In azienda si applica in tre punti diversi, spesso confusi fra loro. Sui dispositivi, così che un portatile rubato non consegni i dati insieme all’hardware. Nelle comunicazioni, così che il traffico non sia leggibile lungo il percorso. Sugli archivi e sui backup, così che una copia sottratta resti inutilizzabile.
La parte difficile non è cifrare — i sistemi moderni lo fanno con un’impostazione — ma gestire le chiavi. Una chiave persa rende i dati irrecuperabili quanto una cancellazione, e una chiave conservata accanto ai dati che protegge non protegge nulla.
I due usi che contano in azienda
La parola copre una materia vasta, ma per un’impresa si riduce a due applicazioni pratiche che vale la pena distinguere.
Cifrare i dati fermi
Il disco di un portatile, un archivio, una copia di backup. Serve quando il supporto finisce in mano a qualcun altro: un computer smarrito con il disco cifrato è la perdita di un oggetto, senza cifratura è una violazione di dati da valutare per la notifica.
Cifrare i dati in transito
Le comunicazioni fra un dispositivo e un servizio. Oggi è la norma sul web, ma va verificata dove non lo è ancora — collegamenti fra sedi, accessi a gestionali interni, apparati di rete amministrati su protocolli vecchi.
Dove sta il vero problema: le chiavi
La cifratura fallisce quasi sempre per la gestione delle chiavi, non per l’algoritmo. Una copia di backup cifrata la cui chiave è salvata sullo stesso sistema che si vuole proteggere non è protetta. Un disco cifrato la cui password di recupero non è custodita da nessuna parte diventa un archivio perduto il giorno in cui serve.
Le due regole da rispettare sono semplici: la chiave non sta insieme a ciò che protegge, e deve esistere una procedura scritta per recuperarla che non dipenda da una sola persona.
Perché conta per un’azienda
La cifratura dei dispositivi è la misura con il miglior rapporto fra sforzo e rischio evitato: si attiva in mezz’ora e trasforma il furto di un portatile da incidente su dati personali a semplice perdita di hardware.
L’errore che vediamo più spesso
Verificate se i portatili aziendali hanno la cifratura del disco attiva. Nella maggior parte delle aziende che visitiamo non ce l’ha nessuno, e nessuno se n’era mai posto la domanda.