DSPM: data security posture management nel cloud

La risposta breve: la data security posture management (DSPM) è l'insieme di strumenti e pratiche che trova dove stanno i dati sensibili nel tuo cloud, li classifica e ti dice chi può raggiungerli e quanto sono esposti. Non guarda solo se un bucket è configurato bene: guarda cosa c'è dentro, e quindi quale errore di configurazione conta davvero.

Qui trovi come funziona, in cosa si distingue da CSPM e DLP, cosa offrono già AWS, Microsoft e Google, e cosa ci fai con GDPR e NIS2. La DSPM è uno dei componenti di una piattaforma più ampia, descritta nella nostra guida su CNAPP, cos'è e quali componenti ha.

Cos'è la DSPM, in pratica

Wiz, nella sua Academy, definisce la DSPM come una disciplina di sicurezza che aiuta a capire e ridurre in modo continuo il rischio legato ai dati negli ambienti cloud: non si ferma a localizzare i dati sensibili, valuta come vi si accede, con quali controlli e quanto sono esposti. Google, nella documentazione di Security Command Center, la descrive come una vista della sicurezza centrata sui dati: quali dati sensibili hai, dove sono e se il loro uso rispetta i tuoi requisiti di sicurezza e di compliance.

La differenza sta nel punto di partenza. Gli altri strumenti partono dalle risorse (macchine, account, regole di rete) e chiedono se sono configurate bene. La DSPM parte dal dato e chiede: questo database contiene dati personali? Chi ci arriva? Da internet si vede?

Perché il problema esiste: i dati si spostano più veloci dell'inventario

Nel cloud una copia di dati costa un comando: un export per un'analisi, uno snapshot per un test, una tabella duplicata per un modello. Ogni copia nasce con le impostazioni di chi l'ha creata, spesso fuori dal processo della sicurezza. Wiz osserva che i shadow data creati in ambienti di sviluppo, database di staging o flussi di lavoro AI sfuggono spesso ai controlli standard e restano invisibili fino a dopo un incidente.

Tre dati di fonte primaria danno le proporzioni:

• I dati sono il bersaglio. Nel Cloud Threat Horizons Report H1 2026 di Google Cloud, basato sugli interventi Mandiant del secondo semestre 2025, gli attaccanti hanno puntato ai dati nel 73% degli incidenti legati al cloud.
• I dati sensibili sono spesso esposti. Wiz Research, nel Cloud Data Security Snapshot 2025, su centinaia di migliaia di account cloud analizzati, riporta che il 54% degli ambienti ha macchine virtuali o istanze serverless esposte che contengono informazioni sensibili, e il 72% ha database PaaS esposti pubblicamente senza controlli di accesso sufficienti. Sono misure di un vendor sulla propria base di ambienti, da leggere come ordine di grandezza.
• Non sapere cosa hai costa. Il comunicato IBM Italia sul Cost of a Data Breach Report 2026 indica in 3,55 milioni di euro il costo medio di una violazione in Italia, e tra i fattori che pesano di più mette la mancanza di visibilità sul numero e sull'ubicazione delle applicazioni (shadow IT), con 162.544 euro.

Come funziona una DSPM

1. Scoperta dei data store

La DSPM si collega agli account cloud e fa l'inventario dei posti dove possono stare dati: bucket e storage a oggetti, database gestiti, database installati su macchine virtuali, data warehouse, volumi, e sempre più spesso dataset usati per l'AI. Microsoft, nella documentazione di Defender for Cloud, sottolinea che la scoperta trova sia le risorse gestite sia quelle ombra.

2. Classificazione

Su ogni data store lo strumento cerca tipi di dato riconoscibili: dati personali, dati di pagamento, credenziali, documenti d'identità, più le categorie che definisci tu (codici cliente, proprietà intellettuale). Si lavora per campionamento, non leggendo tutto. Microsoft lo dichiara in modo esplicito: su uno storage seleziona i container che potrebbero contenere dati sensibili e campiona fino a 20 MB per file, sui database sceglie alcune tabelle e ne campiona tra 300 e 1.024 righe. E precisa che la scoperta potrebbe non rilevare tutti i tipi di dato, e che per un catalogo completo serve lo strumento di data governance dedicato.

3. Contesto: accessi ed esposizione

Un dato sensibile diventa un problema se il data store è raggiungibile da internet, se non è cifrato, se ci accede un ruolo con permessi troppo larghi o una macchina esposta con vulnerabilità note. Qui la DSPM incrocia la classificazione con configurazioni, identità e rete. Microsoft fa l'esempio dei percorsi di attacco che partono da macchine virtuali esposte su internet con accesso a data store sensibili. Il lavoro sui permessi lo abbiamo approfondito in CIEM cloud: cos'è e come tagliare i permessi eccessivi.

4. Priorità e correzione

Il risultato utile non è una mappa: è una lista corta di casi da chiudere, in ordine. Togliere l'accesso pubblico, restringere un ruolo, attivare la cifratura, cancellare una copia che non serve più. Come per la postura delle configurazioni, la correzione può essere guidata o automatica; quella automatica richiede permessi di scrittura, da concordare con chi amministra il cloud.

DSPM, CSPM e DLP: cosa cambia

• DSPM e CSPM. Wiz usa un'immagine semplice: il CSPM si occupa della scatola, cioè dell'infrastruttura, la DSPM del contenuto, cioè dei dati. Il CSPM segnala un bucket pubblico; la DSPM ti dice se quel bucket è vuoto o contiene l'anagrafica clienti. Sono complementari, e la seconda dà la priorità ai risultati del primo.
• DSPM e DLP. La data loss prevention lavora sui canali da cui i dati escono (posta, endpoint, web, applicazioni) e blocca o segnala un trasferimento. La DSPM guarda i dati dove sono archiviati e chiede se sono al posto giusto, con gli accessi giusti. La prima interviene sul movimento, la seconda sulla postura.

