In che modo i responsabili della sicurezza possono proteggere i propri dati più sensibili?
La sicurezza dei dati e dell’IA consente alle organizzazioni di identificare, classificare e gestire l’accesso ai dati sensibili tra utenti, sistemi e soluzioni di intelligenza artificiale.
Punti di forza
I dati sono la linfa vitale delle aziende moderne, poiché aiutano a orientare le decisioni chiave e alimentano le iniziative di intelligenza artificiale. Dato il loro valore, è fondamentale conoscere e proteggere i propri dati.
- Il 90% delle organizzazioni ha esposto nel cloud dati sensibili che possono essere individuati dall’IA. Ciò rende la visibilità sulle risorse di dati il primo e più critico passo per ridurre il rischio aziendale.
- Il 40% dei file caricati o condivisi tramite strumenti di intelligenza artificiale generativa contiene informazioni di identificazione personale (PII) o dati relativi al settore delle carte di pagamento (PCI). Tale uso improprio dei dati sensibili comporta un rischio significativo per le organizzazioni in termini di violazioni della privacy e delle normative.
- L’individuazione e la classificazione dei dati costituiscono il fondamento di una sicurezza efficace, consentendo alle organizzazioni di identificare i dati sensibili in ambienti strutturati, semi-strutturati e non strutturati.
- Un accesso eccessivamente permissivo rappresenta uno dei rischi più persistenti per le aziende moderne. Poiché utenti, applicazioni e account di servizio spesso mantengono un accesso non necessario ai dati sensibili, la “superficie di attacco” risulta ampliata.
- Per proteggere l’intelligenza artificiale è necessario governare sia i dati di addestramento che le interazioni in fase di esecuzione. Le organizzazioni devono verificare che i dati sensibili non vengano esposti attraverso input, output o il comportamento dei modelli.
- La conformità normativa dipende da solide basi in materia di dati. Una solida classificazione e una governance degli accessi consentono alle organizzazioni di applicare le politiche e dimostrare il controllo.
I dati sensibili circolano ormai tra cloud, applicazioni e flussi di lavoro basati sull’intelligenza artificiale senza una chiara visibilità, creando rischi di esposizione che i controlli di sicurezza tradizionali non sono in grado di affrontare da soli. Commvault Data and AI Security aiuta le organizzazioni a individuare e classificare i dati sensibili, a gestire gli accessi sia per gli utenti umani che per quelli automatizzati e a garantire la conformità alle normative GDPR, HIPAA e PCI DSS durante l’intero ciclo di vita dei dati.
Perché la divulgazione dei dati sensibili rappresenta la principale falla nella sicurezza?
I dati sono il carburante inestimabile che alimenta le aziende moderne. Per questo motivo, le organizzazioni hanno deciso di investire massicciamente in strumenti di sicurezza sofisticati.
Tuttavia, secondo il rapporto “2025 State of Data Security” di Varonis, il 90% delle organizzazioni presenta ancora dati sensibili esposti nel cloud. Analogamente, l’88% delle organizzazioni ha utenti fantasma inattivi ma ancora abilitati.
Ma non è tutto. Secondo il rapporto IBM del 2025 sul costo delle violazioni dei dati, il 53% delle organizzazioni vittime di violazioni ha segnalato la compromissione delle informazioni personali identificative (PII) dei clienti. Queste statistiche dipingono un quadro chiaro: sebbene i dati siano fondamentali per le aziende, la visibilità e la sicurezza complessiva rimangono questioni critiche.
I dati non si limitano più ai database strutturati. Sono presenti in file, e-mail, piattaforme cloud, applicazioni SaaS ed endpoint. Gran parte di essi è non strutturata, duplicata o non gestita, il che ne rende difficile il monitoraggio e la protezione.
L’intelligenza artificiale sta amplificando questo problema. Circa il 40% dei file caricati sugli strumenti di IA generativa contiene informazioni sensibili, spesso prive di governance o supervisione. Con la crescente diffusione dell’IA, aumenta anche il numero di sistemi e identità che interagiscono con i dati.
Senza una visione chiara di quali dati esistono e dove si trovano, le organizzazioni non possono proteggerli in modo efficace. Questa mancanza di visibilità è alla base del problema della sicurezza dei dati al giorno d’oggi.
Quali sono i pilastri della sicurezza dei dati e dell’IA?
