Come configurare l’accesso in scrittura alle unità rimovibili non protette da BitLocker in Windows

Anche se vengono montate come dispositivi di sola lettura, le autorizzazioni delle unità non protette da BitLocker possono essere modificate. Questo può aumentare l’accessibilità, migliorare la sicurezza o semplificare i flussi di lavoro. Ti mostriamo come configurare l’accesso in scrittura alle unità rimovibili non protette da BitLocker e ti forniamo alcuni consigli per gestirle e metterle in sicurezza.

Come configurare l’accesso in scrittura per le unità senza BitLocker

Ecco i diversi metodi per configurare l’accesso alla tua unità non crittografata.

Tramite l’Editor Criteri di gruppo

Segui questi passaggi per modificare l’accesso in scrittura a un’unità rimovibile non protetta da BitLocker usando l’Editor Criteri di gruppo:

1. Apri l’Editor Criteri di gruppo locali premendo Win + R, digitando “gpedit.msc” e facendo clic su OK.
2. Nel riquadro di sinistra, raggiungi la cartella Unità dati rimovibili seguendo questo percorso:

Configurazione del computer → Modelli amministrativi → Componenti di Windows → Crittografia unità BitLocker → Unità dati rimovibili

3. Nel riquadro di destra, fai doppio clic su Nega accesso in scrittura alle unità rimovibili non protette da BitLocker.
4. Per abilitare l’accesso in scrittura, seleziona Non configurato (l’impostazione predefinita) o Disabilitato, quindi fai clic su OK. Per disabilitare l’accesso in scrittura, seleziona Abilitato e fai clic su OK.

Se vuoi applicare questa policy a utenti o gruppi specifici, crea una console Microsoft Management Console (MMC) personalizzata che li includa. Da questa MMC puoi configurare il loro accesso in scrittura alle unità rimovibili seguendo i passaggi descritti sopra.

Tramite l’Editor del Registro di sistema (regedit)

Ecco i passaggi per consentire o negare l’accesso in scrittura alle unità USB e ad altre unità rimovibili in Windows usando l’Editor del Registro di sistema:

1. Apri l’Editor del Registro di sistema premendo Win + R, digitando “regedit” e premendo Invio.
2. Raggiungi una cartella specifica seguendo questo percorso:

HKEY_LOCAL_MACHINE → SOFTWARE → Policies → Microsoft → Windows → RemovableStorageDevices → {53f5630d-b6bf-11d0-94f2-00a0c91efb8b}

3. Crea un nuovo valore DWORD a 32 bit e chiamalo Deny_Write.
4. Assegna uno dei seguenti dati valore prima di fare clic su OK:

• • 0 — Abilita l’accesso in scrittura
  • 1 — Disabilita l’accesso in scrittura

5. Chiudi l’Editor del Registro di sistema e riavvia il computer.

Anche se occupa solo quattro byte, ogni valore DWORD nel Registro di sistema di Windows è determinante per il corretto funzionamento del tuo OS. Per questo è essenziale assegnare ai valori DWORD i nomi e le funzioni corretti, ovvero vero (1) o falso (0).

Tramite i Criteri di sicurezza locali

Puoi usare i Criteri di sicurezza locali per disabilitare o abilitare l’accesso in scrittura USB per le unità rimovibili non protette da BitLocker.

1. Apri la console Criteri di sicurezza locali premendo Win + R, digitando “secpol.msc” e premendo Invio.
2. Raggiungi la cartella Accesso archiviazione rimovibile seguendo questo percorso:

Configurazione del computer → Modelli amministrativi → Sistema → Accesso archiviazione rimovibile

3. Nella colonna Criterio, fai doppio clic sul criterio Dischi rimovibili: nega accesso in scrittura per modificarlo.
4. Nella colonna Impostazione di sicurezza, fai clic con il pulsante destro e seleziona Abilitato per negare l’accesso in scrittura oppure Disabilitato per consentirlo.
5. Chiudi la console e riavvia il computer.

Per vedere i passaggi di configurazione e verifica, puoi guardare questo breve video: “Come configurare l’accesso in scrittura alle unità rimovibili non protette da BitLocker in Windows”.

Test e verifica della configurazione dell’accesso in scrittura alle unità rimovibili

Come verificare se la policy è stata applicata correttamente

Dopo aver configurato le impostazioni di sicurezza delle unità rimovibili in Windows, puoi controllare se sono state applicate correttamente.

1. Collega la tua unità rimovibile (ad esempio una chiavetta USB o una scheda SD) al computer.
2. Apri Esplora file. Fai clic con il pulsante destro sull’unità e scegli Proprietà.
3. Fai clic sulla scheda Sicurezza. In Utenti e gruppi, scegli l’utente o il gruppo a cui si applica questa impostazione o policy.
4. Nella finestra delle autorizzazioni sottostante, a seconda del tipo di accesso che hai impostato, dovrebbe (o non dovrebbe) essere presente un segno di spunta nella colonna Consenti accanto a “Scrittura”.