Cosa offrono già i cloud provider

• Amazon Macie scopre i dati sensibili con machine learning e pattern matching, tiene l'inventario dei bucket S3 e ne valuta sicurezza e controllo degli accessi, generando un avviso se per esempio un bucket diventa pubblico. Il perimetro documentato è Amazon S3. I risultati si possono inviare ad AWS Security Hub CSPM e ad Amazon EventBridge.
• Microsoft Defender for Cloud include la gestione della postura dei dati nei piani Defender CSPM e Defender for Storage: scoperta dei dati sensibili su più cloud, con il motore di classificazione di Microsoft Purview, e analisi dei percorsi di attacco verso i data store sensibili.
• Google Cloud Sensitive Data Protection monitora in continuo le risorse e genera profili con i tipi di dato previsti e i livelli di rischio e sensibilità. Copre BigQuery, Cloud SQL, Cloud Storage e Vertex AI, e anche bucket Amazon S3 e container Azure Blob Storage, e può inviare i profili a Security Command Center. Un'avvertenza per chi pianifica: la funzione DSPM di Security Command Center, secondo la documentazione Google aggiornata al 9 ottobre 2026, sarà dismessa il 1° febbraio 2027, e la pagina rimanda alle capacità di rilevamento alternative.

Su un solo cloud con pochi data store, lo strumento nativo è un buon punto di partenza.

DSPM e compliance: GDPR, NIS2, ISO 27001

La legge non chiede uno strumento con questo nome, ma chiede cose che senza sapere dove stanno i dati non si fanno.

GDPR

• L'art. 30 chiede un registro dei trattamenti che contiene, tra l'altro, le categorie di dati personali e, ove possibile, i termini ultimi previsti per la cancellazione. La DSPM è il controllo incrociato tra quel registro e quello che c'è davvero nel cloud, comprese le copie dimenticate.
• L'art. 25, par. 2 chiede che per impostazione predefinita «non siano resi accessibili dati personali a un numero indefinito di persone fisiche senza l'intervento della persona fisica». Un bucket pubblico con dati personali è esattamente questo caso.
• L'art. 33 fissa la notifica al Garante entro 72 ore, ove possibile, e chiede di descrivere anche «le categorie e il numero approssimativo di registrazioni dei dati personali in questione». Se una risorsa è stata esposta, sapere già cosa conteneva accorcia il lavoro di quelle 72 ore.

NIS2

L'art. 24, comma 2, del D.Lgs. 138/2024 elenca gli elementi minimi delle misure di sicurezza. Tra questi ci sono le «politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura» (lettera h) e la «sicurezza e affidabilità del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti» (lettera i). Sul perimetro cloud una DSPM produce evidenze su entrambe: quali dati sensibili sono cifrati e quali no, chi li raggiunge, quali data store esistono. Il quadro completo è in NIS2 e cloud: le misure su AWS, Azure e Google Cloud.

ISO/IEC 27001:2022

Nell'Annex A i controlli più vicini sono il 5.9 (Inventory of information and other associated assets), il 5.12 (Classification of information) e l'8.12 (Data leakage prevention). In audit la domanda tipica è come sai che la classificazione dichiarata corrisponde ai dati reali: uno strumento che scansiona i data store dà una risposta verificabile.

Come partire, in sei passi

1. Elenca account e progetti cloud, compresi quelli di sviluppo e test: è lì che nascono le copie.
2. Decidi cosa è sensibile per te. Le categorie del registro GDPR, i dati di pagamento, le credenziali, più quello che vale per il tuo business (progetti, listini, codice).
3. Fai una prima scansione con lo strumento nativo o con una piattaforma, sapendo che lavora per campioni.
4. Incrocia con esposizione e permessi. Parti dai data store con dati sensibili raggiungibili da internet o da identità con troppi permessi.
5. Chiudi i primi dieci casi e misura quanto tempo ci vuole: serve a pianificare il resto.
6. Allinea il registro dei trattamenti e i termini di conservazione con quello che hai trovato, e cancella le copie che non hanno più uno scopo.

Le domande da fare prima di scegliere

1. Copertura. Legge tutti i tuoi cloud e tutti i tipi di data store, compresi i database su macchine virtuali e i dataset AI?
2. Metodo. Come accede ai dati, con quali permessi, e i dati campionati restano nel tuo account o vengono copiati fuori?
3. Classificatori. Riconosce i formati italiani (codice fiscale, IBAN, partita IVA) e ti permette di aggiungere i tuoi?
4. Contesto. Incrocia i dati con esposizione, permessi e vulnerabilità, o restituisce solo un elenco di file sensibili?

In sintesi

In sintesi: la DSPM trova dove stanno i dati sensibili nel cloud, li classifica e li incrocia con esposizione e accessi, così che tra mille segnalazioni di configurazione emergano quelle che toccano dati veri. Serve a ridurre il rischio di violazione, a tenere allineato il registro GDPR e a documentare le misure NIS2 su cifratura, accessi e gestione dei beni. Su un solo cloud gli strumenti nativi sono un buon inizio; con più cloud e più copie serve un modello che tenga insieme dati, permessi e configurazioni.

AmagisTech è partner Wiz, una piattaforma che si collega ai cloud via API, senza agenti, e mette la classificazione dei dati nello stesso grafo di esposizione, permessi e vulnerabilità. Se vuoi sapere dove stanno i dati sensibili nel tuo cloud e chi li raggiunge, parti dalla fotografia del cloud con Wiz.