Per affrontare la sfida rappresentata dall’esposizione dei dati, le organizzazioni necessitano di un approccio strutturato che garantisca coerenza e controllo nella gestione dei dati. La sicurezza dei dati e dell’IA si fonda su tre pilastri fondamentali: individuazione dei dati, classificazione dei dati e governance dell’accesso ai dati e all’IA.
Ciascun pilastro colma una lacuna significativa:
- L’individuazione offre visibilità sulla posizione dei dati in tutti gli ambienti. Ciò include sistemi strutturati come i database, nonché fonti semi-strutturate e non strutturate che spesso vengono trascurate.
- La classificazione aggiunge contesto identificando il tipo e la sensibilità dei dati. Consente alle organizzazioni di distinguere tra dati operativi, informazioni personali sensibili, documenti finanziari, proprietà intellettuale e altre categorie ad alto rischio.
- La governance degli accessi consente alle organizzazioni di verificare che i dati vengano utilizzati in modo appropriato. Definisce chi o cosa può accedere ai dati, a quali condizioni e con quale livello di controllo.
Questi tre pilastri non esistono in modo indipendente. Essi creano un sistema interconnesso che copre interamente la sicurezza dei dati e dell’IA. L’individuazione identifica il panorama completo dei dati, la classificazione definisce il livello di sensibilità appropriato e la governance degli accessi applica il controllo in base a tale contesto.
Questo modello si estende anche oltre gli utenti umani per includere identità di macchina quali i modelli di IA. Negli ambienti moderni, queste identità non umane rappresentano spesso una parte significativa dell’attività di accesso ai dati. L’integrazione di questi pilastri può aiutare le organizzazioni a passare da controlli di sicurezza frammentati a un approccio unificato e basato su politiche.
In che modo le organizzazioni possono individuare e classificare i dati sensibili?
L’identificazione e la classificazione sono fondamentali per un modello di sicurezza dei dati efficace. Tuttavia, spesso sono le più difficili da implementare in modo efficace.
Ciò è dovuto al fatto che i moderni ambienti di dati sono altamente frammentati. Le informazioni sensibili sono distribuite su più piattaforme cloud, sistemi on-premise, applicazioni SaaS ed endpoint. Una parte significativa di questi dati è di natura non strutturata, il che ne complica l’identificazione e la categorizzazione.
Tra le sfide più rilevanti figurano:
- Dati “ombra” che esistono all’insaputa degli amministratori, senza approvazione né controllo di sicurezza.
- Formati non uniformi tra dati strutturati e non strutturati.
- Rapida crescita dei dati dovuta all’adozione dell’intelligenza artificiale, che supera la capacità di classificazione manuale.
Per far fronte a questa situazione, le organizzazioni necessitano di capacità di individuazione scalabili e di framework di classificazione. Una corretta classificazione può attribuire un significato alle vaste quantità di dati esistenti. Ciò include in genere categorie quali le informazioni di identificazione personale (PII), le informazioni sanitarie protette (PHI), i dati PCI, la proprietà intellettuale, nonché chiavi e segreti.
Il valore della classificazione deriva dal modo in cui viene utilizzata. Una volta classificati i dati, le organizzazioni possono applicare efficacemente le politiche di conservazione e cancellazione, limitare o monitorare l’accesso e abilitare la mascheratura o la redazione dei campi sensibili.
Su larga scala, un approccio maturo all’identificazione e alla classificazione non si limita a garantire la copertura, ma contribuisce anche a produrre risultati significativi. Tra questi figurano una minore esposizione al rischio, una migliore applicazione delle politiche e una riduzione misurabile del rischio.
Quali sono i principali rischi legati a un accesso troppo permissivo?
Secondo una ricerca condotta da ReliaQuest, il 99% delle identità cloud dispone di privilegi eccessivi. Analogamente, uno studio del 2025 del Ponemon Institute evidenzia che il 61% delle aziende statunitensi ha subito violazioni dei dati da parte di personale interno negli ultimi due anni, con un costo medio di tali incidenti pari a ben 2,7 milioni di dollari.
Ciò dimostra che, anche quando le organizzazioni hanno una chiara comprensione dei propri dati, l’accesso rimane uno dei punti più deboli della sicurezza.
Si parla di accesso eccessivamente permissivo quando utenti, applicazioni o account di servizio dispongono di un accesso ai dati superiore a quello necessario. Si tratta di un problema molto diffuso, poiché i controlli di accesso vengono spesso concessi in modo generico per motivi di praticità e raramente rivisti.
