In che modo i responsabili della sicurezza possono proteggere i propri dati più sensibili?
La sicurezza dei dati e dell’IA consente alle organizzazioni di individuare, classificare e gestire l’accesso ai dati sensibili tra utenti, sistemi e soluzioni di intelligenza artificiale.
Punti di forza
I dati sono la linfa vitale delle aziende moderne: contribuiscono a orientare le decisioni chiave e alimentano le iniziative di intelligenza artificiale. Data la loro importanza, è fondamentale conoscere e proteggere i propri dati.
- Il 90% delle organizzazioni affrontiamoha messo in luce dati sensibili archiviati nel cloud che possono essere individuati dall’intelligenza artificiale. Ciò rende la visibilità sulle risorse di dati il primo e più importante passo per ridurre il rischio aziendale.
- il 40% dei file caricatoin collaborazione con strumenti di IA generativacontieneInformazioni di identificazione personale (PII) o dati relativi al settore delle carte di pagamento (PCI). Tale uso improprio dei dati sensibili comporta rischi significativi per le organizzazioni in termini di violazioni della privacy e della normativa.
- L’individuazione e la classificazione dei dati costituiscono il fondamento di una sicurezza efficace, consentendo alle organizzazioni di identificare i dati sensibili in ambienti strutturati, semistrutturati e non strutturati.
- L’accesso eccessivamente permissivo rappresenta uno dei rischi più persistenti legati ai dati per le aziende moderne. Poiché gli utenti, le applicazioni e gli account di servizio mantengono spesso un accesso non necessario ai dati sensibili, la “superficie di attacco” risulta ampliata.
- Per contribuire a proteggere l’IA è necessario regolamentare sia i dati di addestramento che le interazioni in fase di esecuzione. Le organizzazioni devono verificare che i dati sensibili non vengano esposti attraverso gli input, gli output o il comportamento dei modelli.
- La conformità normativa dipende da solide basi di dati. Una solida governance della classificazione e degli accessi consente alle organizzazioni di applicare le politiche e dimostrare il controllo.
I dati sensibili circolano ormai tra cloud, applicazioni e flussi di lavoro basati sull’intelligenza artificiale senza una chiara visibilità, creando rischi di esposizione che i controlli di sicurezza tradizionali non sono in grado di affrontare da soli. Commvault Data and AI Security aiuta le organizzazioni a individuare e classificare i dati sensibili, a gestire gli accessi sia per le identità umane che per quelle delle macchine e a garantire la conformità alle normative GDPR, HIPAA e PCI DSS durante l’intero ciclo di vita dei dati.
Perché la divulgazione dei dati sensibili rappresenta la principale falla nella sicurezza?
I dati sono il carburante inestimabile che alimenta le aziende moderne. Per questo motivo, le organizzazioni hanno deciso di dare priorità a ingenti investimenti in strumenti di sicurezza all’avanguardia.
Tuttavia, secondo Varonis…Rapporto 2025 sullo stato della sicurezza dei dati, il 90% delle organizzazioni presenta ancora dati sensibili esposti nel cloud. Analogamente, l’88% delle organizzazioni ha utenti fantasma inattivi ma ancora abilitati.
Maquesto èNon tutti.Secondo IBM… Rapporto sul costo delle violazioni dei dati 2025, Il 53% delle organizzazioni vittime di violazioni ha segnalato la compromissione dei dati dei clientiPII. QuestiLe statistiche offrono un quadro chiaro della situazione: sebbene i dati siano fondamentali per le aziende, la visibilità e la sicurezza complessiva rimangono questioni cruciali.
I dati non sono più limitati ai database strutturati. Sono presenti in file, e-mail, piattaforme cloud, applicazioni SaaS e endpoint. Gran parte di essi è non strutturata, duplicata o non gestita, il che ne rende difficile il monitoraggio e la protezione.
L’intelligenza artificiale sta aggravando questo problema. CircaIl 40% dei file caricati sugli strumenti di IA generativa contiene informazioni sensibili, spesso in assenza di governance o supervisione. Con la crescente diffusione dell’intelligenza artificiale, aumenta anche il numero di sistemi e identità che interagiscono con i dati.
Senza una visione chiara di quali dati esistano e dove siano archiviati, le organizzazioni non possono proteggerli in modo efficace. Questa mancanza di visibilità è alla base del problema della sicurezza dei dati al giorno d’oggi.
Quali sono i pilastri della sicurezza dei dati e dell’IA?
