gestione della crittografia nativa
La gestione della crittografia nativa significa controllare le funzionalità di crittografia già integrate nei sistemi operativi, nei dispositivi e nelle piattaforme. Per la maggior parte delle organizzazioni, ciò include Windows BitLocker, macOS FileVault, la crittografia basata su file di Android, la protezione dei dati di iOS, le chiavi di ripristino, i criteri dei dispositivi e la reportistica.
L'obiettivo è semplice: assicurarsi che i dati sensibili restino protetti se un laptop, telefono, tablet o unità rimovibile viene smarrito, rubato, riparato, dismesso o consultato senza autorizzazione.
La crittografia nativa è potente perché fa già parte della piattaforma. Tuttavia, necessita comunque di gestione. Senza criteri chiari, archiviazione delle chiavi di ripristino, controlli di conformità e indicazioni per gli utenti, la crittografia integrata può diventare incoerente o difficile da ripristinare quando qualcosa va storto.
Il compito di sicurezza che la crittografia nativa dovrebbe svolgere
La crittografia nativa protegge i dati inattivi. Ciò significa che i dati archiviati su un dispositivo restano illeggibili a meno che non siano disponibili l'autenticazione corretta, una chiave di ripristino o un metodo di sblocco.
NIST descrive la crittografia dell'archiviazione come un modo per limitare l'accesso alle informazioni memorizzate sui dispositivi degli utenti finali, quali laptop, dispositivi mobili e supporti rimovibili. Le sue linee guida sulla crittografia dell'archiviazione ↗ sono un solido punto di partenza per comprendere la crittografia dell'intero disco, dei volumi e a livello di file.
CISA fornisce indicazioni pratiche simili nella sua pagina sulla protezione dei dati archiviati sui dispositivi ↗, in particolare per dispositivi smarriti, unità rimovibili e pianificazione del ripristino.
In pratica, la crittografia nativa aiuta a gestire quattro rischi:
- Un laptop smarrito che espone file aziendali.
- Un telefono rubato che consente l'accesso ai dati di lavoro.
- Un'unità dismessa leggibile dopo lo smaltimento.
- Un utente che dimentica le credenziali e necessita di un ripristino sicuro.
La crittografia stessa è solo una parte. Il livello di gestione determina se la protezione è coerente.
Mappa dei controlli per la gestione della crittografia nativa
Il modo più semplice di concepire la gestione della crittografia nativa è come un insieme di controlli, non come un singolo interruttore.
| Area di controllo | A cosa dovrebbe rispondere la gestione della crittografia nativa | Perché è importante |
|---|---|---|
| Copertura | Quali dispositivi, unità e utenti devono essere crittografati? | Previene lacune tra laptop, telefoni e supporti rimovibili |
| Criterio | Quali impostazioni sono richieste per impostazione predefinita? | Mantiene la crittografia coerente in tutta l'organizzazione |
| Deposito delle chiavi | Dove sono archiviate le chiavi di ripristino? | Previene la perdita permanente dei dati durante il ripristino |
| Accesso | Chi può visualizzare o usare le chiavi di ripristino? | Riduce il rischio interno e del service desk |
| Monitoraggio | Come viene verificato lo stato della crittografia? | Individua tempestivamente i dispositivi non conformi |
| Ripristino | Cosa accade quando un utente viene bloccato fuori dal dispositivo? | Rende il supporto più rapido e sicuro |
| Ciclo di vita | Cosa accade durante la riparazione, la migrazione o lo smaltimento? | Protegge i dati durante le modifiche ai dispositivi |
Questa tabella rappresenta la differenza tra “la crittografia è disponibile” e “la crittografia è effettivamente gestita”.
Windows: gestire BitLocker e la crittografia del dispositivo
In Windows, la crittografia nativa di solito significa BitLocker o crittografia automatica del dispositivo.
La panoramica di BitLocker di Microsoft ↗ spiega che BitLocker protegge i volumi dall'accesso offline, soprattutto quando i dispositivi vengono smarriti, rubati o dismessi. Negli ambienti gestiti, l'aspetto importante non è solo attivare BitLocker. È assicurarsi che siano in atto il criterio corretto, il metodo di ripristino e il processo di reportistica.
Un criterio pratico di crittografia per Windows dovrebbe definire:
- quali unità devono essere crittografate;
- se la protezione solo TPM sia sufficiente;
- se i PIN siano richiesti per gli utenti a rischio più elevato;
- dove vengono salvate le copie di backup delle chiavi di ripristino;
- chi può recuperare le chiavi di ripristino;
- come vengono segnalate crittografia non riuscita o protezione sospesa.
