Rilevamento delle minacce interne per le piccole imprese

Cosa si intende per minaccia interna

Una minaccia interna è il rischio che qualcuno con accesso legittimo lo usi — deliberatamente o meno — per danneggiare l'organizzazione. La statunitense Cybersecurity and Infrastructure Security Agency definisce un insider come qualsiasi persona che ha o ha avuto accesso autorizzato alle risorse di un'organizzazione, o conoscenza di esse, incluse le persone, le strutture, le informazioni, le apparecchiature, le reti e i sistemi. La parola chiave qui è autorizzato. Nessuno ha bisogno di introdursi con la forza.

La distinzione centrale della CISA è tra danno non intenzionale e intenzionale, e l'agenzia segnala separatamente due situazioni che attraversano entrambe le categorie. Questo dà quattro etichette che incontrerà nella pratica — utile saperlo, perché la frase «i tre tipi di minacce interne» viene ripetuta ovunque e non corrisponde alla fonte:

Ecco la parte che la maggior parte degli articoli su questo argomento salta. Gli incidenti da insider non sono il modo più comune in cui una piccola impresa subisce una violazione, e dovrebbe diffidare di chiunque le dica il contrario. Il Data Breach Investigations Report 2026 di Verizon — costruito su oltre 31,000 incidenti reali — ha rilevato attori interni nel 12% delle violazioni, un calo rispetto al 18% dell'anno scorso. Il suo panel dedicato alle piccole imprese, che copre organizzazioni con meno di 1,000 dipendenti, attribuisce sostanzialmente tutte le violazioni ad attori esterni con motivazioni finanziarie.

Allora perché dedicarci un pomeriggio? Perché il profilo dei costi è invertito. Lo studio 2026 di Ponemon Institute e DTEX Cost of Insider Risks ha rilevato che gli incidenti da insider richiedono in media 67 giorni per essere contenuti, con un costo di circa $747,000 per incidente negligente, $742,000 per quello doloso, e $842,000 nei casi in cui un soggetto esterno utilizzava credenziali rubate. Gli eventi da insider sono più rari del phishing, ma durano più a lungo prima che qualcuno se ne accorga, e ciò che esce dalla porta è di solito il materiale su cui l'azienda è effettivamente costruita.

Perché le uscite sono il punto critico

Perché il rischio si concentra in una finestra ristretta e prevedibile. Il Software Engineering Institute della Carnegie Mellon — la divisione CERT che studia i casi di minacce interne da due decenni — lo ha affermato chiaramente nella sua analisi dei casi di furto di proprietà intellettuale: la maggior parte degli insider sottrae proprietà intellettuale entro 30 giorni dall'uscita da un'organizzazione. Questo risultato risale al 2011, ed è opportuno segnalarne l'età; ciò nonostante è rimasto il principio organizzativo della pratica sul rischio insider da allora, e ogni report di telemetria dei vendor pubblicato da allora concentra l'attività intorno alla stessa finestra di uscita.

Quella singola frase è operativamente più utile di qualsiasi feed di threat intelligence che una piccola impresa possa acquistare. Significa che non serve una sorveglianza continua su tutti. Serve sapere quando qualcuno sta per lasciare l'azienda, e osservare la manciata giusta di segnali per le settimane precedenti e successive a quella data.

Verifichi le statistiche prima di pianificare sulla loro base

Tre numeri dominano ogni articolo sul furto di dati da parte dei dipendenti, e ciascuno viene citato in una forma che lo sovrastima. Questo ha conseguenze pratiche: se crede che metà del suo personale rubi dati, acquisterà lo strumento sbagliato e nel farlo tratterà male le persone.

• «Il 45% dei dipendenti porta via dati quando lascia l'azienda.» Reale, ma è il sottoinsieme statunitense di un sondaggio Tessian del maggio 2020. Il dato complessivo dello stesso studio era del 34%, e il dato per il Regno Unito era del 23%. La precisazione viene omessa quasi ogni volta che viene citato.
• «Il 72% dei dipendenti porta via dati aziendali.» Si tratta di una lettura errata. Il 72% nel report 2019 di Code42 è la quota di responsabili della sicurezza informatica che si è detta d'accordo con l'affermazione non sono solo dati aziendali, sono il mio lavoro — e le mie idee. È un dato su come le persone percepiscono la proprietà, non su quante di loro copino effettivamente file.
• «Il 63% ha portato con sé dati da un precedente datore di lavoro.» Questo ha una fonte reale e verificabile — il Global Data Exposure Report 2019, pubblicato da Code42 nell'ottobre 2019. Ma attenzione alla popolazione campionaria, che è lo stesso errore su cui si basa il 72%: gli intervistati erano 1,028 responsabili della sicurezza e 615 decisori aziendali, non un campione rappresentativo del personale. E descrive persone che arrivano con dati, un rischio diverso da quello che sta cercando di rilevare in uscita.

