Dispositivi di archiviazione e crittografia
L’attuale linea di unità USB crittografate, possiedono la prevenzione della perdita di dati (DLP acronimo di Data Loss Prevention), come il DataLocker, nonché le opzioni di personalizzazione e co-logo disponibili.
AES: Advanced Encryption Standard, algoritmo di crittografia ampiamente utilizzato e popolare.
XTS: la modalità operativa più sicura per AES.
Altre modalità sono CBC e ECB. FIPS: standard federale per l’elaborazione delle informazioni.
FIPS 197 definisce AES, FIPS 140-2 e il nuovo FIPS 140-3 definiscono la protezione del modulo di crittografia all’interno di un prodotto.
Esistono quattro livelli in FIPS 140-2 e FIPS 140-3, vi sono aziende che incorporano il livello 3 nelle unità USB con crittografia hardware.
Funzionalità
Numero di serie univoco: ogni dispositivo di archiviazione crittografato ha un numero di serie univoco, che aiuta per la gestione delle risorse, il controllo dell’inventario e il monitoraggio.
Protezione dagli attacchi brute force: include una funzione di sicurezza integrata che tiene traccia del numero di tentativi consecutivi di password non valide.
Se questo numero raggiunge il valore preconfigurato (numero massimo di accessi non validi), la chiave di crittografia e tutti i dati verranno eliminati e persi per sempre e l’unità richiederà un ripristino del dispositivo.
Questa opzione di ripristino del dispositivo riformatterà o facoltativamente distruggerà l’unità.
Protezione USB difettosa: un attacco di malware BadUSB modifica il firmware che controlla il comportamento dell’hardware USB, consentendo al dispositivo USB di diventare un host che può successivamente infettare altri computer e dispositivi USB.
L’uso di firme digitali nel firmware del controller rende i prodotti immuni a questa minaccia.
Caratteristiche
Capacità disponibili: le unità flash USB crittografate sono disponibili solitamente con capacità da 4 GB a 256 GB.
Gli SSD esterni crittografati offrono invece capacità da 480 GB a 1920 GB.
Prevenzione della perdita di dati/Compatibilità con la gestione degli endpoint: le unità possono essere utilizzate e sono compatibili con le suite software DLP.
Ciò consente alla sicurezza degli endpoint di bloccare o limitare l’uso dei dispositivi all’interno dell’organizzazione.
Numero di serie univoco e codice a barre stampati sull’unità: consente agli amministratori di rete di leggere o scansionare semplicemente il codice invece di collegare un’unità per apprenderne il numero di serie univoco.
Risparmio di tempo sia quando l’unità viene distribuita che quando viene restituita, nonché durante qualsiasi controllo fisico dell’hardware eseguito da un’azienda.
Se viene trovata un’unità smarrita, il proprietario può essere rapidamente rintracciato tramite il numero di serie in ambito aziendale.
Modalità di sola lettura: a volte indicato come “modalità di protezione da scrittura”, selezionando la casella di controllo denominata “Modalità di sola lettura” prima di accedere al dispositivo.
Una volta autenticato in sola lettura, l’utente potrà aprire o visualizzare il contenuto ma non aggiornare, modificare o cancellare il contenuto mentre si trova in questa modalità.
Cryptochip: il Cryptochip sul dispositivo fornisce il massimo livello di sicurezza hardware.
Questo protegge i dati allo stesso livello delle informazioni governative altamente classificate.
Se il Cryptochip rileva un attacco fisico, distrugge si autodistrugge, rendendo inaccessibili i file crittografati archiviati.
Unità gestite da SafeConsole: i modelli USB crittografati gestiti supportano SafeConsole di DataLocker.
Ciò consente la gestione centralizzata dell’accesso e dell’utilizzo delle unità su migliaia di unità.
Applica policy specifiche per le unità, come la sicurezza della password e i limiti per i tentativi, e consente agli amministratori di disabilitare in remoto le unità smarrite o rubate, recuperare le password perse e altro ancora.
Regolamento generale sulla protezione dei dati (GDPR)
Il GDPR (General Data Protection Regulation) è un regolamento implementato il 25 maggio 2018 che mira a rafforzare i diritti di protezione dei dati per le persone all’interno dell’Unione Europea.
Sostituisce la direttiva del 1995 e mira a una protezione dei dati a prova di futuro nell’UE, unificando al tempo stesso varie leggi nazionali.
Il GDPR si applicherà anche alle organizzazioni non UE che elaborano i dati dei residenti nell’UE.
Il GDPR richiede alle aziende che svolgono attività commerciali nell’UE di:
- Crittografa i dati dei clienti in transito e inattivi.
- Implementare una sicurezza adeguata per proteggere dalla perdita di dati dei clienti.
- Garantire che anche eventuali terze parti che elaborano i loro dati siano conformi.
Le aziende extra-UE che trattano le informazioni dei cittadini dell’UE devono essere conformi.
Una violazione del GDPR può comportare una multa fino al 4% del fatturato globale annuo o 20 milioni di euro (a seconda di quale sia il maggiore).
La crittografia dei dati è un elemento importante di qualsiasi progetto di infrastruttura, distribuzione di dispositivi e può fungere da componente di un programma conforme al GDPR.
