetta
[ ] Conserva i log (copie write-once, non lasciare che la pulizia dell'aggressore le cancelli)
[ ] Notifica i team legali e della privacy entro 1 ora
[ ] Presenta le notifiche normative nei tempi previsti: GDPR Articolo 33 (72 ore all'autorità di controllo), HIPAA Breach Notification Rule (60 giorni all'HHS), leggi statali sulle violazioni (variabile, spesso 30–60 giorni)
[ ] Coinvolgi la risposta forense se l'esposizione è ampia o poco chiara (Mandiant, CrowdStrike, Kroll)

Esegui il playbook in esercitazioni tabletop almeno una volta all'anno. I team che si sono esercitati rispondono più velocemente di un fattore 2–3x secondo il Cost of a Data Breach Report di IBM.

Due diligence sui vendor

[ ] Report SOC 2 Tipo II esaminato, non solo richiesto
[ ] Certificazione ISO 27001 corrente
[ ] Report di pen test degli ultimi 12 mesi
[ ] Lista dei sub-processori esaminata (il tuo vendor invia dati a terze parti sconosciute?)
[ ] Controlli sulla residenza dei dati disponibili se si applicano regole GDPR o di altra giurisdizione
[ ] Primitive pubblicate: algoritmi specifici, dimensioni delle chiavi, conteggi delle iterazioni
[ ] SLA di notifica delle violazioni nel contratto (tipicamente 24–72 ore)

Chiedi ai vendor la loro storia di incidenti. Un vendor che è stato violato e ha risposto bene è spesso una scommessa migliore di uno senza incidenti pubblici e con risposte vaghe.

Mettere la checklist in pratica

Non cercare di distribuire tutti i 40+ elementi in una volta. Priorità: prima crittografia e controllo degli accessi, poi log e monitoraggio, poi conservazione e classificazione, infine risposta agli incidenti (e testala). Revisione trimestrale e aggiornamento per la nuova threat intelligence. Le violazioni MOVEit e Accellion hanno entrambe sfruttato bug tecnici specifici, ma le organizzazioni con il dwell time più breve e la minore esposizione erano quelle con finestre di conservazione ridotte e monitoraggio attivo. La checklist riguarda meno qualsiasi singolo controllo e più il livellamento.

Provalo su hexatransfer.com — gratis, senza registrazione, fino a 50 GB.