Laptop rubati con dati sensibili e/o riservati

E' un po' di tempo che leggo sui vari blog e news di sicurezza (e non solo) di laptop rubati con dati sensibili e/o riservati, che gettano nel panico le aziende proprietarie dei dati.

Questo uno degli ultimi: Home Office Disk Found Hidden in Laptop Sold on eBay (February 28 & 29, 2008)

Che il problema esista, non vi sono dubbi. La facilità infatti di copiare i dati da una realtà aziendale su un laptop per poi portarselo a casa è disarmante; a meno di non mettere in piedi soluzioni di vaulting e di hardening dei sistemi che però mi lasciano perplesso sull'efficacia e su un rapporto costi/benefici favorevole.

Pensiamo solo alle chiavette USB e alla facilità (e velocità) con cui si possono trasferire dati da un qualsiasi computer (anche senza diritti elevati) e andarsene via indisturbati. Una sorta di Social-USB-Engineering :-)

Ma ritorniamo al problema del laptop rubato con i numeri di carte di credito di una ipotetica azienda di e-commerce. Problema che secondo me non è risolvibile alla radice ma, con opportune policy aziendali, si può sicuramente gestire!

Ipotizziamo che il laptop, con un volume cifrato interamente dedicato ai dati, venga consegnato al dipendente dopo firma di una lettera di presa in carico. In tale lettera egli si impegna a gestire i dati aziendali riservati e/o sensibili sulla opportuna unità cifrata del laptop e non altrove.

Questo non risolve il problema ma almeno lo mitiga e aumenta la consapevolezza del dipendente che così presterà più attenzione alla gestione dei dati aziendali riservati e/o sensibili.

Per la password di cifratura del volume, questa viene generata e stabilita dall'azienda e comunicata al dipendente che la utilizzerà. L'azienda e il dipendente condividono quindi la stessa password di cifratura del volume per esigenze di key-escrow. In questo modo l'azienda potrà sempre venire in possesso del dato cifrato in mancanza del dipendente: pensiamo ad un licenziamento repentino o a periodi di assenza prolungata.