Le verifiche di conformità non devono essere caotiche.

L'epidemia di violazioni dei dati, unita alle richieste dei consumatori di un maggiore controllo sul modo in cui le aziende gestiscono i loro dati personali, hanno dato vita a un ambiente normativo in continua espansione, incentrato sull'obbligo per le organizzazioni di disporre di determinati controlli di sicurezza e di ritenerle responsabili per le violazioni dei dati. Ecco solo alcuni degli standard normativi e di settore che le organizzazioni devono rispettare:

• La Health Insurance Portability and Accountability Act (HIPAA) del 1996 è una legge federale statunitense che tutela le informazioni sanitarie sensibili dei pazienti affinché non vengano divulgate senza il consenso o all'insaputa del paziente stesso.
• Il Payment Card Industry Data Security Standard (PCI DSS, Standard di sicurezza dei dati dell'industria delle carte di pagamento) è una serie di standard di sicurezza imposti dai principali brand di carte di pagamento. Qualsiasi azienda che accetta, tratta, conserva o trasmette le informazioni relative alle carte di pagamento deve essere conforme al PCI DSS.
• La Sarbanes-Oxley Act (SOX) è una legge statunitense che impone controlli e bilanciamenti per fare in modo che le dichiarazioni aziendali siano precise e trasparenti e che gli azionisti dell'azienda e il pubblico in generale siano protetti da errori di contabilità e pratiche fraudolente.

Chiunque lavori nel GRC (governance, risk and compliance, ovvero tutte le misure per uno svolgimento corretto, orientato agli obiettivi e legalmente conforme di tutte le attività imprenditoriali), sa già come funziona. Anche se i rischi dell'organizzazione sono tra loro dipendenti e i controlli di sicurezza condivisi tra i reparti, la conformità viene pianificata e gestita solitamente in silos informativi. Oltre ad aumentare il rischio di non risultare conformi (o peggio, di subire una violazione), questo approccio basato su silos porta a correre come matti quando si avvicinano le annuali verifiche di conformità. Il personale addetto al GRC impiega tantissimo tempo ed energie a ritrovare la documentazione di supporto e a rispettare le scadenze che queste, insieme all'esito positivo della verifica, diventano più importanti dei controlli di sicurezza.

Tuttavia, la conformità non è un evento singolo. Le organizzazioni sono tenute a rimanere conformi tutto l'anno. Inoltre, molti dei controlli imposti dalle framework di conformità sono le migliori pratiche di sicurezza che le organizzazioni dovrebbero seguire comunque per ridurre il rischio di una violazione dei dati.

Siccome ogni utente all'interno della rete aziendale è un fattore di rischio potenziale, proteggere le credenziali utente e implementare l'accesso zero-trust nelle reti dell'organizzazione sono essenziali perché le organizzazioni si conformino a PCI DSS, HIPAA, SOX, RPGD e altre framework di conformità. Poiché la maggior parte delle organizzazioni deve conformarsi a più di una framework, è fondamentale automatizzare più processi di conformità possibili per evitare di sovraccaricare ulteriormente il già oberato personale IT e GRC.

La piattaforma di gestione delle password aziendali (EPM) facilita il monitoraggio e la segnalazione di conformità concedendo agli amministratori IT piena visibilità e controllo sull'utilizzo delle password da parte dei dipendenti e accesso alla rete zero-trust basato sul ruolo in tutti i suoi ambienti di dati. Keeper supporta solidi controlli interni tramite amministrazione delegata, regole di applicazione, tracciamento e monitoraggio degli eventi con registri di verifica personalizzabili e resoconti sugli eventi.

Poiché le chiavi segrete della rete IT sbloccano l'accesso a sistemi e dati a cui sono assegnati privilegi elevati, proteggere le chiavi segrete è fondamentale tanto quanto proteggere le password degli utenti finali al fine di impedire gli attacchi informatici. Ma con la diffusione delle chiavi segrete e di quelle inserite direttamente o già integrate, la gestione delle chiavi segrete rappresenta una sfida maggiore rispetto alla gestione delle password degli utenti.

Integrata direttamente nell'EPM di Keeper, nonché in Keeper Connection Manager, Keeper Secrets Manager una piattaforma zero-knowledge basata su cloud e completamente gestita per proteggere le chiavi segrete dell'infrastruttura, quali chiavi API, password dei database, chiavi di accesso, certificati e qualsiasi altro tipo di dato riservato.

Con Keeper Secrets Manager, tutti i server, le pipeline CI/CD, gli ambienti di sviluppo e il codice sorgente traggono le chiavi segrete da un endpoint API protetto. Ogni chiave segreta viene crittografata con una chiave AES a 256-bit, la quale viene crittografata da un'altra chiave di applicazione AES-256. Il dispositivo client recupera il testo cifrato crittografato dal cloud di Keeper e le chiavi segrete vengono decrittografate e utilizzate a livello locale sul dispositivo, non sui server di Keeper.