Per affrontare la sfida rappresentata dall’esposizione dei dati, le organizzazioni necessitano di un approccio strutturato che garantisca coerenza e controllo nella gestione dei dati. La sicurezza dei dati e dell’IA si fonda su tre pilastri fondamentali:individuazione dei dati,classificazione dei datiegovernance dell’accesso ai dati e all’IA.
Ciascun pilastro colma una lacuna significativa:
- Discovery offre una visione d’insieme della posizione dei dati in tutti gli ambienti. Ciò include sistemi strutturati, come i database, nonché fonti semistrutturate e non strutturate che spesso vengono trascurate.
- La classificazione fornisce un contesto identificando il tipo e il livello di sensibilità dei dati. Consente alle organizzazioni di distinguere tra dati operativi, informazioni personali sensibili, documenti finanziari, proprietà intellettuale e altre categorie ad alto rischio.
- La governance degli accessi consente alle organizzazioni di verificare che i dati vengano utilizzati in modo appropriato. Definisce chi o cosa può accedere ai dati, a quali condizioni e con quale livello di controllo.
Questi tre pilastri non esistono in modo indipendente. Essi creano un sistema interconnesso che copre interamente la sicurezza dei dati e dell’IA. L’individuazione identifica il panorama completo dei dati, la classificazione definisce il livello di sensibilità appropriato e la governance degli accessi applica il controllo in base a tale contesto.
Questo modello si estende anche oltre gli utenti umani per includere identità machine quali i modelli di IA. Negli ambienti moderni, queste identità non umane rappresentano spesso una parte significativa dell’attività di accesso ai dati. L’integrazione di questi pilastri può aiutare le organizzazioni a passare da controlli di sicurezza frammentati a un approccio unificato e basato su politiche.
In che modo le organizzazioni possono individuare e classificare i dati sensibili?
L’individuazione e la classificazione sono fondamentali per un modello di sicurezza dei dati efficace. Tuttavia, spesso sono le più difficili da implementare in modo efficace.
Ciò è dovuto al fatto che i moderni ambienti di dati sono altamente frammentati. Le informazioni sensibili sono distribuite su più piattaforme cloud, sistemi on-premise, applicazioni SaaS ed endpoint. Una parte significativa di questi dati è di natura non strutturata, il che ne complica l’identificazione e la categorizzazione.
Tra le sfide più rilevanti figurano:
- Dati “ombra” che esistono all’insaputa degli amministratori, senza approvazione né controllo di sicurezza.
- Formati non uniformi tra dati strutturati e non strutturati.
- Rapida crescita dei dati dovuta all’adozione dell’intelligenza artificiale, che supera la capacità di classificazione manuale.
Per far fronte a questa situazione, le organizzazioni necessitano di capacità di individuazione scalabili e di framework di classificazione. Una corretta classificazione può attribuire un significato alle vaste quantità di dati esistenti. Ciò include in genere categorie quali le informazioni di identificazione personale (PII), le informazioni sanitarie protette (PHI), i dati PCI, la proprietà intellettuale, nonché chiavi e segreti.
Il valore della classificazione deriva dal modo in cui viene utilizzata. Una volta classificati i dati, le organizzazioni possono applicare efficacemente le politiche di conservazione e cancellazione, limitare o monitorare l’accesso e abilitare il mascheramento o la redazione dei campi sensibili.
Su larga scala, un approccio maturo all’individuazione e alla classificazione non si limita a garantire la copertura, ma contribuisce anche a produrre risultati significativi. Tra questi figurano una minore esposizione al rischio, una migliore applicazione delle politiche e una riduzione misurabile del rischio.
Quali sono i principali rischi legati a un accesso troppo permissivo?
Secondo una ricerca condotta daReliaQuest, il 99% delle identità cloud dispone di privilegi eccessivi. Analogamente, unostudio del 2025 del Ponemon Instituteevidenzia che il 61% delle aziende statunitensi ha subito violazioni dei dati da parte di personale interno negli ultimi due anni, con un costo medio di tali incidenti pari a ben 2,7 milioni di dollari.
Ciò dimostra che, anche quando le organizzazioni hanno una chiara comprensione dei propri dati, l’accesso rimane uno dei punti più deboli della sicurezza.
Si parla di accesso eccessivamente permissivo quando utenti, applicazioni o account di servizio dispongono di un accesso ai dati superiore a quello necessario. Si tratta di un problema molto diffuso, poiché i controlli di accesso vengono spesso concessi in modo generico per motivi di praticità e raramente rivisti.