Il dato più difendibile è quello di Cyberhaven Labs del 2022, ed è difendibile proprio perché si tratta di telemetria osservata anziché autodichiarazione: su circa 1.4 milioni di dipendenti che gestiscono dati sensibili, il 9.4% ha esfiltrato dati nell'arco di sei mesi. Il post del blog che riportava questo dato è stato nel frattempo rimosso — il report sottostante sopravvive come download riservato — quindi oggi è più facile verificarlo tramite la copertura stampa dell'epoca. In ogni caso, lo consideri datato. Il report investigativo 2023 di DTEX colloca al 12% la quota di dipendenti in uscita che porta via proprietà intellettuale sensibile.

Vale la pena interiorizzare anche le indicazioni della CISA: la valutazione della minaccia dovrebbe essere basata sui comportamenti, non sui profili, e questi atti sono raramente spontanei — seguono una decisione deliberata. Non esiste uno schema demografico da tenere d'occhio, e cercarne uno la renderà tanto sbagliato quanto ingiusto.

Come escono davvero i dati

I dati escono da una piccola rete Windows attraverso un elenco breve e poco interessante di canali. Ciò che conta operativamente non è il canale in sé, ma se lascia una traccia che può ritrovare in seguito — e per diversi di essi, la risposta onesta è che non la lascia.

In termini di MITRE ATT&CK, questi corrispondono a T1052.001 (Exfiltration over USB), T1567.002 (Exfiltration to Cloud Storage — la descrizione di MITRE cita esplicitamente Dropbox e Google Docs) e T1114.003 (Email Forwarding Rule). L'analitica di rilevamento di MITRE per il caso USB è inserimento di un dispositivo USB seguito da accesso e staging di file ad alto volume o sensibili — che corrisponde esattamente all'Event 6416 correlato con il 4663, ed è esattamente ciò che le sezioni successive predispongono.

Prima di iniziare a monitorare

Prima di attivare anche un solo criterio di controllo, rediga l'informativa. Non si tratta di una nota di conformità da sistemare in un secondo momento — in tre stati statunitensi è un obbligo di legge che si applica prima dell'inizio del monitoraggio, e nessuna di queste leggi esenta i piccoli datori di lavoro. Un'azienda di dieci persone a New York è soggetta esattamente come una da diecimila.

La base federale, e la trappola

L'Electronic Communications Privacy Act rappresenta la base federale minima. Due eccezioni fanno la maggior parte del lavoro per i datori di lavoro. L'eccezione per i fornitori prevista da 18 U.S.C. § 2511(2)(a)(i) copre l'intercettazione sulle proprie strutture quando è un incidente necessario al servizio o alla protezione dei diritti o della proprietà del fornitore di tale servizio. Separatamente, § 2511(2)(d) rende la legge federale basata sul consenso di una sola parte: lecita quando una delle parti della comunicazione ha dato il consenso preventivo.

Il vantaggio pratico — reale, anche se non è la storia pulita in un unico documento che a volte si sente raccontare — è che una conferma firmata sul monitoraggio svolge una doppia funzione. La legge federale non richiede il consenso quando l'eccezione per i fornitori già si applica, ma il consenso è la seconda via, indipendente, prevista dal § 2511(2)(d), e avere entrambe è una posizione più solida che affidarsi a una sola. La stessa firma soddisfa contemporaneamente la conferma richiesta da New York e Delaware.

Non copre tutto, però, e vale la pena segnalare tre lacune. Una firma da sola non assolve l'obbligo di affissione — New York richiede l'informativa sia sulla parete sia riconosciuta, e in Connecticut l'affissione è l'informativa richiesta. L'ambito dell'eccezione per i fornitori è di elaborazione giurisprudenziale piuttosto che una linea netta, quindi «possediamo noi il portatile» è un solido punto di partenza, non una difesa consolidata. E se registra le chiamate, verifichi separatamente la legge sulle intercettazioni del proprio stato: diversi stati richiedono il consenso di tutte le parti, il che è più restrittivo della base federale.

Se ha personale nell'UE, la risposta si inverte

Ai sensi del GDPR, la base giuridica generalmente utilizzata per il monitoraggio sul posto di lavoro è il legittimo interesse ai sensi dell'Article 6(1)(f) — non il consenso. Il Parere 2/2017 dell'Article 29 Working Party ha stabilito che i dipendenti non sono quasi mai nella posizione di dare, rifiutare o revocare liberamente il consenso e che il consenso è estremamente improbabile che costituisca una base giuridica per il trattamento dei dati sul lavoro. Questo è l'esatto opposto della posizione statunitense, dove una firma è la sua difesa più solida.