La pianificazione del ripristino è importante. La panoramica sul ripristino di BitLocker di Microsoft ↗ spiega le diverse opzioni di ripristino, incluse password di ripristino, chiavi di ripristino, pacchetti di chiavi e agenti di ripristino dati. I team dovrebbero documentare quale opzione è consentita prima che si verifichi un blocco reale.
macOS e dispositivi Apple: gestire FileVault e la protezione dei dati
In macOS, la crittografia nativa è incentrata su FileVault. La guida Apple alla gestione di FileVault con la gestione dei dispositivi ↗ spiega come le organizzazioni possano applicare FileVault, controllare i rinvii degli utenti, gestire se le chiavi di ripristino vengono mostrate agli utenti e depositare le chiavi di ripristino personali tramite la gestione dei dispositivi.
Per iPhone, iPad e le piattaforme Apple più recenti, la crittografia è strettamente legata alla Protezione dei dati. La panoramica Apple su Crittografia e Protezione dei dati ↗ spiega come i dispositivi Apple proteggano i dati degli utenti e aziendali se un dispositivo viene smarrito, rubato o compromesso.
Per gli ambienti Apple, la gestione dovrebbe concentrarsi su:
- applicare FileVault durante la configurazione, ove opportuno;
- depositare le chiavi di ripristino nel sistema di gestione approvato;
- ruotare le chiavi di ripristino dopo l'uso;
- confermare quali utenti possono sbloccare i volumi crittografati;
- documentare cosa accade durante la migrazione o la riassegnazione del dispositivo.
Il rischio principale è presumere che “i dispositivi Apple sono crittografati” significhi che l'organizzazione abbia il ripristino e la reportistica sotto controllo. Sono questioni separate.
Android: gestire la crittografia tramite criteri del dispositivo
Anche i dispositivi Android includono la crittografia nativa. La crittografia basata su file di Android consente di crittografare file diversi con chiavi diverse e l'Android Open Source Project ne spiega il modello nella propria documentazione sulla crittografia basata su file ↗.
Per i dispositivi aziendali, la gestione della crittografia avviene solitamente tramite Android Enterprise. La guida di Google alla gestione Android ↗ spiega che le organizzazioni possono applicare criteri di sicurezza come il blocco schermo e la crittografia dell'archiviazione tramite una soluzione di gestione.
La gestione della crittografia Android dovrebbe definire:
- quali dispositivi sono consentiti per l'uso lavorativo;
- se il dispositivo è completamente gestito o BYOD con un profilo di lavoro;
- quale robustezza del blocco schermo è richiesta;
- come i dispositivi smarriti vengono bloccati o cancellati;
- come viene monitorato lo stato di conformità;
- se i dispositivi meno recenti soddisfano ancora i requisiti di sicurezza.
La crittografia Android è più efficace se abbinata all'iscrizione del dispositivo, a un criterio di blocco schermo, ai requisiti di aggiornamento e alla cancellazione remota.
La gestione delle chiavi è il vero problema di gestione
La crittografia dipende dalle chiavi. Sembra ovvio, ma molti programmi di crittografia falliscono perché la gestione delle chiavi è debole.
Le linee guida di NIST sulla gestione delle chiavi ↗ trattano pianificazione, protezione, ciclo di vita e governance del materiale crittografico delle chiavi. Per la crittografia nativa, la domanda pratica è di solito: dove sono archiviate le chiavi di ripristino e chi può usarle?
Un buon processo per le chiavi di ripristino dovrebbe rispondere a:
1. Dove viene depositata la chiave? 2. La chiave viene archiviata automaticamente o manualmente? 3. Chi può recuperarla? 4. Il recupero viene registrato? 5. La chiave viene ruotata dopo l'uso? 6. Cosa accade quando il dispositivo viene dismesso? 7. Cosa accade se il sistema di gestione cambia?
Non lasciare le chiavi di ripristino in screenshot, fogli di calcolo, unità condivise o note personali. L'accesso al ripristino deve essere controllato, registrato e limitato.
Una sequenza pratica di implementazione
La gestione della crittografia nativa è più semplice quando viene implementata in fasi.
Passaggio 1: inventariare i dispositivi
Elencare laptop, desktop, telefoni, tablet e unità rimovibili che possono archiviare dati aziendali.
Passaggio 2: definire la copertura richiesta
Decidere quali tipi di dispositivi devono utilizzare la crittografia nativa e quali eccezioni sono consentite.
Passaggio 3: scegliere i criteri della piattaforma
Impostare le regole per BitLocker, FileVault, Android e altre piattaforme prima della distribuzione su larga scala.
Passaggio 4: configurare il deposito delle chiavi di ripristino
Assicurarsi che le chiavi di ripristino siano archiviate nel sistema approvato prima che gli utenti dipendano da esse.
