La gestione degli endpoint è il punto in cui la security policy incontra il dispositivo reale — laptop, smartphone, tablet, workstation. Per il CCST Cybersecurity devi saper collegare tre pilastri: visibilità (sapere cosa possiedi), protezione dei dati (soprattutto quelli at rest) e conformità normativa. Un endpoint che nessuno inventaria è un endpoint che nessuno protegge.
Asset e software inventory
Non puoi difendere ciò che non conosci. L’asset inventory cataloga l’hardware (numero di serie, MAC, owner, ubicazione, stato del ciclo di vita), mentre il software inventory traccia sistemi operativi, versioni, patch level e applicazioni installate. Sono la base di quasi ogni controllo di sicurezza:
- Patch e vulnerability management: senza sapere quali versioni girano, non sai quali CVE ti espongono.
- Rilevamento di shadow IT e software non autorizzato o pirata.
- Risposta agli incidenti: durante un incident, l’inventory ti dice rapidamente quali host sono potenzialmente affetti.
Soluzioni come Cisco Secure Endpoint o l’integrazione con Cisco ISE arricchiscono l’inventory con il posture assessment, verificando che un device rispetti i requisiti (antimalware attivo, patch minime) prima di concedere accesso alla rete.
Backup dei dati
Il backup protegge disponibilità e integrità contro ransomware, guasti hardware ed errori umani. Il modello di riferimento è la regola 3-2-1: 3 copie dei dati, su 2 supporti diversi, con 1 copia off-site. Punti chiave d’esame:
- I backup vanno testati con restore periodici: un backup mai verificato non è un backup.
- Idealmente una copia è offline/immutabile (air-gapped o WORM), così il ransomware non può cifrarla insieme ai dati di produzione.
- Anche i backup vanno cifrati: contengono gli stessi dati sensibili degli originali.
BYOD e device management
Il BYOD (Bring Your Own Device) consente ai dipendenti di usare dispositivi personali per lavoro. Il vantaggio è flessibilità e costo; il rischio è che il confine di sicurezza si sposta su un device che l’organizzazione non possiede. Gli strumenti di controllo:
| Funzione | Cosa fa |
|---|---|
| MDM (Mobile Device Management) | Applica policy, permette remote wipe, impone PIN/passcode, verifica cifratura |
| App distribution | Distribuisce app aziendali approvate da un catalogo controllato |
| Configuration management | Impone impostazioni sicure (VPN, Wi-Fi, certificati) in modo centralizzato e coerente |
Un pattern chiave è la containerization: l’MDM crea un profilo di lavoro cifrato e isolato, separando dati aziendali e personali. Al termine del rapporto si esegue un selective wipe che cancella solo il container aziendale, lasciando intatte foto e app personali dell’utente.
Disk encryption e dati at rest
I dati esistono in tre stati: in transit, in use e at rest. La disk encryption protegge i dati at rest — quelli sul disco quando il dispositivo è spento o smarrito. È la contromisura primaria contro furto o smarrimento: senza la chiave, il disco è illeggibile.
- La Full Disk Encryption (FDE) cifra l’intero volume; tecnologie tipiche sono AES-256.
- Un TPM (Trusted Platform Module) custodisce le chiavi in hardware e le rilascia solo se il boot è integro.
- Distinzione da ricordare: TLS protegge i dati in transit, la disk encryption protegge quelli at rest. Non confonderle.
Requisiti di compliance
| Norma | Ambito | Focus |
|---|---|---|
| PCI DSS | Dati delle carte di pagamento (PAN) | Cifratura del PAN, segmentazione di rete, controllo accessi |
| HIPAA | Dati sanitari (PHI) negli USA | Riservatezza e integrità delle informazioni sanitarie |
| GDPR | Dati personali UE | Protezione, minimizzazione, notifica breach entro 72 ore |
La cifratura funge da safe harbor: sotto molte normative, un dispositivo cifrato smarrito può non costituire un data breach notificabile, perché i dati restano inaccessibili. Ecco perché disk encryption e compliance sono strettamente legate.
Trappole tipiche d’esame
- Scenario: un laptop aziendale viene rubato ma il disco era cifrato con FDE + TPM → Risposta giusta: i dati at rest restano protetti; grazie all’encryption spesso l’evento non è un breach notificabile.
- Scenario: BYOD con smartphone personali che accedono a email aziendali → Risposta giusta: imporre MDM con cifratura del dispositivo obbligatoria e capacità di remote/selective wipe; il confine di sicurezza è ora sul device personale.
- Scenario: si chiede quale controllo protegge i dati at rest → Risposta giusta: disk encryption, non TLS (che protegge i dati in transit).
- Scenario: dipendente lascia l’azienda con un device BYOD → Risposta giusta: selective wipe del solo container aziendale, non wipe totale del dispositivo personale.
- Scenario: verificare quali host sono vulnerabili a una nuova CVE → Risposta giusta: consultare il software inventory per identificare versioni e patch level affetti.