L’impatto è significativo. Un accesso eccessivo aumenta la probabilità di esposizione accidentale, di rischi interni e di sfruttamento in caso di violazione.
Per affrontare questo problema, le organizzazioni devono innanzitutto esaminare attentamente i modelli di accesso. Ciò include individuare chi accede ai dati sensibili, quali sistemi o identità sono coinvolti e se tale accesso è in linea con le esigenze aziendali.
Particolare attenzione deve essere riservata agli account privilegiati e alle identità di servizio. Questi dispongono spesso di autorizzazioni estese e possono accedere a grandi volumi di dati sensibili su diversi sistemi.
In questo contesto, una governance efficace degli accessi è fondamentale. Ciò richiede:
- Allineare le politiche di accesso alla classificazione dei dati.
- Monitorare continuamente i modelli di utilizzo.
- Identificare e correggere nel tempo le anomalie di accesso.
Riducendo gli accessi non necessari, le organizzazioni contribuiscono a limitare la propria superficie di attacco e a migliorare la protezione complessiva dei dati.
In che modo le organizzazioni dovrebbero gestire i dati utilizzati dai sistemi di intelligenza artificiale?
L’adozione dell’IA si sta rapidamente diffondendo in ogni aspetto delle aziende moderne. Ciò introduce un nuovo livello di complessità nelle modalità di accesso, elaborazione e divulgazione dei dati.
I set di dati di addestramento spesso includono grandi volumi di dati provenienti da tutta l’organizzazione. Senza un’adeguata classificazione e governance, questi set di dati potrebbero contenere informazioni sensibili o soggette a normative.
Ciò comporta rischi in diverse fasi:
- Durante la preparazione dei dati e l’addestramento.
- Quando i modelli interagiscono con i dati in tempo reale.
- Attraverso i risultati che potrebbero divulgare involontariamente informazioni sensibili.
Pertanto, la classificazione deve precedere l’addestramento del modello. Ciò significa convalidare e classificare tutti i dati utilizzati nei set di dati e rimuovere le informazioni sensibili quando necessario.
Allo stesso modo, dopo l’implementazione degli strumenti di IA, i team che si occupano dei dati devono valutare continuamente come i modelli utilizzano ed espongono i dati. Dovrebbero inoltre applicare meccanismi di controllo appropriati, come la mascheratura o la redazione, ove necessario.
I sistemi di IA non dovrebbero essere considerati separatamente dalla sicurezza dei dati. Essi rappresentano un’estensione delle modalità di utilizzo dei dati e devono essere gestiti di conseguenza. Integrando tali funzionalità di sicurezza dei dati e dell’IA nel più ampio ciclo di vita dello sviluppo dell’IA, le organizzazioni possono contribuire a ridurre i rischi pur continuando a favorire l’innovazione.
In che modo la classificazione dei dati favorisce la conformità normativa?
La conformità normativa dipende dalla capacità di identificare e controllare i dati sensibili. Normative quali il GDPR, l’HIPAA e il PCI DSS definiscono requisiti specifici su come i dati devono essere gestiti. Tuttavia, tali requisiti non possono essere applicati senza prima comprendere dove si trovano i dati soggetti a regolamentazione.
Ecco perché i programmi di conformità falliscono in assenza di una solida base di dati.
In questi casi, la classificazione dei dati funge da spina dorsale della conformità, mappando i dati alle categorie normative. Consente alle organizzazioni di applicare controlli mirati in base alla sensibilità dei dati e di far rispettare le politiche relative al ciclo di vita dei dati critici.
Ciò apre la strada a una miriade di funzionalità essenziali:
- Applicazione delle politiche di conservazione e cancellazione
- Limitazione dell’accesso ai dati soggetti a regolamentazione
- Implementazione di controlli fondamentali sulla privacy
Inoltre, semplifica i processi di audit. Le organizzazioni possono dimostrare dove si trovano i dati sensibili, come sono protetti e chi vi ha accesso. La governance degli accessi rafforza ulteriormente la conformità garantendo che solo le identità autorizzate possano interagire con i dati regolamentati.
Insieme, la classificazione dei dati e i controlli di accesso ridefiniscono la conformità nell’era moderna, basata sull’intelligenza artificiale.
Conclusione: cosa richiede oggi un’efficace sicurezza dei dati e dell’IA?