L’impatto è significativo. Un accesso eccessivo aumenta la probabilità di esposizione accidentale, di rischi interni e di sfruttamento in caso di violazione.
Per affrontare questo problema, le organizzazioni devono innanzitutto esaminare attentamente i modelli di accesso. Ciò include individuare chi accede ai dati sensibili, quali sistemi o identità sono coinvolti e se tale accesso è in linea con le esigenze aziendali.
Particolare attenzione deve essere riservata agli account privilegiati e alle identità di servizio. Questi dispongono spesso di autorizzazioni estese e possono accedere a grandi volumi di dati sensibili su diversi sistemi.
In questo contesto, una governance efficace degli accessi è fondamentale. Ciò richiede:
- Allineare le politiche di accesso alla classificazione dei dati.
- Monitorare continuamente i modelli di utilizzo.
- Identificare e correggere le deviazioni di accesso nel tempo.
Riducendo gli accessi non necessari, le organizzazioni contribuiscono a limitare la propria superficie di attacco e a migliorare la protezione complessiva dei dati.
In che modo le organizzazioni dovrebbero gestire i dati utilizzati dai sistemi di intelligenza artificiale?
L’adozione dell’IA si sta rapidamente diffondendo in ogni aspetto delle aziende moderne. Ciò introduce un nuovo livello di complessità nelle modalità di accesso, elaborazione e divulgazione dei dati.
I set di dati di addestramento spesso includono grandi volumi di dati provenienti da tutta l’organizzazione. Senza un’adeguata classificazione e governance, questi set di dati potrebbero contenere informazioni sensibili o soggette a normative.
Ciò comporta rischi in diverse fasi:
- Durante la preparazione dei dati e l’addestramento.
- Quando i modelli interagiscono con i dati in tempo reale.
- Attraverso i risultati che potrebbero divulgare involontariamente informazioni sensibili.
Pertanto, la classificazione deve precedere l’addestramento del modello. Ciò significa convalidare e classificare tutti i dati utilizzati nei set di dati e rimuovere le informazioni sensibili quando necessario.
Allo stesso modo, dopo l’implementazione degli strumenti di IA, i team che si occupano dei dati devono valutare continuamente come i modelli utilizzano ed espongono i dati. Dovrebbero inoltre applicare meccanismi di controllo appropriati, come il mascheramento o la redazione, ove necessario.
I sistemi di IA non dovrebbero essere considerati separatamente dalla sicurezza dei dati. Essi rappresentano un’estensione delle modalità di utilizzo dei dati e devono essere gestiti di conseguenza. Integrando tali funzionalità di sicurezza dei dati e dell’IA nel più ampio ciclo di vita dello sviluppo dell’IA, le organizzazioni possono contribuire a ridurre i rischi pur continuando a favorire l’innovazione.
In che modo la classificazione dei dati favorisce la conformità normativa?
La conformità normativa dipende dalla capacità di identificare e controllare i dati sensibili. Normative quali il GDPR, l’HIPAA e il PCI DSS definiscono requisiti specifici su come i dati devono essere gestiti. Tuttavia, tali requisiti non possono essere applicati senza prima comprendere dove si trovano i dati soggetti a regolamentazione.
Ecco perché i programmi di conformità falliscono in assenza di una solida base di dati.
In questi casi, la classificazione dei dati funge da spina dorsale della conformità, mappando i dati alle categorie normative. Consente alle organizzazioni di applicare controlli mirati in base alla sensibilità dei dati e di far rispettare le politiche relative al ciclo di vita dei dati critici.
Ciò apre la strada a una miriade di funzionalità essenziali:
- Applicazione delle politiche di conservazione e cancellazione
- Limitazione dell’accesso ai dati soggetti a regolamentazione
- Implementazione di controlli fondamentali sulla privacy
Inoltre, semplifica i processi di audit. Le organizzazioni possono dimostrare dove risiedono i dati sensibili, come sono protetti e chi vi ha accesso. La governance degli accessi rafforza ulteriormente la conformità garantendo che solo le identità autorizzate possano interagire con i dati regolamentati.
Insieme, la classificazione dei dati e i controlli di accesso ridefiniscono la conformità nell’era moderna, basata sull’intelligenza artificiale.
Conclusione: cosa richiede oggi una sicurezza efficace dei dati e dell’IA?