Il legittimo interesse richiede un test documentato in tre parti — una finalità specifica, una necessità autentica priva di alternative meno intrusive, e un bilanciamento rispetto ai diritti dei dipendenti — e l'Article 21 riconosce a ogni dipendente il diritto di opposizione. Una valutazione d'impatto sulla protezione dei dati è richiesta quando il monitoraggio è sistematico e probabilmente ad alto rischio, condizione che le autorità di controllo nazionali attribuiscono costantemente al monitoraggio continuo dei dipendenti. L'Article 88 consente inoltre agli stati membri di imporre regole nazionali più severe, quindi Germania, Francia e Paesi Bassi in particolare vanno oltre la base minima del GDPR.

La configurazione di rilevamento a costo zero

Per rilevare i canali di esfiltrazione più comuni, può iniziare con le impostazioni di Group Policy incluse in Windows e a costo zero. Ecco l'ordine che offre la massima copertura con il minimo sforzo.

1. Audit Removable Storage — l'impostazione singola a maggior valore

È quella da attivare per prima, e il motivo è un dettaglio che Microsoft afferma nella propria documentazione e che quasi nessuno ripete: Viene generato un evento di controllo della sicurezza per tutti gli oggetti e per tutti i tipi di accesso richiesti, senza alcuna dipendenza dalla SACL dell'oggetto.

Lo rilegga se ha mai provato a configurare il controllo dei file. Il normale controllo del file system resta inerte finché non configura le system access control list su ogni cartella che le interessa — Microsoft è esplicita nell'affermare che non viene generato alcun evento di controllo per le SACL predefinite del file system. Audit Removable Storage salta tutto questo. Lo attivi, e otterrà un evento 4663 per ogni file letto da o scritto su un dispositivo USB, su ogni macchina, senza alcuna configurazione per singola cartella. Le linee guida di Microsoft lo valutano Success e Failure sia su workstation, server membri e controller di dominio, mentre Audit File System è valutato solo «if needed».

2. Audit PNP Activity — sapere quando è comparso un dispositivo

Questa si trova sotto Detailed Tracking, non Object Access — un piccolo dettaglio che costa alle persone dieci minuti a cercare nell'albero dei criteri. Genera l'Event ID 6416, «A new external device was recognized by the System», su Windows 10 e Server 2016 o versioni successive. Il payload contiene il percorso dell'istanza del dispositivo, gli ID del vendor e un ClassName — filtri per DiskDrive per distinguere lo storage da tastiere e mouse. Microsoft valuta il volume come tipicamente basso e aggiunge un utile suggerimento di ottimizzazione: segnalarlo ogni volta che il Subject Security ID non è SYSTEM. Noti il limite — il 6416 registra l'inserimento e l'abilitazione, non la rimozione, quindi non le dirà per quanto tempo una chiavetta è rimasta collegata.

3. Audit Logon — cogliere lo schema degli accessi fuori orario

L'Event ID 4624 registra i logon riusciti con un Logon Type: 2 per interattivo da tastiera, 3 per rete, 10 per RDP, 7 per sblocco. Microsoft approva esplicitamente questo caso d'uso: potrebbe essere necessario monitorare l'uso di un account al di fuori dell'orario di lavoro. Un logon di tipo 10 di sabato sera da un account che non ha mai lavorato nel weekend è l'alert a più alto segnale, ed è anche il più economico che potrà mai costruire.

4. SACL, ma solo dove ne vale la pena

Per le due o tre condivisioni che custodiscono davvero i dati più critici, aggiunga una SACL e abiliti Audit File System. Un avvertimento da conoscere: l'elenco dei tipi di accesso da monitorare raccomandato da Microsoft copre scritture, eliminazioni e modifiche dei permessi — ma non ReadData. Leggere è ciò che assomiglia al furto, quindi lo aggiunga deliberatamente. Microsoft mette in guardia anche contro l'attivazione generalizzata, e ha ragione: applichi una SACL a un intero file server e ne sarà sommerso, poi smetterà di guardare, il che è peggio che non registrare affatto.

5. Aumenti la dimensione del log, poi fissi davvero la revisione

Il Security log predefinito viene sovrascritto rapidamente non appena iniziano ad affluire gli eventi 4663 e un log che ha già sovrascritto le prove non è un controllo. Prima aumenti la dimensione. Poi inserisca in agenda un appuntamento mensile ricorrente — eventi USB, logon fuori orario, eventuali nuove regole di inoltro della posta. Il rilevamento è un'abitudine, non una casella da spuntare; un log che nessuno legge non ha mai colto nessuno.

