La crittografia delle e-mail e dei file rappresenta una tecnologia di sicurezza specializzata per proteggere la riservatezza e l’integrità di messaggi e allegati o per impedire l’accesso a informazioni sensibili.

Ecco perché è il primo potente alleato che le aziende devono tenere in considerazione in un’ottica di tutela del patrimonio informativo. Fino a pochi anni fa il metodo crittografico consisteva nell’utilizzo di un’unica chiave sia per proteggere il messaggio che per renderlo nuovamente leggibile. Nel corso del tempo la tecnica crittografica si è notevolmente evoluta ed oggi si utilizzano chiavi diverse per cifrare e per decifrare le informazioni.

Questo ha semplificato i processi, in quanto non è necessario nascondere le chiavi o le password: esiste una chiave per crittografare, che chiunque può vedere, e una per decifrare, che conosce solo il destinatario senza necessità quindi di riceverla (scambiarla) dal mittente. Le applicazioni della crittografia moderna sono diffuse nell’ambito informatico e delle telecomunicazioni in tutti casi in cui è richiesta confidenzialità dei dati ad esempio in messaggi e file presenti su supporti di memorizzazione, nelle comunicazioni wireless per garantire la confidenzialità (ad es. WEP e WPA), nella Rete Internet per oscurare la comunicazione dati in transito tra client e server (protocolli SSH, SSL/TSL, HTTPS, IPsec), nelle transazioni finanziarie-bancarie (home banking), nella pay per view per impedire la visione di contenuti audiovisivi a pagamento ai non abbonati.

Scegliere una soluzione di mobile device management può aiutare a prevenire la perdita di dati nel caso in cui i prodotti Data Loss Prevention in uso non abbiano già integrata un’applicazione per la protezione dei dispositivi mobili. Gli IT manager devono scegliere se cavalcare l’onda della mobility o lasciare che ciascun utente si organizzi autonomamente, utilizzando soluzioni personali fuori da qualunque controllo aziendale. Per aiutare gli utenti a lavorare come e dove preferiscono è necessario definire le linee della governance utilizzando piattaforme di nuova generazione che, pur supportarndo la produttività individuale, mantengono elevati le policy di presidio e di controllo. Integrare in una startegia di Mobile Device Management l’instradamento dei flussi applicativi in tunnel cifrati, ad esempio, aiuta a gestire meglio la sicurezza.

La creazione di una VPN SSL (Secure Sockets Layer)  garantisce il controllo degli accessi ma anche delle interazioni in ambito applicativo e di servizio. L’SSL, attraverso la creazione di un tunnel cifrato e quindi più sicuro, è in grado di abilitare i collegamenti ad applicazioni specifiche, aumentando i livelli della governance. Non a caso questo approccio è stato esteso a smartphone e tablet di qualsiasi tipo.

La gestione dei diritti digitali rappresenta quell’insieme di sistemi tecnologici utili a tutelare, esercitare e amministrare i diritti d’autore sul piano digitale. Occorre pensare al Digital Rights Management – e in particolare all’Information Rights Management (IRM) – come ad un sottoinsieme limitato di funzionalità di Data Loss Prevention.

I prodotti di Information Rights Management spesso riguardano solo un particolare tipo di condivisione delle informazioni che avviene attraverso specifiche applicazioni, come Microsoft Office, Exchange / Outlook e SharePoint. A questo proposito l’Information Rights Management (IRM) consente agli autori di contenuti di controllare in modo centralizzato le azioni che gli utenti possono eseguire sui documenti scaricati da raccolte documenti come, ad esempio, con Microsoft SharePoint Server 2010. In questo caso l’IRM crittografa i file scaricati e definisce limitazioni in relazione agli utenti e ai programmi autorizzati a decrittografare tali file, nonché ai diritti degli utenti autorizzati a leggere i file in modo che non possano eseguire azioni quali stamparne copie o copiarne il testo.

Nel caso in cui i dipendenti debbano inviare file di notevoli dimensioni all’esterno dell’azienda, per praticità, spesso optano per siti di file-sharing basati sul cloud. La protezione dei dati che transitano su circuiti esterni all’azienda e gestiti da provider di calibro internazionale su soluzioni di public cloud vanno comunque presidiati. Pertanto è essenziale condurre un esame approfondito della sicurezza del vostro provider affinché possa garantire una buona governance di sicurezza. Se internamente all’ azienda non esistono risorse per effettuare tali verifiche, i fornitori di servizi dovrebbero essere in grado di fornirvi i risultati di verifiche indipendenti e di penetration test. In ogni caso, per valutare il livello di sicurezza che un provider cloud mette a disposizione, le certificazioni e normative a cui questo risponde non bastano.

Un’azienda che non vuole grattacapi in futuro è sempre bene che convalidi le certificazioni che vengono offerte dal provider e ne controlli l’effettiva validità e valuti se queste corrispondono alle proprie esigenze di sicurezza. Per fare questo un’azienda dovrebbe affidarsi a un consulente di terze parti che possa svolgere in totale indipendenza questo controllo.