La sicurezza moderna dei dati e dell’IA non è più definita da difese perimetrali o controlli isolati. Richiede un approccio continuo e unificato che colleghi visibilità, classificazione e governance degli accessi lungo l’intero ciclo di vita dei dati.
Per dare vita a un approccio di questo tipo, le organizzazioni devono innanzitutto comprendere i propri dati, individuando con esattezza dove risiedono. Successivamente, devono controllare le modalità di accesso agli stessi. Infine, le organizzazioni devono assicurarsi che i sistemi di IA li utilizzino in modo responsabile. Queste funzionalità devono operare in sinergia, non in modo indipendente, per contribuire a ridurre l’esposizione e mantenere la fiducia.
Con l’aumento dei volumi di dati e l’accelerazione dell’adozione dell’IA, la sfida non consisterà più solo nel proteggere i dati, ma nel dimostrare dove si trovano i dati sensibili, chi può accedervi e come vengono protetti in tutti i sistemi. Chi adotterà un approccio strutturato e basato su politiche sarà in una posizione migliore per ridurre i rischi, soddisfare i requisiti normativi e promuovere l’innovazione con fiducia.
Domande frequenti
Che cos’è la sicurezza dei dati e dell’IA?
La sicurezza dei dati e dell’IA consiste nell’identificare, classificare e gestire l’accesso ai dati sensibili a livello di sistemi, utenti e modelli di IA. La soluzione Commvault Data and AI Security offre queste funzionalità in ambienti ibridi, consentendo alle organizzazioni di garantire che i dati rimangano visibili, controllati e protetti durante l’intero ciclo di vita, compreso il modo in cui vengono utilizzati nell’addestramento e nei risultati dell’IA.
Perché la divulgazione dei dati sensibili rappresenta un rischio significativo?
L’esposizione dei dati sensibili rappresenta un rischio significativo, poiché spesso le organizzazioni non dispongono di una visione chiara della posizione dei dati e di chi possa accedervi, aumentando così la probabilità di violazioni, uso improprio e infrazioni normative. Commvault contribuisce a mitigare questo rischio attraverso un approccio unificato che combina l’individuazione dei dati, la classificazione e la governance degli accessi in ambienti ibridi.
Quali sono i pilastri fondamentali della sicurezza dei dati?
I tre pilastri fondamentali della sicurezza dei dati sono l’individuazione, la classificazione e la governance degli accessi. Commvault offre tutte e tre queste funzionalità: Data Discovery individua dove si trovano i dati sensibili in tutti gli ambienti, Data Classification ne definisce la sensibilità e il tipo, mentre Data & AI Access Governance garantisce il controllo degli accessi in linea con le politiche aziendali e le normative.
Perché un accesso troppo permissivo è pericoloso?
Un accesso eccessivamente permissivo consente a utenti, applicazioni e account di servizio di accedere a una quantità di dati superiore al necessario, aumentando il rischio di esposizione accidentale, minacce interne e abuso. La soluzione Commvault Data & AI Access Governance affronta questo problema monitorando costantemente i modelli di accesso, allineando le autorizzazioni alla classificazione dei dati e identificando e correggendo le discrepanze nell’accesso negli ambienti ibridi.
In che modo le organizzazioni dovrebbero contribuire alla protezione dei dati utilizzati dall’IA?
Le organizzazioni possono proteggere i dati relativi all’IA classificando i set di dati prima dell’addestramento e monitorando costantemente il modo in cui i modelli accedono ai dati e li rendono accessibili. Commvault Data and AI Security supporta questo processo attraverso controlli di individuazione, classificazione e governance, tra cui mascheramento, oscuramento e restrizioni di accesso, contribuendo a garantire che i dati sensibili non vengano resi accessibili attraverso l’addestramento dell’IA, il comportamento dei modelli o i risultati prodotti.
In che modo la classificazione dei dati contribuisce alla conformità?
La classificazione dei dati favorisce la conformità, identificando i dati soggetti a regolamentazione, come le informazioni di identificazione personale (PII), e associandoli ai controlli appropriati. La classificazione dei dati di Commvault aiuta le organizzazioni ad applicare politiche di conservazione e cancellazione conformi al GDPR, all’HIPAA e allo standard PCI DSS, fornendo inoltre la documentazione pronta per gli audit necessaria a dimostrare in che modo i dati sensibili vengono identificati, protetti e gestiti.
Esplora le risorse correlate
Scopri la governance dell’accesso ai dati in azione
Quali sono i rischi principali legati alla sicurezza dei dati e dell’IA?
