Data Security Posture Management (DSPM): mappare i dati sensibili prima che l’esposizione diventi un incidente

Data Security Posture Management (DSPM) nasce da una domanda che molte organizzazioni scoprono di non saper rispondere con precisione: dove si trovano, in questo momento, i dati sensibili che devono proteggere, chi può accedervi e quanto sono esposti. È una domanda apparentemente banale che diventa insidiosa non appena i dati smettono di vivere in pochi database controllati e si spargono tra cloud diversi, ambienti SaaS, copie di test e set di addestramento per modelli di AI. Il termine è stato introdotto da Gartner nel 2022 e indica una categoria di mercato prima ancora che una tecnologia definita da uno standard: va quindi letto per la funzione che descrive, non come un’etichetta di prodotto.

Il punto di vista è il tratto che distingue questa disciplina dagli strumenti di postura più noti. La sicurezza tradizionale osserva dispositivi, reti e configurazioni, poi prova a dedurre dove sia il rischio per i dati. Un approccio data-first rovescia la sequenza: parte dal dato, ne segue le copie e i movimenti, e solo dopo valuta la superficie che lo espone. Non sostituisce le difese perimetrali, ma colma un angolo cieco che quelle difese, da sole, non illuminano.

Dal perimetro al dato: perché cambia il punto di osservazione

La proliferazione del multicloud ha reso normale ciò che dieci anni fa era un’eccezione: lo stesso dato sensibile replicato in ambienti gestiti da team, policy e provider differenti. Un data lake alimentato per analisi, un bucket creato per un progetto pilota e mai dismesso, un database di collaudo popolato con dati di produzione reali. Ognuna di queste copie è un’esposizione potenziale, e nessuna compare nell’inventario ufficiale se qualcuno non va a cercarla.

Da qui l’idea centrale: non si può proteggere ciò che non si sa di avere. Prima della cifratura, della tokenizzazione o del mascheramento, che agiscono su dati già individuati, serve sapere quali dati esistono, di che natura sono e in quali condizioni si trovano. È lo scarto rispetto ai controlli che presidiano il singolo archivio noto, e la ragione per cui la mappatura viene prima della protezione.

Come funziona il Data Security Posture Management

Il Data Security Posture Management lavora in modo continuo e si articola, secondo le definizioni più diffuse, in quattro momenti concatenati. Il primo è la data discovery: una scansione ricorrente degli ambienti on-premise e cloud per localizzare gli archivi che contengono dati sensibili, compresi quelli non censiti. Il secondo è la classificazione, che ordina i dati per grado di sensibilità, modalità di conservazione, permessi di accesso e vincoli normativi, dal GDPR al PCI DSS fino alle regole di settore.

Segue la valutazione della postura e del rischio, dove emergono le configurazioni errate, i permessi eccessivi, i flussi di dati anomali e le potenziali violazioni di conformità. Non è solo un elenco: la fase include l’assegnazione di una priorità per gravità, che è ciò che distingue un inventario da uno strumento di lavoro. L’ultimo momento è la remediation: la correzione, dove possibile automatizzata, delle esposizioni individuate, insieme al monitoraggio che riporta il ciclo al punto di partenza.

Vale una nota sul come: questi strumenti sono tipicamente agentless, non richiedono cioè di installare software su ogni risorsa monitorata, ed è la ragione per cui promettono di coprire ambienti che nessun inventario manuale riuscirebbe a inseguire. La sequenza conta più delle singole fasi, perché trasforma un controllo occasionale in un presidio ricorrente sulla condizione reale dei dati.

Shadow data, il problema che questa disciplina rende visibile

Il concetto che meglio spiega il valore di questo approccio è quello di shadow data: copie di informazioni finite in archivi non sorvegliati dagli stessi team e dalle stesse policy che proteggono gli originali. Si generano nei modi più ordinari, spesso legittimi. Un flusso DevOps che duplica un ambiente, un progetto di machine learning che estrae un campione per l’addestramento, una migrazione tra cloud che lascia residui. Nessuna di queste operazioni è un attacco, eppure ciascuna può creare un archivio sensibile che nessuno sta guardando.

Gli shadow data sono difficili da governare proprio perché sfuggono all’inventario. Rendere visibile ciò che era invisibile è la funzione più concreta di questi strumenti, e la premessa di qualunque riduzione seria dell’esposizione. Senza quella visibilità, le metriche di rischio raccontano solo la parte di realtà che era già nota.

DSPM, CSPM e CNAPP: livelli complementari, non alternativi

Una fonte frequente di confusione è la sovrapposizione con le sigle vicine. Il CSPM presidia la configurazione dell’infrastruttura cloud nella logica del cloud posture management, il CNAPP consolida in un’unica piattaforma la protezione di infrastruttura e carichi di lavoro, mentre il DSPM opera un livello più in profondità, sul dato in sé. Sono strati diversi della stessa superficie: chi ha già impostato la logica di un CNAPP ottiene visibilità sull’infrastruttura, ma non necessariamente sul contenuto sensibile che quell’infrastruttura ospita. Che si tratti di una categoria di mercato affollata lo dice il censimento dei prodotti che si presentano sotto questa etichetta, oltre cinquanta, dai puri specialisti alle piattaforme di cloud security che vi hanno aggiunto un modulo.

Vale la pena distinguere anche rispetto a controlli spesso citati insieme. La tokenizzazione e il mascheramento proteggono dati già identificati, l’SSPM misura la postura delle applicazioni SaaS: nessuno dei due risponde alla domanda su dove si trovino i dati sensibili e quanto siano esposti. È lì che si colloca il perimetro proprio del Data Security Posture Management, che completa gli altri strumenti invece di rimpiazzarli.

Dal governo della postura al minimo privilegio sul dato

Sapere dove sono i dati serve a poco se non si traduce in decisioni sugli accessi. Uno degli esiti più utili di questi strumenti è la fotografia dei permessi effettivi: quanti account possono leggere un archivio sensibile, con il peso crescente delle identità non umane come service account, chiavi e token, e quanti di quei permessi sono in eccesso rispetto al bisogno reale. È il terreno su cui il governo della postura incontra il principio del minimo privilegio, cardine di ogni modello Zero Trust: ridurre l’overpermissioning sui dati abbassa l’impatto potenziale di una credenziale compromessa.

Su questo confine si colloca anche l’integrazione con altri controlli. L’incrocio con i sistemi di Data Loss Prevention arricchisce l’analisi dei flussi, mentre la convergenza verso approcci di Data Detection and Response punta a colmare la distanza tra la fotografia statica della postura e il rilevamento di ciò che accade ai dati in tempo reale. Sono direzioni di sviluppo del mercato, da osservare con la cautela dovuta a categorie ancora in assestamento, non come funzioni garantite di ogni soluzione.

Cosa aspettarsi, senza illusioni

Adottare un Data Security Posture Management non elimina il lavoro difficile della sicurezza del dato: lo rende affrontabile, perché lo àncora a un inventario reale invece che a un’ipotesi. Il ritorno più tangibile non è un cruscotto in più, ma la capacità di rispondere con dati alla mano a domande che prima ricevevano stime: quali informazioni sensibili sono esposte, dove, e con quale priorità intervenire.

Le indicazioni su diffusione e maturità del mercato restano stime di analisti, da trattare come tali; ciò che è verificabile è il vuoto che questa disciplina copre, cioè la distanza tra i dati che un’organizzazione crede di avere sotto controllo e quelli che ha davvero. Ridurre quella distanza è il primo passo concreto verso una postura del dato difendibile.