Data Classification e Ciclo di Vita del Dato

Mappa Globale

#

Perche Classificare i Dati

#

La data classification assegna etichette di sensibilita ai dati per determinare come devono essere protetti, chi puo accedervi e quanto a lungo conservarli. Senza classificazione, tutti i dati vengono trattati allo stesso modo - il che significa o proteggere eccessivamente i dati pubblici (costo inutile) o proteggere insufficientemente i dati critici (rischio).

Il principio base: la classificazione del dato guida le decisioni tecniche. Un file classificato come "Restricted" richiede cifratura at rest, controllo degli accessi RBAC, log di audit, e procedure di distruzione specifiche. Un file "Public" puo stare su un web server aperto.

Dev parallel: Ogni volta che hai aggiunto @IsGranted('ROLE_ADMIN') in Symfony o un middleware di autorizzazione in Node, stavi implementando controllo di accesso su dati implicitamente classificati come Confidential o Restricted. Non l'hai chiamato cosi, ma e esattamente il concetto. La tabella users con email, indirizzo, telefono contiene dati Private (PII). I numeri di carta di credito non dovevano neanche passare dal tuo server: regola base PCI DSS.

Classificazione Governo USA

#

Il governo degli Stati Uniti usa un sistema a quattro livelli basato sull'impatto che la divulgazione non autorizzata avrebbe sulla sicurezza nazionale.

Classificazione Aziendale

#

Le aziende private usano un sistema diverso, non standardizzato universalmente. L'importante non e il nome scelto, ma che i dipendenti capiscano il valore dei dati e li trattino di conseguenza.

Tipi di Dati Sensibili

#

Oltre ai livelli di classificazione, esistono categorie specifiche che compaiono spesso nelle normative e nell'esame.

Stati del Dato

#

Ogni dato esiste in uno di tre stati, ognuno con vulnerabilita e controlli diversi.

flowchart LR
  subgraph REST[Data at Rest]
    DISK[Disco / SSD]
    DB[Database]
    S3[Cloud Storage\nS3, Blob]
  end

  subgraph TRANSIT[Data in Transit]
    TLS[TLS 1.3\nHTTPS/VPN]
    VPN2[IPsec\nSite-to-Site]
  end

  subgraph USE[Data in Use]
    CPU2[CPU / RAM]
    TEE[TEE - Trusted\nExecution Env]
  end

  REST -->|Trasferimento| TRANSIT -->|Elaborazione| USE
  USE -->|Scrittura| REST

Data Lifecycle

#

Il ciclo di vita del dato attraversa sei fasi, ognuna con controlli e responsabilita specifiche.

flowchart LR
  CREATE[Create\nClassificazione\ninitiale]
  STORE[Store\nCifra at rest\nAccess control]
  USE2[Use\nMonitora accessi\nAudit log]
  SHARE[Share\nDLP enforcement\nNeed-to-know]
  ARCHIVE[Archive\nRetention policy\nCold storage]
  DESTROY[Destroy\nSanitizzazione\nCOD]

  CREATE --> STORE --> USE2 --> SHARE --> ARCHIVE --> DESTROY

La classificazione assegnata nella fase Create deve seguire il dato per tutto il ciclo. Un documento classificato come Confidential resta Confidential quando viene archiviato e quando viene distrutto - la procedura di distruzione dipende dalla classificazione.

Metodi di Distruzione dei Dati

#

La sanitizzazione garantisce che i dati vengano rimossi o distrutti definitivamente prima dello smaltimento. Cancellare un file o formattare un disco NON e sufficiente: i dati rimangono recuperabili con tool forensi finche non vengono sovrascritti o il media fisicamente distrutto.

Certificate of Destruction (COD): certificazione scritta che la distruzione e avvenuta correttamente. Obbligatoria quando la distruzione e eseguita da terzi o fuori sede. Gli auditor la richiedono come prova.

Dev parallel: Se hai mai usato dd if=/dev/zero of=/dev/sdX su Linux per "pulire" un disco, stavi facendo wiping. Il comando shred -u su Linux fa file shredding: sovrascrive il file con pattern casuali prima di eliminarlo. Stessa logica del paper shredder, ma per file digitali.

Retention Policy

#

Una retention policy definisce per quanto tempo i dati vengono conservati prima della distruzione. Lo scopo principale non e risparmiare spazio: e limitare l'esposizione legale.

Dev parallel: logrotate in Linux con rotate 14 o TTL index di MongoDB (expireAfterSeconds) sono retention policy in codice. LOG_DAYS=14 in Laravel e una retention policy applicata ai log applicativi. Se hai mai configurato la rotazione dei log per "non riempire il disco", stavi implementando una retention policy senza chiamarla cosi.

Data Ownership Roles

#

In ogni organizzazione, la gestione del dato non ricade su una sola figura. Esistono ruoli distinti con responsabilita' diverse: chi decide la policy, chi la implementa tecnicamente, chi garantisce la qualita', e chi usa il dato per lavorare.

Esempio concreto: un database con informazioni salariali.

• Data Owner = CFO: decide che i dati salariali sono "Confidential" e che solo HR e Finance possono accedervi
• Data Custodian = DBA: implementa cifratura AES-256 at rest, restringe accesso SQL al gruppo AD hr-finance, configura audit log
• Data Steward = HR Analyst: garantisce che i campi siano compilati correttamente, definisce il formato del campo "stipendio" (valuta, decimali), gestisce le eccezioni
• Data User = Payroll specialist: accede ai record del proprio reparto per elaborare le buste paga

Dev parallel: Come il triangle Owner-BA-Developer in un progetto Symfony: il Product Owner (business) decide COSA costruire e le regole di business. Il Business Analyst definisce COME il dato deve essere strutturato. Il Developer implementa il codice. Se il cliente vuole rendere un campo obbligatorio (classificazione), e' il PO a deciderlo - il dev lo implementa ma non puo' cambiare la regola unilateralmente.

DLP come Enforcement

#

Il DLP (Data Loss Prevention) e il meccanismo tecnico che applica la data classification in modo automatico. Ispeziona il contenuto di file, email e trasferimenti di dati, e blocca o segnala le operazioni che violano le policy.

Il DLP usa pattern matching (regex per numeri di carta, SSN, codici fiscali) e machine learning per identificare dati sensibili. Il limite: i falsi positivi (es. bloccare codice sorgente che contiene la parola "password") richiedono tuning costante.

Dev parallel: Azure Purview (Microsoft) e Amazon Macie (AWS) fanno data discovery e classification automatica: scansionano S3 bucket e Azure Blob Storage per rilevare PII, numeri di carta, chiavi SSH. Sono DLP cloud-native integrati nell'infrastruttura. Se usi Microsoft 365, le sensitivity labels di Purview sono la data classification applicata ai documenti Office.