Puoi anche usare la finestra Utenti e gruppi per selezionare utenti o gruppi diversi e confrontare le loro impostazioni di sicurezza: ad esempio, per verificare se un gruppo ha accesso in scrittura alle unità rimovibili mentre un altro no.

Risoluzione dei problemi più comuni quando l’impostazione non ha effetto

Se lo stato di “sola lettura” di un’unità non cambia dopo aver configurato l’accesso in scrittura alle unità rimovibili, prova una di queste soluzioni:

• Controlla se è presente un interruttore fisico: le chiavette USB e le schede SD hanno di solito un interruttore a scorrimento per bloccare o sbloccare l’accesso in scrittura. Se la tua unità ne è dotata, assicurati che sia nella posizione corretta.
• Controlla lo spazio di archiviazione dell’unità: quando lo spazio libero si esaurisce, l’unità passa automaticamente alla modalità “sola lettura”. In tal caso, trasferisci i file dell’unità e fai un backup prima di configurare l’accesso in scrittura.
• Controlla la presenza di virus: virus o malware presenti sull’unità rimovibile possono disabilitare l’accesso in scrittura (e persino in lettura) a quell’unità. Per sicurezza, analizza l’unità con il programma antivirus del computer e gestisci o rimuovi tempestivamente eventuali minacce.

Considerazioni su sicurezza e conformità nella configurazione dell’accesso in scrittura alle unità rimovibili

Per ridurre i rischi di sicurezza legati all’abilitazione dell’accesso in scrittura su un’unità rimovibile non protetta da BitLocker, tieni conto delle seguenti considerazioni e misure in materia di sicurezza e conformità.

Come ridurre le minacce alla sicurezza (ad esempio malware e trasferimenti di dati non autorizzati)

• Sfrutta al massimo il programma antivirus del tuo dispositivo. Attiva la protezione in tempo reale, configura un firewall e analizza regolarmente dispositivo e unità alla ricerca di possibile malware.
• Aggiorna costantemente i tuoi dispositivi. Questo vale non solo per il software del computer, ma anche per i driver dei tuoi supporti di archiviazione rimovibili.
• Presta attenzione ai file sconosciuti o sospetti presenti sull’unità. Evita di aprirli direttamente. Analizza invece l’unità e segui le azioni suggerite dal tuo strumento antivirus.

BitLocker e policy per le unità rimovibili

Che cos’è BitLocker?

BitLocker è una caratteristica di sicurezza integrata in Windows che protegge l’unità dagli accessi non autorizzati tramite la crittografia dei dati. Senza la chiave e/o la password corretta per decrittografare l’unità, i dati al suo interno appaiono illeggibili e risultano inaccessibili a terzi. BitLocker è particolarmente utile quando un’unità viene smarrita, rubata o dismessa.

Come BitLocker protegge le unità rimovibili

La crittografia unità BitLocker si applica anche ai supporti di archiviazione rimovibili grazie alla caratteristica BitLocker To Go. È adatta a chiavette USB, schede SD, dischi rigidi esterni e altre unità formattate con NTFS, FAT16, FAT32 o exFAT. Come per le unità fisse, BitLocker crittografa i dati presenti sul dispositivo rimovibile e ti chiede di creare una password oppure di salvare una chiave di ripristino generata, così da poter accedere nuovamente ai dati.

Rischi legati alla concessione dell’accesso in scrittura su unità non protette

Se da un lato configurare l’accesso in scrittura su un’unità non crittografata riduce i passaggi necessari per modificarne i dati, dall’altro espone l’unità a numerosi rischi di sicurezza, tra cui:

• Furto di dati: i dati sensibili, come documenti personali e finanziari, possono essere facilmente sottratti o persino modificati a tua insaputa da utenti non autorizzati.
• Eliminazione accidentale: un uso poco attento dell’accesso in scrittura può portare a eliminare per errore file o cartelle importanti, con poche possibilità di recuperarli.
• Diffusione di malware: con un accesso in scrittura senza restrizioni, la tua unità può diventare il veicolo di malware introdotto da malintenzionati, fisicamente o digitalmente.

Impostazioni di Criteri di gruppo e registro per gestire l’archiviazione rimovibile

Quando diversi utenti finali di un’organizzazione archiviano dati di lavoro sensibili su unità USB, configurare correttamente l’accesso in lettura e/o scrittura a queste unità è fondamentale per la cybersecurity dell’organizzazione. I professionisti IT possono gestire questo accesso tramite i Criteri di gruppo e le impostazioni del registro, per i quali servono privilegi di amministratore.

