La proprietà intellettuale rappresenta uno degli asset strategici più importanti di un’organizzazione. Essa comprende l’insieme delle creazioni dell’ingegno, delle conoscenze, delle informazioni e delle soluzioni innovative che generano valore per l’impresa e che possono essere tutelate attraverso specifici diritti di proprietà o, in alcuni casi, attraverso la riservatezza.
Brevetti, codice sorgente, formule, progetti industriali, segreti commerciali, liste clienti e strategie sono esempi concreti di questo patrimonio. La loro perdita, divulgazione o sottrazione può compromettere il vantaggio competitivo, favorire la concorrenza, generare contenziosi e sanzioni e produrre significativi danni economici e reputazionali.
Pertanto, è quanto mai importante tutelare la Proprietà Intellettuale su più livelli: non solo attraverso gli strumenti giuridici, ma anche mediante adeguate misure di cybersecurity e sicurezza delle informazioni. Ciò significa garantirne disponibilità, integrità e, soprattutto, riservatezza attraverso controlli degli accessi, cifratura, monitoraggio e prevenzione dell’esfiltrazione dei dati.
Indice degli argomenti
Come proteggere la proprietà intellettuale dai rischi cibernetici
Attacchi mirati, errori umani, configurazioni errate e comportamenti intenzionalmente scorretti da parte di dipendenti, collaboratori o fornitori possono compromettere anche le informazioni più sensibili e strategiche dell’organizzazione.
Una strategia efficace di protezione deve, quindi, partire dalla mappatura delle possibili minacce e delle modalità con cui le informazioni possono essere esposte, sottratte o esfiltrate.
Di fatto, identificare preventivamente soggetti, vulnerabilità, canali di accesso e modalità di attacco, comprese quelle riconducibili all’Insider Threat, permette di definire controlli proporzionati al rischio e di intervenire prima che l’informazione venga compromessa.
Quali sono le principali tecniche di esfiltrazione dati usate dagli attaccanti
L’esfiltrazione dei dati è il trasferimento non autorizzato di informazioni dall’infrastruttura aziendale verso l’esterno. Il punto di partenza è spesso il phishing, insieme alle altre forme di social engineering: e-mail o messaggi ingannevoli spingono la vittima a consegnare le credenziali o ad aprire un allegato malevolo. Da lì l’attaccante può installare un RAT (Remote Access Trojan), un software che permette di controllare a distanza un dispositivo e di copiarne i file senza dare nell’occhio.
Esistono, inoltre, modalità di esfiltrazione dei dati meno evidenti, che possono sfruttare canali apparentemente legittimi. Tra queste rientra il DNS tunneling, una tecnica che utilizza il DNS (Domain Name System) – i.e. il sistema che traduce i nomi di dominio in indirizzi IP – per veicolare informazioni all’interno di richieste DNS apparentemente ordinarie.
Altri vettori di esfiltrazione includono il caricamento dei dati su servizi cloud personali o non autorizzati, la copia di informazioni su chiavette USB o dischi esterni e l’inoltro di documenti verso indirizzi e-mail privati o attraverso applicazioni di messaggistica.
Nei casi più sofisticati possono essere coinvolte le APT (Advanced Persistent Threat), minacce avanzate e persistenti che possono mantenere una presenza nella rete per periodi prolungati, muovendosi tra sistemi e sottraendo progressivamente informazioni per ridurre la probabilità di essere rilevate.
Quali sono le principali tecniche di esfiltrazione dati usate dagli attaccanti
Non si può proteggere ciò che non si conosce. Le informazioni critiche sono quelle la cui compromissione avrebbe l’impatto più grave sul business, e individuarle richiede un percorso ordinato. Si comincia con il censimento degli asset informativi, come database, repository di codice, documenti di progettazione e archivi contrattuali, per poi classificare i dati in base al livello di riservatezza: pubblico, interno, riservato o strettamente confidenziale.
A ogni patrimonio informativo va poi assegnato un responsabile (il data owner), mentre i flussi vanno ricostruiti con precisione: dove risiedono i dati, chi vi accede, verso quali sistemi e partner viaggiano. Infine, si valuta l’impatto di una possibile perdita sul piano economico, operativo e legale.
Il risultato è una mappa che orienta priorità e investimenti. L’implementazione di controlli anti-esfiltrazione e il tracciamento degli accessi sui dati critici rientrano nella complessiva tutela asset aziendali, proteggendo il patrimonio informativo da exfiltration involontaria o fraudolenta.
Come identificare e mappare le informazioni critiche aziendali (Crown Jewels)
Non si può proteggere ciò che non si conosce. Pertanto, la protezione delle informazioni strategiche parte dall’identificazione delle Crown Jewels, ovvero degli asset informativi la cui compromissione, perdita o sottrazione potrebbe generare il maggiore impatto sul business.