Un'aggiunta gratuita che vale l'installazione: Sysmon, della suite Sysinternals di Microsoft, colma diverse delle lacune indicate sopra. L'Event 3 registra le connessioni di rete legate a un processo — è disattivato a meno che non lo configuri — e l'Event 22 registra le query DNS, così una ricerca verso un dominio consumer di file-sharing diventa visibile. L'Event 9 rileva le letture dirette del disco, che Microsoft segnala essere utilizzate per eludere gli strumenti di controllo dell'accesso ai file. Questi tre sono quelli che vale la pena eseguire regolarmente.

Sysmon può anche registrare le modifiche degli appunti (Event 24), e dovrebbe rifletterci bene prima di attivarlo. Gli appunti contengono password, messaggi personali e dati altrui, e catturarli è qualcosa di categoricamente più intrusivo rispetto a registrare che un file si è spostato. Se lo attiva, lo dichiari esplicitamente nell'informativa sul monitoraggio invece di inglobarlo in una descrizione generica — la dichiarazione deve corrispondere a ciò che raccoglie realmente, altrimenti l'informativa non svolge il proprio compito.

Cosa Windows non riesce a vedere

Windows non riesce a vedere all'interno del traffico crittografato, e questo singolo limite definisce il confine della configurazione gratuita. Essere onesti su questo punto conta più di un altro elenco di funzionalità, perché un controllo che crede erroneamente di avere è peggio di uno che sa di non avere.

• Payload HTTPS. Ogni caricamento su webmail, sincronizzazione cloud consumer e app di messaggistica è opaca. Potrà vedere che una connessione è avvenuta; non vedrà cosa vi è passato attraverso.
• Traffico in uscita con attribuzione. Il logging di Windows Firewall è disattivato per impostazione predefinita, e anche se attivato registra le tuple di connessione — non quale processo o quale utente.
• Quale file è andato dove. Windows registra le letture dei file e gli invii di rete in modo indipendente e non li correla mai. Unire queste due metà è esattamente lo scopo dei prodotti di data loss prevention.
• Una fotocamera di un telefono puntata sullo schermo. Nessuna traccia, nessun controllo, nessun prodotto. È il canale di esfiltrazione più antico e ancora irrisolto.

Due cose che internet sbaglia

Primo, la durata della sessione. Molte guide suggeriscono di abbinare l'evento di logon 4624 con l'evento di logoff 4634 per misurare per quanto tempo qualcuno ha lavorato. Microsoft documenta questo caso d'uso ma vi allega un avvertimento che la maggior parte degli articoli omette: Gli eventi di logoff non sono affidabili al 100 per cento. Ad esempio, il computer può essere spento senza un logoff e uno spegnimento adeguati; in questo caso, non viene generato alcun evento di logoff. La durata della sessione è una tendenza ragionevole da osservare; costruisca su di essa un alert rigido e scatterà per persone che hanno semplicemente chiuso il portatile.

Secondo, il logging di stampa. Attivare il log operativo PrintService viene comunemente presentato come un modo per ottenere un registro di ciò che è stato stampato. Le fornisce l'Event 307 con il job — ma il nome del documento viene oscurato nella stringa letterale «Print Document» finché non modifica un'impostazione separata. Attivi il log, stampi una pagina di prova, e verifichi il nome prima di farvi affidamento.

Ci sono anche due affermazioni di forensica USB ampiamente diffuse — un insieme di ID evento DriverFrameworks per collegamento e scollegamento, e un evento diagnostico Partition che porta i numeri di serie dei dispositivi — che compaiono in decine di articoli di blog ma non sono documentate da Microsoft da nessuna parte, e il log rilevante è disattivato per impostazione predefinita. Potrebbero benissimo funzionare. Non costruisca un controllo basandosi su di esse senza prima testarle sul proprio hardware.

Quando vale la pena investire in strumenti dedicati

Investire in strumenti dedicati vale la pena nel momento in cui la configurazione gratuita smette di rispondere alle domande che si sta davvero ponendo — di solito quando serve visibilità sui caricamenti crittografati, o quando rivedere manualmente i log grezzi smette di essere realistico. Ecco un confronto onesto alla scala di 10-50 PC.

