Non solo tecnologia: educare le persone alla cybersecurity

Le aziende oggi investono in sistemi di cybersecurity, hanno dei programmi di education, degli standard e delle procedure che aiutano a mantenere le informazioni sicure. Spesso, però, si tende a dimenticare che la prima linea di difesa è l’individuo, il singolo dipendente. E questo è un punto molto importante, che sta creando diverse criticità, come spiega Gastone Nencini, Country Manager Trend Micro Italia.

Nella prima metà del 2017, le truffe Business Email Compromise (BEC) sono state, infatti, una delle principali minacce alle aziende. Secondo uno studio dell’FBI, pubblicato a maggio, le perdite globali determinate da queste truffe hanno raggiunto, a partire dal 2013, i 5,3 miliardi di dollari. Purtroppo non c’è motivo di credere che questo fenomeno possa rallentare, inoltre molte aziende sono anche restie ad ammettere di aver subito attacchi per non incorrere in danni di reputazione e questo non aiuta a comprendere a pieno la portata reale del fenomeno, che va a colpire direttamente gli individui che lavorano nell’azienda. E secondo gli studi di Trend Micro, le figure maggiormente colpite sono quelle dei reparti finance/amministrazione, con in testa, ovviamente, il CFO.

 

Per rispondere alle minacce serve uno sforzo coordinato. La security richiede infatti una visione e delle policy, che devono essere insegnate. È il Chief Information Security Officer (CISO) che deve creare le policy e occuparsi delle fasi di education, oltre a stabilire il budget necessario a supportare lo sviluppo di queste policy.

Un programma di security inoltre, richiede degli standard che dovrebbero includere il set di controlli base e i processi per migliorare i controlli a seconda dei nuovi rischi. Il CISO guida i tecnici nello sviluppo di questi standard e lavora con l’IT e le HR per integrarli nei processi e nelle operazioni aziendali. Il team di security deve avere anche le procedure per rilevare un problema, gestire e rimediare alle conseguenze di una violazione e informare le parti interessate sul problema e la sua soluzione. I dipendenti devono inoltre essere informati ed avere consapevolezza dei rischi e dei possibili attacchi.

Quando si pensa a un programma di awareness si può utilizzare un modello per validarne l’efficacia. Si deve immaginare un dipendente della propria organizzazione camminare per gli uffici. All’improvviso, il dipendente vede qualcuno compiere un’azione sul proprio computer che potrebbe essere sbagliata. A questo punto, bisogna quindi farsi tre domande sul dipendente:

Il dipendente è a conoscenza se l’azione che ha visto era giusta o sbagliata?

Il dipendente potrebbe scegliere di avvisare qualcuno?

Se prendesse il telefono, saprebbe chi chiamare?

Se la risposta a tutte e tre le domande è “si”, il programma è efficace. Se c’è almeno un “no”, il programma di awareness fallisce.

Se il dipendente non è a conoscenza di ciò che determina un’azione sbagliata, non la riconoscerà infatti, non farà nulla e il programma fallirà. Questo è il cuore dell’awareness quando parliamo di security. Altro caso, se il dipendente riporta il problema ma la persona all’help desk non sa che cosa fare, il programma fallisce nuovamente. Questo è un test che valuta le procedure dell’azienda. Se un dipendente ha paura di denunciare un problema perché teme di essere declassato o di suscitare antipatie, è una questione che riguarda la cultura aziendale e in ogni caso determinerà un nuovo fallimento del programma.

Questi esempi dimostrano come i risultati di una strategia di security possano essere indipendenti dalle questioni tecnologiche. Soluzioni, prodotti e tecnologie sono importanti e necessarie ovviamente, ma senza il giusto livello di consapevolezza, la giusta cultura e i processi corretti, gli investimenti non saranno mai sufficienti.

Contenuti correlati

• 
  Rischi e pericoli dei dispositivi IoT obsoleti con Eset Italia

  Nel mondo digitale, una nuova minaccia si fa strada: i vecchi dispositivi IoT per cui non è previsto più il supporto diventano strumenti nelle mani di attori malintenzionati. A mettere all’erta sui rischi della tecnologia obsoleta è...
• 
  Cisco: ecco i 5 trend tecnologici del 2025

  2025, i trend tecnologici non sono semplici da individuare. Il panorama tecnologico che si prospetterà nei prossimi 12 mesi sarà sempre più complesso e dinamico. Se da una parte l’incertezza economica e i rapidi cambiamenti nei comportamenti...
• 
  Cisco State of Industrial Networking 2024: la sicurezza OT è una priorità assoluta

  Per l’86% delle aziende italiane è essenziale garantire conformità alla cybersecurity, con un buon 88% pronto a riconoscere l’importanza di avere una soluzione di cybersecurity unificata. Allo stesso tempo però solo il 40% considera l’intelligenza artificiale come...
• 
  Le previsioni di Unit 42: Il 2025 sarà l’anno della disruption

  Sam Rubin di Unit 42 di Palo Alto Networks analizza e condivide le tendenze di cybersecurity del 2025: “Anno delle interruzioni delle attività”, è questo il termine che contraddistinguerà il 2025, che si presenta come un periodo...
• 
  Investimenti digitali in Italia, +1,5% nel 2025 secondo gli Osservatori del PoliMi

  Nonostante l’incertezza economica, le aziende italiane confermano gli investimenti nel digitale, ritenuto essenziale per mantenere competitività. Secondo i dati della ricerca degli Osservatori Startup Thinking e Digital Transformation Academy del Politecnico di Milano, per il 2025 si...
• 
  Digitalizzazione, IoT e cybersecurity: il nuovo volto del mobile hydraulics

  Grazie alle tecnologie IoT, il comparto mobile hydraulics si dirige verso una continua integrazione tra automazione, connettività e gestione intelligente dei dati. Il settore mobile hydraulics sta attraversando una trasformazione senza precedenti. L’integrazione delle tecnologie IoT e...
• 
  Scuole e cybersecurity, ecco il patentino di cittadinanza digitale per gli studenti

  “Noi cittadini digitali” è la nuova iniziativa di education di Trend Micro indirizzata agli studenti delle scuole italiane in collaborazione con Junior Achievement Italia, parte di Junior Achievement Worldwide, la più vasta organizzazione non profit al mondo...
• 
  Mancano 5 milioni di esperti di cybersecurity – e adesso?

  ISC2, la principale organizzazione non-profit al mondo per i professionisti della sicurezza informatica, ha stimato che quest’anno la carenza di professionisti della cybersecurity raggiungerà quota 4,8 milioni, segnando una crescita del 19% su base annua. Il gap...
• 
  Non c’è innovazione senza cybersecurity: il caso Dolomiti Energia

  La cybersecurity è diventata una priorità per le aziende, da quando la tecnologia e l’innovazione hanno permeato i processi di produzione e di comunicazione. Da questa consapevolezza è nata la necessità del Gruppo Dolomiti Energia, a seguito...
• 
  Omron Europe ottiene la certificazione IEC 62443-4-1

  Il reparto di ricerca e sviluppo di Omron Europe BV ha ottenuto la certificazione per lo standard IEC 62443-4-1 sui requisiti per lo sviluppo sicuro dei prodotti durante il loro intero ciclo di vita. Questa certificazione, rilasciata dall’ente riconosciuto a...