Il primo passo consiste nel censire e mappare gli asset informativi critici, tra cui: database, repository di codice sorgente, documentazione tecnica e progettuale, formule, brevetti, contratti, informazioni sui clienti e strategie commerciali. Gli asset vengono, quindi, classificati in base al livello di riservatezza, ad esempio come pubblici, interni, riservati o strettamente confidenziali, secondo la tassonomia adottata dall’organizzazione.
A ogni patrimonio informativo deve inoltre essere associato un responsabile, i.e. il Data Owner, con responsabilità definite sulla gestione e sulla protezione del dato. È quindi necessario ricostruire i flussi informativi, individuando dove risiedono i dati, chi può accedervi, quali applicazioni e sistemi li elaborano e verso quali soggetti, fornitori o partner vengono trasferiti.
Inoltre, la mappatura deve essere completata da una DPIA (Data Protection Impact Assessment) associata alla perdita, divulgazione, alterazione o indisponibilità delle informazioni, considerando gli aspetti economici, operativi, legali e reputazionali.
Il risultato è una mappa delle informazioni critiche che orienta priorità e investimenti. L’implementazione di controlli anti-esfiltrazione e il tracciamento degli accessi sui dati critici rientrano nella complessiva tutela asset aziendali, proteggendo il patrimonio informativo da exfiltration involontaria o fraudolenta.
Come prevenire il furto di dati mediante controlli tecnici ed endpoint
Dopo aver identificato i dati critici da proteggere, è necessario intervenire sui principali punti attraverso cui possono essere sottratti o esfiltrati, a partire dagli endpoint.
I controlli tecnici, debitamente implementati, consentono di prevenire, rilevare e limitare il furto di dati.
Come configurare le soluzioni DLP per il blocco dei dispositivi USB e cloud
Il DLP (Data Loss Prevention) è l’insieme di strumenti e regole che individuano, monitorano e bloccano la fuoriuscita di dati sensibili dall’azienda. La corretta configurazione di una soluzione di DPL inizia con la classificazione dei dati: le regole devono guardare all’etichetta di riservatezza assegnata al dato e non soltanto al tipo di file, così che un documento strategico resti protetto qualunque sia il suo formato o il nome con cui viene salvato.
Definiti i criteri, si può intervenire sui canali di uscita, dal blocco dei dispositivi USB, che restano una delle vie più immediate per portare fuori informazioni.
Il DLP consente di autorizzare solo supporti aziendali e cifrati, di limitare l’accesso alla sola lettura o di disattivare del tutto la scrittura per i ruoli che trattano i dati più delicati, quali: progettazione, ricerca e sviluppo o area commerciale. Ogni copia su un supporto rimovibile viene inoltre registrata, creando una traccia preziosa in caso di verifiche o di incidenti.
Lo stesso ragionamento vale per il cloud, dove il controllo è affidato al CASB (Cloud Access Security Broker), un intermediario che applica le politiche di sicurezza tra gli utenti e le piattaforme online.
I Dipendenti, grazie a questo strumento, possono continuare a usare le applicazioni approvate dall’azienda, mentre il caricamento di file su archivi personali o su servizi di condivisione non governati viene impedito. A completare il presidio c’è l’ispezione di e-mail e traffico web, che riconosce schemi ricorrenti come numeri di carta, codici di progetto o parole chiave riservate e ferma l’invio prima che i dati escano dal perimetro.
Si consiglia di introdurre queste misure in modo graduale e di gestire con rigore casi particolari ed eccezioni, assicurandone la tracciabilità, l’approvazione formale e una scadenza definita.
Come monitorare i comportamenti anomali degli utenti per mitigare gli Insider Threat
Con Insider Threat si indica il rischio associato a persone interne all’organizzazione, come dipendenti, collaboratori e fornitori, che possono compromettere i dati per dolo, errore o negligenza. Per mitigare questo rischio, è importante combinare analisi comportamentale, controlli tecnici e misure organizzative.
Gli strumenti di UEBA (User and Entity Behavior Analytics) rilevano anomalie rispetto ai comportamenti abituali, quali download massivi o accessi inusuali; mentre il SIEM (Security Information and Event Management) raccoglie e correla i log di sicurezza per individuare tempestivamente eventi sospetti.
A questi controlli si affiancano il principio del minimo privilegio, procedure strutturate per la gestione degli accessi in caso di dimissioni o cambi di ruolo e attività di formazione e sensibilizzazione.
Il monitoraggio deve inoltre essere effettuato nel rispetto della normativa sulla protezione dei dati personali e delle disposizioni sul controllo a distanza dei lavoratori, prevedendo informative chiare e, ove richiesto, gli specifici accordi o adempimenti previsti dalla normativa.
Come integrare la protezione dei dati con le politiche di sicurezza
La tecnologia da sola non basta. Controlli come il DLP, la cifratura o il monitoraggio degli accessi funzionano solo quando sono inseriti in un sistema di regole, ruoli e responsabilità che li renda stabili nel tempo e verificabili.