Best practice per le organizzazioni che gestiscono le policy sull’archiviazione rimovibile

Per le organizzazioni e gli ambienti enterprise in cui si gestiscono spesso supporti di archiviazione esterni con dati sensibili, le best practice per gestire le autorizzazioni delle unità rimovibili in Windows includono quanto segue:

• Assicurati che le policy giuste si applichino agli utenti e ai gruppi giusti. Concedere l’accesso in scrittura su unità non crittografate a utenti non autorizzati può causare la perdita o la gestione impropria di dati di lavoro importanti.
• Imposta l’accesso in “sola lettura” come impostazione predefinita e disattiva l’esecuzione automatica. Per quanto possibile, l’accesso in scrittura alle unità rimovibili dovrebbe essere riservato a chi dispone di privilegi di amministratore. Inoltre, disattivare l’esecuzione automatica impedisce ai programmi dannosi di avviarsi automaticamente quando un’unità viene collegata a un computer.
• Promuovi una conservazione sicura delle unità rimovibili. Ricorda agli utenti finali di riporre chiavette, schede SD e dischi esterni in luoghi freschi e protetti, come casseforti o cassetti chiusi a chiave.

Implicazioni in materia di conformità (ad esempio GDPR, HIPAA, raccomandazioni NIST)

La conformità a determinate autorità e normative sulla corretta gestione dei dati è necessaria, sia che tu abbia abilitato sia che tu abbia disabilitato l’accesso in scrittura alle unità rimovibili non protette da BitLocker. Tra queste normative rientrano:

• GDPR — Secondo l’articolo 5(e) del GDPR (General Data Protection Regulation) relativo alla limitazione della conservazione, i dati personali trattati a fini di archiviazione, ricerca o statistica non devono essere conservati a tempo indeterminato, ma solo per il tempo in cui risultano utili. Questo serve a tutelare la privacy e la sicurezza dei titolari dei dati.
• HIPAA — La Parte 164.310 della Security Rule dell’Health Insurance Portability and Accountability Act (HIPAA) sottolinea che i soggetti che trattano informazioni sanitarie elettroniche protette (ePHI) devono adottare misure per tutelare il trasporto, l’uso e la gestione di dispositivi e supporti contenenti ePHI. Tra queste misure rientrano un backup dei dati e una conservazione adeguati.
• NIST — La Special Publication 800-88 del National Institute of Standards and Technology (NIST) definisce linee guida complete per la “sanificazione” di diversi tipi di supporti elettronici, inclusa la “protezione [dei dati] da . . . tecniche di recupero . . . tramite i comandi standard di lettura e scrittura verso il dispositivo di archiviazione”.

Misure di sicurezza alternative per le unità rimovibili non crittografate

Per proteggere le unità rimovibili, usa i programmi e gli strumenti giusti per bloccarle e crittografarle. Ecco alcune azioni che puoi intraprendere per garantire che le tue unità rimovibili (o quelle di altri utenti finali) siano al riparo dai malintenzionati.

Applicare la crittografia BitLocker a tutte le unità rimovibili

Il metodo più affidabile è probabilmente usare la caratteristica di crittografia nativa di Windows, in particolare BitLocker To Go, per i supporti di archiviazione rimovibili. Gli utenti possono leggere e scrivere sulle unità protette da BitLocker utilizzando le password e le chiavi di ripristino necessarie per decrittografarle. Se BitLocker non fa per te, usa strumenti di crittografia di terze parti per tenere le tue unità rimovibili sotto chiave.

Implementare policy di prevenzione della perdita di dati (DLP)

Una volta applicate, le policy DLP individuano e proteggono i dati sensibili – dalle informazioni personali ai dati finanziari – su più endpoint, offrendo un ulteriore livello di sicurezza. Queste policy possono essere personalizzate in base agli obiettivi e alle risorse della tua organizzazione, oltre che ai tipi di dati che vuoi proteggere da soggetti non autorizzati e attaccanti.

Monitorare gli accessi all’archiviazione rimovibile con il Visualizzatore eventi di Windows

Infine, puoi usare il Visualizzatore eventi di Windows per documentare manualmente gli accessi alle unità rimovibili seguendo questi passaggi:

1. Apri il Visualizzatore eventi di Windows facendo clic sul pulsante Start, digitando “visualizzatore eventi” e selezionando Visualizzatore eventi.
2. Nel riquadro di sinistra, all’interno della cartella Registri di Windows, fai clic su Sicurezza.
3. Usa i seguenti ID evento per tenere traccia dei tentativi di lettura e scrittura riusciti o non riusciti sulle unità rimovibili:

• • Evento 4663 — Operazione riuscita
  • Evento 4656 — Operazione non riuscita

In base a questi log puoi creare o modificare, dove opportuno, le policy sull’accesso in scrittura all’archiviazione rimovibile per gli endpoint.

Quando consentire o limitare l’accesso in scrittura alle unità rimovibili non protette

Stabilire a chi concedere l’accesso in scrittura alle unità rimovibili può dipendere dalla struttura, dagli obiettivi e dal flusso di lavoro dell’organizzazione (che può essere semplificato quando questo accesso viene concesso, anche per supporti non protetti). Ricorda sempre che si tratta di un’azione che comporta rischi significativi, tra cui una maggiore esposizione dei dati sensibili a furti e usi impropri.

A meno che consentire l’accesso in scrittura a unità non protette non sia assolutamente necessario, consigliamo vivamente di proteggere tutti i supporti di archiviazione rimovibili con BitLocker o con un altro strumento di crittografia di terze parti e di aggiornare costantemente le policy di archiviazione per gli utenti e i gruppi interessati.