Passaggio 5: eseguire un pilota con un piccolo gruppo
Testare il ripristino, i conflitti tra criteri, la migrazione dei dispositivi e la comunicazione agli utenti.
Passaggio 6: applicare gradualmente
Passare dalla modalità di sola reportistica all'applicazione dopo aver risolto i problemi del pilota.
Passaggio 7: monitorare continuamente
Esaminare lo stato della crittografia, la protezione sospesa, il deposito non riuscito, i dispositivi non gestiti e gli eventi di ripristino.
Questa sequenza evita l'errore più comune: abilitare ampiamente la crittografia prima che il ripristino sia stato testato.
Cosa segnalare alla direzione
I responsabili della sicurezza non hanno bisogno di ogni impostazione tecnica. Hanno bisogno di una visione chiara della copertura, del rischio e della preparazione.
Un utile report sulla crittografia nativa dovrebbe mostrare:
- percentuale di dispositivi gestiti crittografati;
- numero di dispositivi privi di chiavi di ripristino;
- dispositivi con crittografia sospesa o non riuscita;
- utenti o team ad alto rischio non coperti;
- eventi di ripristino nel periodo di riferimento;
- dispositivi in attesa di dismissione o cancellazione;
- eccezioni ai criteri e relativi responsabili.
Se devi spiegare la copertura della crittografia a dirigenti o clienti, puoi trasformare il tuo criterio di crittografia nativa in una presentazione pronta per gli stakeholder con Pi ↗. Usalo per illustrare copertura, rischi, preparazione al ripristino e passaggi successivi senza trasformare le slide in un sovraccarico tecnico.
Quando la crittografia nativa non è sufficiente
La crittografia nativa protegge i dati archiviati, ma non risolve ogni problema di sicurezza.
Non sostituisce:
- gestione delle identità e degli accessi;
- rilevamento e risposta sugli endpoint;
- backup e ripristino di emergenza;
- gestione delle patch;
- prevenzione della perdita di dati;
- protezione dal phishing;
- controlli di accesso al cloud;
- smaltimento sicuro dei dispositivi.
Non protegge inoltre i dati dopo che un utente autorizzato ha sbloccato il dispositivo e ha effettuato normalmente l'accesso ai file. Una volta che il sistema è in esecuzione e l'utente è autenticato, sono comunque necessari altri controlli.
La crittografia nativa dovrebbe essere considerata un controllo di base, non l'intera strategia di sicurezza.
Il verdetto
La gestione della crittografia nativa consiste nel rendere affidabile la crittografia integrata. Attivare BitLocker, FileVault, la crittografia Android o Apple Data Protection è solo l'inizio.
Un programma maturo definisce la copertura, applica i criteri, deposita le chiavi di ripristino, limita l'accesso al ripristino, monitora la conformità e verifica cosa accade quando un dispositivo viene smarrito, bloccato, migrato o dismesso.
Il miglior programma di crittografia non è quello con la casella di controllo più robusta. È quello in cui protezione, ripristino e reportistica funzionano tutti quando l'organizzazione ne ha davvero bisogno.
Domande frequenti
Che cos'è la gestione della crittografia nativa?
La gestione della crittografia nativa è il processo di controllo delle funzionalità di crittografia integrate su dispositivi e piattaforme. Include l'applicazione dei criteri, il deposito delle chiavi di ripristino, il monitoraggio della conformità, i flussi di lavoro di ripristino e la gestione del ciclo di vita dei dispositivi crittografati.
La crittografia nativa è la stessa cosa della crittografia dell'intero disco?
Non sempre. Per crittografia nativa si intende la crittografia integrata nel sistema operativo o nella piattaforma. Può includere la crittografia dell'intero disco, dei volumi, basata su file o funzionalità di protezione dei dati, a seconda del dispositivo e del sistema operativo.
Perché è importante la gestione delle chiavi di ripristino?
La gestione delle chiavi di ripristino è importante perché i dati crittografati possono diventare inaccessibili se gli utenti dimenticano le password, le modifiche hardware attivano il ripristino o i dispositivi vengono migrati. Le chiavi di ripristino devono essere depositate in modo sicuro, l'accesso deve essere limitato e il recupero deve essere registrato.
Cosa dovrebbe monitorare un'organizzazione per la conformità della crittografia nativa?
Le organizzazioni dovrebbero monitorare lo stato della crittografia, lo stato del deposito delle chiavi di ripristino, la conformità ai criteri, la protezione sospesa, la crittografia non riuscita, la proprietà dei dispositivi, gli eventi di ripristino e le eccezioni. Queste metriche mostrano se la crittografia funziona effettivamente nell'intero ambiente.