La sicurezza moderna dei dati e dell’IA non è più definita da difese perimetrali o controlli isolati. Richiede un approccio continuo e unificato che colleghi visibilità, classificazione e governance degli accessi lungo l’intero ciclo di vita dei dati.
Per dare vita a un approccio di questo tipo, le organizzazioni devono innanzitutto comprendere i propri dati, individuando con esattezza dove risiedono. Successivamente, devono controllare le modalità di accesso agli stessi. Infine, le organizzazioni devono assicurarsi che i sistemi di IA li utilizzino in modo responsabile. Queste funzionalità devono operare in sinergia, non in modo indipendente, per contribuire a ridurre l’esposizione e mantenere la fiducia.
Con l’aumento dei volumi di dati e l’accelerazione dell’adozione dell’IA, la sfida non consisterà più solo nel proteggere i dati, ma nel dimostrare dove si trovano i dati sensibili, chi può accedervi e come vengono protetti in tutti i sistemi. Chi adotterà un approccio strutturato e basato su politiche sarà in una posizione migliore per ridurre i rischi, soddisfare i requisiti normativi e promuovere l’innovazione con fiducia.
Domande frequenti
Che cos’è la sicurezza dei dati e dell’IA?
La sicurezza dei dati e dell’IA consiste nell’identificare, classificare e gestire l’accesso ai dati sensibili tra sistemi, utenti e modelli di IA. Commvault Data and AI Security offre queste funzionalità in ambienti ibridi, consentendo alle organizzazioni di garantire che i dati rimangano visibili, controllati e protetti durante tutto il loro ciclo di vita, compreso il modo in cui vengono utilizzati nell’addestramento e nei risultati dell’IA.
Perché l’esposizione dei dati sensibili rappresenta un rischio significativo?
L’esposizione dei dati sensibili rappresenta un rischio significativo perché spesso le organizzazioni non hanno visibilità su dove risiedono i dati e su chi può accedervi, aumentando così la probabilità di violazioni, uso improprio e infrazioni normative. Commvault contribuisce a mitigare questo rischio attraverso un approccio unificato che combina l’individuazione dei dati, la classificazione e la governance degli accessi in ambienti ibridi.
Quali sono i pilastri fondamentali della sicurezza dei dati?
I tre pilastri fondamentali della sicurezza dei dati sono l’individuazione, la classificazione e la governance degli accessi. Commvault offre tutti e tre: l’individuazione dei dati identifica dove si trovano i dati sensibili in tutti gli ambienti, la classificazione dei dati ne definisce la sensibilità e il tipo, mentre la governance degli accessi ai dati e all’IA applica un controllo degli accessi in linea con le politiche aziendali e normative.
Perché un accesso troppo permissivo è pericoloso?
Un accesso troppo permissivo consente a utenti, applicazioni e account di servizio di accedere a più dati del necessario, aumentando il rischio di esposizione accidentale, minacce interne e abuso. La governance degli accessi ai dati e all’IA di Commvault affronta questo problema monitorando continuamente i modelli di accesso, allineando le autorizzazioni alla classificazione dei dati e identificando e correggendo le deviazioni di accesso negli ambienti ibridi.
In che modo le organizzazioni dovrebbero contribuire a proteggere i dati utilizzati dall’IA?
Le organizzazioni possono proteggere i dati dell’IA classificando i set di dati prima dell’addestramento e monitorando continuamente il modo in cui i modelli accedono ai dati e li espongono. Commvault Data and AI Security supporta questo processo attraverso controlli di individuazione, classificazione e governance, tra cui mascheramento, oscuramento e restrizioni di accesso, contribuendo a garantire che i dati sensibili non vengano esposti attraverso l’addestramento dell’IA, il comportamento dei modelli o i risultati.
In che modo la classificazione dei dati contribuisce alla conformità?
La classificazione dei dati favorisce la conformità identificando i dati soggetti a regolamentazione, come le informazioni di identificazione personale (PII), e associandoli ai controlli appropriati. Commvault Data Classification aiuta le organizzazioni ad applicare politiche di conservazione e cancellazione in linea con il GDPR, l’HIPAA e il PCI DSS, fornendo inoltre le prove pronte per l’audit necessarie a dimostrare come i dati sensibili vengono identificati, protetti e gestiti.
Esplora le risorse correlate
Scopri la governance dell’accesso ai dati in azione
Quali sono i principali rischi legati alla sicurezza dei dati e dell’IA?
