ITsMine Beyond DLP è una piattaforma di protezione dei dati progettata per aumentare la visibilità su come i file aziendali vengono usati, copiati e portati fuori dai repository originali. Il prodotto si differenzia da molte implementazioni DLP tradizionali perché utilizza un approccio agentless/API-based sui repository supportati e tecniche di deception basate su SoftwareMines, ovvero file-esca/sensori distribuiti vicino ai dati reali.

La pagina non vuole spiegare nuovamente che cos’è la DLP in senso generale: per classificazione, policy, dati in uso/in movimento/a riposo e strategia di implementazione, consulta la guida Nexsys DLP: cos’è la Data Loss Prevention e come implementarla. Qui il focus è esclusivamente su ITsMine e sui suoi casi d’uso.

Il problema: il dato continua a muoversi dopo l’accesso legittimo

Molti controlli di sicurezza funzionano bene finché il dato rimane nel repository: identity stabilisce chi può accedere, il file server applica ACL, il cloud storage registra attività. Il problema nasce quando un utente autorizzato scarica, copia o condivide un documento, quando un endpoint compromesso accede a molti file oppure quando un ransomware combina esfiltrazione e cifratura.

• Proprietà intellettuale scaricata prima delle dimissioni di un dipendente.
• Dati cliente copiati da un utente che possiede formalmente il permesso di lettura.
• File portati su endpoint o cloud non governati.
• Ransomware che enumera e accede in massa a file prima della cifratura.
• Fornitore o consulente che mantiene una copia dei documenti oltre il periodo previsto.
• Condivisione accidentale di informazioni riservate fuori dall’organizzazione.

SoftwareMines: deception applicata alla protezione dei dati

Il concetto più riconoscibile di ITsMine è SoftwareMines. Sono file-esca distribuiti nei repository in modo da essere difficili da distinguere da documenti reali. Un utente normale non ha motivo di aprirli; un processo di enumerazione massiva, un insider che esplora aree non pertinenti o un ransomware può invece interagirvi. L’attivazione produce un segnale ad alta rilevanza investigativa.

File-GPS e controllo del dato oltre il perimetro

ITsMine descrive anche capacità di tracking dei file - spesso indicate come File-GPS - per aumentare la visibilità su posizione e utilizzo dei documenti quando lasciano il repository. Il valore è soprattutto investigativo e di controllo: sapere che un file critico è stato portato fuori, dove viene aperto e quale evento ha preceduto l’esfiltrazione può ridurre il tempo necessario per capire l’estensione di un incidente.

Virtual Vault e Time-Bomb: revocare l’accesso a dati già usciti

La scheda ITsMine sul Microsoft Commercial Marketplace descrive Virtual Vault e Time-Bomb come tecnologie per proteggere asset anche dopo la fuoriuscita e, in specifici scenari, disabilitare da remoto l’accesso ai dati esfiltrati. Queste capacità devono essere validate nel progetto in base a formato, repository, modalità di distribuzione e licensing.

Agentless: cosa significa davvero

ITsMine viene proposto come Beyond DLP agentless, cioè senza la necessità di distribuire un agente DLP permanente su ogni endpoint per ottenere le capacità principali sui repository supportati. Questo può ridurre complessità e impatto sugli utenti, ma non significa “installazione zero”.

• Serve definire quali repository e aree devono essere protetti.
• Servono integrazioni e permessi coerenti con le API e le piattaforme coinvolte.
• Va definito chi riceve gli alert e come vengono gestiti.
• Va eseguito un pilot per misurare segnali, processi e comportamento utenti.
• Le azioni automatiche di risposta devono essere testate prima dell’uso in produzione.

Use case 1: ransomware con esfiltrazione prima della cifratura

Il ransomware moderno può combinare furto dei dati e cifratura. Un EDR può rilevare processi e comportamenti sull’endpoint; un backup permette il recovery; ITsMine aggiunge una prospettiva centrata sui file e sull’esfiltrazione. Le SoftwareMines possono contribuire a evidenziare accessi anomali ai repository e la piattaforma può fornire contesto su ciò che è stato preso.

Questa capacità non sostituisce la strategia di Ransomware Recovery né il backup: sono layer diversi.

Use case 2: insider threat e utenti ad alto rischio

Un insider threat non è necessariamente un dipendente malevolo. Può essere un utente negligente, un account compromesso o una terza parte che usa privilegi legittimi in modo anomalo. La scheda Microsoft Marketplace di ITsMine evidenzia l’analisi di utenti, endpoint, file, azioni e geolocalizzazioni per identificare comportamenti anomali e utenti ad alto rischio.

• Download massivi non coerenti con il ruolo.
• Accesso a repository normalmente non utilizzati.
• Esfiltrazione poco prima della cessazione del rapporto.
• Apertura di SoftwareMines o file-esca.
• Azioni in geolocalizzazioni o endpoint inattesi.
• Condivisione o copia di asset ad alto valore fuori dai processi previsti.