Pertanto, integrare la protezione dei dati con le politiche di sicurezza significa trasformare le misure tecniche in procedure formalizzate, assegnarle a figure precise e collegarle a obblighi di legge che, oggi, chiedono all’impresa di dimostrare di aver agito in modo adeguato.
Il punto di partenza è un approccio risk-based, cioè basato sul rischio. Inoltre, non tutte le informazioni meritano la stessa protezione. Pertanto, è necessario partire dalla mappa degli asset e dalla loro classificazione, in modo da valutare minacce, vulnerabilità e impatto potenziale, e decidere dove concentrare risorse e controlli.
Inoltre, tale valutazione, documentata e aggiornata dopo ogni cambiamento rilevante o incidente, diventa la base su cui si costruiscono le politiche e costituisce il principio che accomuna le principali norme di riferimento.
Come applicare la cifratura ai file riservati sia a riposo che in transito
La cifratura trasforma i dati in un contenuto illeggibile per chiunque non disponga della chiave crittografica corretta e, per essere efficace, deve proteggere le informazioni in entrambe le fasi del loro ciclo di vita: quando sono archiviate e quando viaggiano in rete.
I dati a riposo (data at rest) sono quelli conservati su dischi, server, database e copie di backup e, per proteggerli, si utilizzano algoritmi robusti come l’AES (Advanced Encryption Standard) a 256 bit, applicato sia ai singoli file riservati sia all’intero disco, in modo che un portatile smarrito o un supporto rubato non consegnino alcuna informazione utile.
I dati in transito (data in transit) sono, invece, quelli che si spostano tra dispositivi, server e utenti. In questo caso la protezione è affidata al TLS (Transport Layer Security), i.e. il protocollo che cifra le comunicazioni web e di posta, e alle VPN (Virtual Private Network), che creano un canale cifrato per i collegamenti da remoto
È doveroso evidenziare che le chiavi crittografiche devono essere custodite in sistemi dedicati, come gli HSM (Hardware Security Module), dispositivi fisici progettati per generare e conservare le chiavi in un ambiente protetto, dal quale non possono essere estratte.
Inoltre, devono essere sostituite periodicamente, con una procedura di rotazione e tenute separate dai dati che proteggono e limitate a poche persone autorizzate.
Ancora, si deve prevedere un sistema di recupero in caso di emergenza, perché una chiave persa rende i dati irrecuperabili anche per chi ne è legittimo titolare.
È importante evidenziare che una cifratura ben progettata offre un doppio vantaggio: sul piano giuridico, dimostra l’adozione di “misure ragionevolmente adeguate” di riservatezza, requisito necessario perché le informazioni aziendali siano tutelate come segreto commerciale; mentre sul piano pratico, se un supporto viene rubato o smarrito, il fatto che i dati sia cifrati può ridurre in modo sostanziale l’impatto della violazione.
Come dimostrare la tutela degli asset intangibili in sede di audit aziendale
In un audit, non basta dichiarare di proteggere la proprietà intellettuale: bisogna poterlo provare. Con NIS2 e DORA questo principio diventa un obbligo, perché le autorità di vigilanza (l’ACN per la NIS2, le autorità finanziarie competenti per DORA) possono richiedere evidenze, condurre ispezioni e applicare sanzioni.
La base è un inventario aggiornato degli asset con la relativa classificazione, accompagnato da policy e procedure formalizzate, approvate dalla direzione e diffuse al personale.
Servono poi le evidenze operative, quali:
- registri e log degli accessi, dei blocchi DLP e degli incidenti gestiti;
- documentazione della formazione erogata e delle verifiche periodiche;
- risultati di test come vulnerability assessment e penetration test e, per i soggetti DORA più rilevanti, test avanzati di resilienza;
- contratti con i fornitori che prevedano clausole di riservatezza e sicurezza e, per DORA, il registro dei fornitori ICT;
- un piano di risposta agli incidenti già collaudato, con ruoli e tempi coerenti con le scadenze di notifica imposte da NIS2, DORA e GDPR;
- il modello organizzativo 231 aggiornato, con il relativo Organismo di Vigilanza.
Una documentazione costante trasforma la sicurezza da voce di costo a dimostrazione di affidabilità verso clienti, partner e autorità.
Conclusione
Proteggere la proprietà intellettuale richiede un approccio a più livelli: capire come agiscono gli attaccanti, individuare le informazioni davvero critiche, presidiare endpoint e canali di uscita con strumenti come il DLP, tenere sotto osservazione i comportamenti anomali interni, cifrare i dati e documentare ogni passaggio in modo verificabile. Non esiste una soluzione unica.
La sicurezza efficace nasce dall’integrazione tra tecnologia, processi e cultura aziendale, e investire oggi nel blocco dei dati significa difendere il valore futuro dell’impresa.
Partecipa alla community