I dispositivi di archiviazione crittografati possono svolgere un ruolo cruciale nel perseguire la conformità al GDPR, poiché tutti i dati archiviati sulle unità sono sempre crittografati e protetti da una password complessa.
Le unità riducono al minimo i rischi di spostamento dei dati all’esterno dell’organizzazione e assicurano che i dati critici e sensibili siano sempre protetti.
Su questo video viene spiegato nei minimi dettagli l’importanza di tale argomento:
Prevenzione della perdita di dati (DLP)
La prevenzione della perdita di dati (DLP) è un approccio che cerca di migliorare la sicurezza delle informazioni e proteggere le informazioni aziendali dalle violazioni dei dati.
DLP si riferisce anche a strumenti che consentono a un amministratore di rete di monitorare i dati accessibili e condivisi dagli utenti finali.
I prodotti USB e SSD con crittografia hardware forniscono la crittografia forzata.
Questa funzione consente agli amministratori IT di estendere la loro politica di controllo dei dispositivi e assicurarsi che tutti i dati riservati trasferiti ai dispositivi di archiviazione siano automaticamente crittografati, in ogni momento.
Tra molti altri obiettivi principali, DLP cerca di ridurre al minimo il rischio di furto di dati da unità non protette e non sicure.
Un tipico insieme di obiettivi fondamentali per un buon approccio DLP sono:
Identifica: identifica e classifica i dati riservati, sensibili e privati.
Prevenire: impedire la condivisione di contenuti non autorizzati, accidentalmente o intenzionalmente.
Monitor: monitora e proteggi i dati sensibili.
Conformità: mantieni la conformità aiutando gli utenti attraverso l’istruzione e l’applicazione.
Segnala: segnala e allerta su violazioni, violazioni e problemi.
DLP è strettamente legato all’argomento inerente alla gestione degli endpoint.
Uno dei tanti strumenti all’interno di DLP è la gestione di quali dispositivi sono autorizzati a essere utilizzati e quali dispositivi non possono essere utilizzati negli endpoint.
Gli endpoint sono più comunemente noti come sistemi client, ad esempio desktop e laptop.
Gestione degli endpoint
Le unità USB crittografate e le unità SSD esterne sono compatibili con le soluzioni di più ISV (Independent Software Vendor), come EgoSecure di Matrix42, SecureDoc di WinMagic.
Questi software sono noti come soluzioni di gestione degli endpoint o di protezione degli endpoint.
Attraverso la gestione degli endpoint, le aziende possono inserire nella whitelist i dispositivi pre-approvati per garantire che gli utenti utilizzino sempre l’archiviazione portatile crittografata, così come possono inserire nella blacklist i dispositivi di archiviazione non crittografati e non autorizzati.
Utilizzando una combinazione di identificatori univoci presenti sui prodotti crittografati, l’organizzazione può facilmente creare una policy che deve adottare per l’utilizzo dei dispositivi portatili.
SafeConsole di DataLocker è in grado di gestire criteri e funzionalità dell’unità.
Vendor ID (VID) e Product ID (PID) sono identificatori utilizzati per identificare i dispositivi basati su USB su un computer o altri host.
Il VID e il PID sono incorporati nel prodotto e comunicati al computer quando il dispositivo è collegato.
Un numero di serie univoco è incorporato nel firmware del dispositivo.
SafeConsole di DataLocker
DataLocker fornisce soluzioni software per le unità USB crittografate che consentono agli utenti di gestirle centralmente.
DataLocker SafeConsole è disponibile in due versioni:
SCC (SafeConsole Cloud)
- Servizio in hosting su Custom Cloud dedicato a una sola azienda.
- Possibilità di scegliere dove ospitare il server SafeConsole, Europa, USA, Asia a seconda dei requisiti normativi.
- Nessun dato del cliente memorizzato nel servizio.
SafeConsole On-Prem
- Pacchetto server installato dall’utente ospitato sul server dell’azienda.
- Richiede un server basato su Windows dedicato.
- Gli amministratori possono autenticarsi per accedere a SafeConsole con le proprie credenziali di Active Directory.
- Ideale per implementazioni di oltre 300 endpoint.
SafeConsole dispone di una console di amministrazione, che fornisce la gestione centralizzata dei dispositivi, la configurazione dei criteri per ogni unità, l’abilitazione e la disabilitazione dei dispositivi, lo sblocco o la disabilitazione delle unità e altro ancora.
Alcune delle funzionalità chiave disponibili sono:
Password Policy: configura più criteri di password complessi all’interno di SafeConsole e li assegna a diversi gruppi all’interno dell’organizzazione.
Reimpostazione remota della password: se la password scelta viene dimenticata, un utente dell’unità gestita insieme a un amministratore remoto di SafeConsole può reimpostare la password, utilizzando un codice di ripristino di otto caratteri, senza perdere nessuno dei dati memorizzati sull’unità.
Gestione dello stato del dispositivo: se un’unità gestita viene persa/rubata, può essere disabilitata/ripristinata alle impostazioni di fabbrica (cancellando tutti i dati e le informazioni) la volta successiva che l’unità viene connessa a un sistema abilitato a Internet.
Controllo del dispositivo/traccia di controllo del file: tutte le azioni dell’unità gestita vengono registrate (anche le azioni dell’amministratore), come i tentativi errati di sbloccare il prodotto, e archiviate a scopo di controllo.