Use case 3: fornitori e terze parti

I progetti con consulenti, studi esterni e fornitori generano spesso copie di documenti che escono dal repository aziendale. Il controllo degli accessi stabilisce chi può scaricare; una piattaforma data-centric può aggiungere visibilità su ciò che accade dopo. È particolarmente utile per contratti, offerte, dati tecnici, file HR, informazioni finanziarie e proprietà intellettuale.

Use case 4: data breach detection e forensics

Quando un evento viene rilevato, il valore non è soltanto l’alert. Bisogna rispondere a domande operative: quale file è coinvolto? quale utente o endpoint? quando? da quale posizione? quali altri documenti sono stati toccati? L’obiettivo è ridurre l’incertezza iniziale e fornire evidenze utili a SOC, incident response e responsabili della protezione dei dati.

Integrazione con CrowdStrike Falcon

CrowdStrike Marketplace presenta un’integrazione in cui ITsMine può segnalare eventi a Falcon e contribuire all’isolamento automatico dell’endpoint quando una SoftwareMine indica un comportamento potenzialmente malevolo. Questo è un buon esempio di integrazione tra data-centric detection ed endpoint response: ITsMine genera il segnale sul dato, Falcon applica il containment sul device.

In ambienti non CrowdStrike il principio resta lo stesso: gli alert DLP/data security devono essere collegati a SOC e processi di response invece di rimanere in una console isolata.

ITsMine vs DLP tradizionale: non è una gara “vecchio contro nuovo”

Le piattaforme DLP classiche e Microsoft Purview possono applicare classificazione, policy sui contenuti, endpoint DLP, controllo della condivisione e integrazione con l’ecosistema informativo. ITsMine punta invece molto su comportamento, deception, tracking dei file e risposta data-centric. La scelta dipende dal problema.

ITsMine e Microsoft 365: dove ha senso

In un ambiente Microsoft 365, Purview deve restare il riferimento per sensitivity labels, DLP policy, governance dei dati e integrazione nativa con Exchange, SharePoint, OneDrive e Teams quando il licensing lo consente. ITsMine può essere valutato se il problema principale è estendere la visibilità data-centric oltre il modello di policy o coprire repository eterogenei e specifici scenari di exfiltration/insider threat.

Per valutare la postura Microsoft 365 complessiva, il riferimento Nexsys è il Microsoft 365 Security Assessment.

ITsMine, backup e Data Protection non sono la stessa cosa

Data Loss Prevention e backup risolvono problemi differenti. DLP/data security cerca di impedire o rilevare uso improprio ed esfiltrazione; backup e recovery consentono di ripristinare dati dopo cancellazioni, cifrature o guasti. Un’azienda che protegge bene i dati deve coprire entrambe le dimensioni.

Per la protezione e il recovery gestiti, Nexsys mantiene separato il servizio Data Protection as a Service.

GDPR e compliance: formulazione corretta

Nessun prodotto DLP rende automaticamente conforme al GDPR. ITsMine può contribuire a ridurre il rischio, aumentare la visibilità sugli accessi, rilevare una possibile violazione e fornire elementi utili all’investigazione. La conformità richiede anche governance, basi giuridiche, policy, ruoli, processi di data breach, retention, minimizzazione e formazione.

Come valutare ITsMine in un pilot Nexsys

1. Definire 1-3 repository e dataset realmente critici.
2. Identificare data owner e gruppi di utenti autorizzati.
3. Stabilire quali eventi devono generare alert e quali possono innescare response.
4. Configurare integrazioni e permessi API necessari.
5. Distribuire SoftwareMines e verificare che siano coerenti con il repository.
6. Eseguire test controllati: apertura anomala, copia, accesso da endpoint inatteso, esfiltrazione simulata.
7. Misurare qualità dell’evidenza, tempi di detection e falsi positivi.
8. Verificare integrazione con EDR/SIEM/SOC.
9. Definire use case e ROI prima dell’estensione ad altri repository.

Quando ITsMine è particolarmente interessante

• Aziende con proprietà intellettuale o documentazione tecnica di alto valore.
• Organizzazioni con file server/NAS/cloud storage eterogenei e molte copie dei dati.
• Imprese con elevato rischio insider o turnover di personale/consulenti.
• Realtà che vogliono rilevare la fase di esfiltrazione di un ransomware oltre alla sola cifratura.
• Clienti che hanno già EDR e backup ma poca visibilità sul comportamento dei file.
• Ambienti in cui l’impatto di agent endpoint DLP estesi è un problema operativo.

Quando partire invece da una DLP classica o Purview

• Se il requisito principale è classificare automaticamente dati personali o finanziari in Microsoft 365.
• Se devi applicare policy native su Exchange, Teams, SharePoint e OneDrive.
• Se vuoi controllare clipboard, stampa, USB e applicazioni su endpoint gestiti tramite Endpoint DLP.
• Se devi costruire prima un modello di sensitivity label e data governance.
• Se non hai ancora identificato quali dati e repository siano realmente critici.