Cos'è la data security?

La data security è la disciplina che protegge i dati da accesso non autorizzato, perdita o uso improprio lungo tutto il loro ciclo di vita: chi può vedere cosa, come i dati vengono cifrati a riposo e in transito, come si rileva e si previene l'esfiltrazione verso l'esterno. Copre sia le minacce esterne, un attacco che cerca di sottrarre dati sensibili, sia quelle interne, un dipendente che accede a dati che non gli servono o una configurazione di permessi troppo permissiva lasciata così per abitudine. Nella pratica si costruisce su un insieme ricorrente di controlli tecnici: permessi assegnati per ruolo, cifratura dei dati nei database e nelle reti che li trasportano, mascheramento nei sistemi non di produzione, e strumenti di monitoraggio capaci di segnalare un'esportazione anomala prima che diventi una violazione conclamata. Non è una funzione isolata del reparto IT, ma attraversa ogni sistema che tratta dati aziendali, dai database transazionali alle piattaforme analitiche, fino ai nuovi assistenti AI collegati a quei dati.

La distinzione da data governance

La data governance decide chi dovrebbe poter fare cosa con i dati e con quale processo: policy, ownership, qualità. La data security è ciò che rende quella decisione tecnicamente vera nel sistema: controllo degli accessi, cifratura, mascheramento, prevenzione della perdita di dati. Senza security, la governance resta un documento di intenti; senza governance, la security protegge in modo impeccabile le regole sbagliate, perché nessuno ha deciso davvero chi dovrebbe accedere a cosa. Le due discipline sono complementari, non intercambiabili, e servono entrambe perché una policy corretta sulla carta e un sistema tecnicamente sicuro sono condizioni indipendenti l'una dall'altra.

I pilastri pratici

Nella pratica, la data security si costruisce su alcuni pilastri ricorrenti: il controllo degli accessi basato su ruoli o attributi, così che ogni utente veda solo i dati pertinenti al proprio ruolo; la cifratura dei dati sensibili sia a riposo, nei database e negli archivi, sia in transito, tra sistemi e reti; il mascheramento o la tokenizzazione dei dati per gli ambienti non di produzione, dove servono dati realistici ma non i dati reali dei clienti; e il monitoraggio continuo con strumenti di prevenzione della perdita di dati, capaci di segnalare o bloccare un'esportazione anomala prima che diventi un incidente.

Perché è diventata più urgente con l'AI

I sistemi AI che leggono i dati aziendali per rispondere a domande o alimentare agenti autonomi ampliano in modo concreto la superficie di rischio. Un permesso mal configurato che prima esponeva un report a poche persone che sapevano dove cercarlo può ora essere interrogato in linguaggio naturale da chiunque abbia accesso all'assistente AI collegato a quei dati, spesso senza nemmeno sapere di aver aggirato un controllo di accesso.

Perché conta per un'azienda che adotta l'AI sui propri dati

La domanda da farsi prima di collegare un agente AI ai dati aziendali non è solo quali dati rendere disponibili, ma chi può davvero accedervi attraverso quell'agente, e con quali controlli. Questo lega direttamente la data security alla data governance, che stabilisce le regole di accesso, e a temi come la crypto-agility, la capacità di aggiornare gli standard crittografici quando necessario, o normative come il Cloud Act, che determinano dove e con quali garanzie i dati possono essere trattati.