Il divario che spinge la maggior parte delle piccole imprese oltre il livello gratuito non è la capacità di rilevamento ma la leggibilità. Windows registrerà tranquillamente migliaia di eventi 4663; trasformarli in «ecco cosa ha fatto questa persona nelle ultime due settimane» è un lavoro manuale che nessuno sostiene nel tempo. È questo il compito che svolge il monitoraggio dichiarato delle attività sui computer aziendali — e funziona, legalmente e culturalmente, solo sulla base della trasparenza descritta in precedenza.

Qualunque cosa scelga, la applichi a tutti allo stesso livello invece di isolare la persona che sospetta. Il monitoraggio mirato e segreto di un singolo dipendente è dove risiede l'esposizione legale, ed è anche il modo in cui distrugge la fiducia dei nove colleghi che lo scoprono in seguito.

La checklist per l'uscita e la prima ora

Dato che la maggior parte dei furti di proprietà intellettuale avviene entro 30 giorni dall'uscita, la checklist seguente vale più di qualsiasi strumento dell'elenco precedente. Tutti dicono «revocare immediatamente l'accesso»; quasi nessuno mette per iscritto cosa significhi in pratica.

• Disabiliti l'account, non lo elimini. L'eliminazione distrugge il registro di controllo e qualsiasi casella di posta di cui potrebbe aver bisogno in seguito.
• Revochi le sessioni attive e i token, non solo la password. Una sessione connessa su un telefono personale sopravvive a un cambio di password.
• Verifichi le regole di inoltro della posta — sia l'inoltro a livello di casella postale sia le regole della posta in arrivo. Le regole possono essere create in modo da non comparire in Outlook, quindi verifichi lato server.
• Estragga subito il registro di controllo, non più tardi. Microsoft 365 Audit (Standard) conserva i record per 180 giorni per impostazione predefinita — ma la ricerca di audit per amministratori, ormai deprecata, risale indietro solo di 90, e la conservazione varia in base alla licenza. Esporti ciò di cui ha bisogno invece di confidare che sarà ancora lì il trimestre prossimo.
• Disconnetta i client di sincronizzazione cloud personali dalla macchina e verifichi quali cartelle venivano sincronizzate.
• Ruoti le credenziali condivise — la chiave Wi-Fi, il login amministrativo condiviso, gli account a cui nessuno ha ancora avuto tempo di assegnare login individuali. In una piccola impresa questa è di solito la parte più lunga dell'elenco.
• Recuperi l'hardware, comprese eventuali unità o dongle detenuti personalmente, e registri cosa è stato restituito.
• Tenga il dispositivo di chi ha lasciato l'azienda intatto per due settimane prima di reimpostarlo, se l'uscita è stata in qualche modo turbolenta.
• Svolga il colloquio di uscita con in mano l'accordo sulla proprietà intellettuale. La divisione CERT della Carnegie Mellon raccomanda da tempo di usare il colloquio di uscita per ripercorrere con la persona uscente l'accordo che ha firmato, e farglielo riconoscere nuovamente. Richiede dieci minuti ed è l'unico elemento di questo elenco che affronta l'intenzione anziché l'opportunità.

Se pensa che stia accadendo proprio ora

Prima preservare, poi indagare, infine agire — in quest'ordine, perché l'istinto naturale li inverte tutti e tre.

1. Non spenga la macchina. Lo spegnimento fa perdere tutto ciò che è contenuto nella memoria e può attivare procedure di pulizia allo spegnimento. La isoli invece dalla rete e la lasci accesa.
2. Non ci curiosi dentro. Ogni cartella che apre riscrive i timestamp di accesso — gli stessi metadati su cui farebbe affidamento in seguito. Se la questione potrebbe finire davanti a qualcuno, faccia prima effettuare un'immagine forense.
3. Catturi i log prima che vengano sovrascritti. Esporti subito il Security log dall'endpoint e la relativa ricerca di audit di Microsoft 365.
4. Non apra mai i loro account personali. Le credenziali salvate in un browser aziendale non le conferiscono alcuna autorizzazione, e usarle è il punto in cui la posizione solida di un datore di lavoro crolla.
5. Si rivolga a un legale prima di confrontarsi con chiunque. Una conversazione basata su prove incomplete avvisa proprio la persona che può ancora cancellare le cose — e se si sbaglia, ha accusato un dipendente di un reato.

Niente di tutto questo richiede un team di sicurezza. Richiede di decidere, prima che accada qualcosa, che farà bene la versione noiosa: l'informativa firmata il primo giorno, tre criteri di controllo attivati, una checklist che si applica ogni volta che qualcuno lascia l'azienda, e un'ora al mese passata a osservare davvero. Ecco come si presenta il rilevamento delle minacce interne a questa scala, ed è del tutto alla portata.

Domande frequenti