L'e-mail è un flusso di lavoro interdominio nel settore della difesa
Per le organizzazioni della difesa, la posta elettronica rappresenta un flusso di lavoro fondamentale per il coordinamento delle missioni, la collaborazione nella catena di approvvigionamento, lo scambio di informazioni con alleati e partner, nonché la circolazione di documenti operativi sensibili tra diversi ambiti di sicurezza.
Questa realtà cambia la domanda che i responsabili della sicurezza devono porsi. La domanda si estende da “Questa e-mail è dannosa?” a “Questo contenuto è autorizzato, correttamente classificato e sicuro da trasferire da un ambiente all’altro?”.
Ciò che è consentito fare è importante tanto quanto ciò che è dannoso
I controlli tradizionali sulla posta elettronica sono progettati per identificare indicatori noti di compromissione, mittenti sospetti e payload dannosi. Tali controlli sono estremamente importanti, ma negli ambienti di difesa rappresentano solo una parte del processo decisionale.
Un file può sembrare innocuo e tuttavia comportare dei rischi se l'indicazione di classificazione, i metadati incorporati, l'etichetta o i contenuti sensibili non corrispondono al dominio di destinazione. È proprio in questo contesto che la sicurezza della posta elettronica si intreccia con le politiche di rilascio, la prevenzione della perdita di dati, la sicurezza tra domini, la verificabilità e la garanzia della missione.
Gli allegati dannosi trasformano i flussi di lavoro affidabili in un rischio operativo
Gli autori degli attacchi sanno bene dove i flussi di lavoro affidabili creano punti deboli. Un messaggio proveniente da un fornitore noto, da un partner operativo o da un account interno può nascondere un mittente falsificato, un’identità compromessa, un allegato crittografato, una macro dannosa o un’esca per sottrarre credenziali, il tutto in forma sufficientemente ordinaria da diffondersi rapidamente all’interno dell’organizzazione.
Per i team di difesa, la preoccupazione concreta è se un allegato dall’aspetto affidabile possa far entrare informazioni sensibili in un flusso di lavoro non autorizzato prima che qualcuno abbia sufficienti elementi per bloccarlo. I contenuti in entrata devono essere ispezionati prima della consegna, mentre quelli in uscita richiedono una decisione di approvazione prima di lasciare il dominio. Una volta che i contenuti superano un confine, l’incidente passa dall’essere puramente tecnico a diventare operativo, probatorio e legato alle politiche aziendali.
IBM ha rilevato che l’individuazione e l’escalation, insieme alla perdita di affari, rappresentavano il 63% del costo medio di una violazione, che è salito del 12% rispetto all’anno scorso, raggiungendo la cifra record di 4,99 milioni di dollari. In un contesto di difesa, le domande più complesse sono spesso più specifiche: cosa è stato spostato? Dove è stato spostato? Quale politica di classificazione o di divulgazione lo ha consentito? La decisione è stata registrata? E l’organizzazione è in grado di spiegarla durante un audit, un’autorizzazione o una revisione post-incidente?
Leggi prima la classificazione, poi decidi cosa può essere spostato
Un approccio incentrato sulla prevenzione parte dal considerare ogni messaggio in uscita e ogni allegato come una decisione di autorizzazione alla diffusione, e ogni messaggio in entrata come una decisione di consegna. Qual è la classificazione? Il contenuto contiene informazioni riservate, dati soggetti a regolamentazione o informazioni soggette a restrizioni? L’allegato contiene contenuti attivi, codice dannoso o comportamenti nascosti? Deve essere bloccato, messo in quarantena, ripulito o autorizzato alla diffusione?
MetaDefender™ Email Gateway Security applica controlli a più livelli su contenuti e-mail, metadati e allegati, combinando funzionalità quali la classificazione di sicurezza, Proactive DLP™, Metascan™ Multiscanning, Adaptive Sandboxe la tecnologia Deep CDR™ per aiutare i team ad applicare le politiche prima che i contenuti raggiungano gli utenti o attraversino i domini.
Definire i controlli in base ai flussi di lavoro della missione
La sicurezza della posta elettronica nel settore della difesa dovrebbe supportare le modalità operative effettive delle squadre di missione. Ciò significa garantire uno scambio sicuro tra organizzazioni, fornitori e partner della coalizione, con l’applicazione delle politiche ai livelli di classificazione di sicurezza e l’utilizzo di soluzioni accreditate che operano su più domini. Significa disporre di controlli in grado di funzionare in ambienti on-premise, isolati o con air gap. Significa analizzare gli allegati crittografati e protetti da password prima della consegna nella casella di posta in arrivo. E significa ridurre la selezione manuale grazie a un sistema di rilascio basato su politiche, preservando al contempo le prove relative a ogni decisione.
Cinque domande che i responsabili della sicurezza della difesa dovrebbero porsi
- Il sistema di sicurezza delle e-mail è in grado di identificare le diciture "OFFICIAL", "SECRET" e "TOP SECRET" all'interno degli allegati?
- I contenuti delle e-mail, i metadati e gli allegati vengono controllati per verificare la presenza di informazioni riservate, dati soggetti a normative e violazioni delle politiche di divulgazione prima che lascino il dominio?
- È possibile ricostruire e sanificare gli allegati, in modo che i documenti relativi alla missione continuino a circolare con un rischio minore legato ai contenuti attivi?
- È possibile analizzare i file crittografati, protetti da password, di tipo “zero-day” ed evasivi prima che raggiungano le caselle di posta, senza fare affidamento su un unico motore di rilevamento?
- È possibile registrare ogni decisione relativa a blocchi, quarantena, sanificazione o sblocco ai fini di verifica, autorizzazione e garanzia?
Trasforma l'e-mail in un punto di scambio controllato
La sicurezza della posta elettronica in ambito difensivo non dovrebbe limitarsi al solo filtraggio dello spam o al rilevamento di malware. Dovrebbe funzionare come un punto di scambio controllato per le comunicazioni operative, la protezione dei dati, la sicurezza tra domini e la garanzia di sicurezza delle informazioni.
Quindi, il passo successivo consiste nel chiedersi se il livello di sicurezza della posta elettronica sia in grado di leggere il contenuto, comprendere il contesto normativo, neutralizzare il rischio ove possibile e fornire le prove necessarie a giustificare ogni decisione di autorizzazione all’invio.
