Una delle maggiori minacce alla sicurezza delle informazioni proviene dall’interno dell’azienda. Gli “attacchi” che avvengono in questa modalità possono provenire da impiegati scontenti o infedeli, ma sempre più spesso da utenti “non informati”, che in una modalità non malevola rappresentano un problema per la sicurezza delle informazioni.
“I principali studi effettuati da diverse società indipendenti dimostrano che le persone sono l’anello più debole nell’attività di rendere sicuri i propri sistemi e reti”, spiega Massimo Turchetto, CEO&Founder di SGBox, azienda specializzata nell’analisi della correlazione di eventi e dei log, che si occupa di trasformare tutti i dati sulla sicurezza in “useful big data”.
Questi utenti non informati, con azioni semplici e apparentemente sicure come visitare siti web che sono però infettati da malware, rispondere ad e-mail di phishing o mantenere le proprie credenziali di accesso ai sistemi in una zona non sicura, possono procurare perdite di informazioni che risultano molto onerose per per tutte le aziende che possiedono dei dati sensibili, qualunque essi siano e qualunque dimensione abbia l’azienda, quale sia il suo mercato di applicazione o localizzazione geografica.
Un programma efficace di “awareness” e formazione a livello aziendale è fondamentale per assicurare la definizione e la comprensione delle proprie responsabilità di sicurezza, le policy organizzative e come proteggere in modo adeguato le risorse a esse assegnate. “Un programma di protezione che si affidi unicamente a figure quali i Security Manager non avrà molto successo”, aggiunge Turchetto. “La formazione del personale permette agli utenti di svolgere il proprio ruolo con la dovuta qualità, aiutandole a raggiungere le abilità e le conoscenze necessarie a individuare le moderne tecniche di “phishing” e le altre minacce alla sicurezza delle informazioni”.
La soluzione SGBox, un Sistema di Gestione delle Informazioni e degli Eventi di Sicurezza (SIEM), garantisce il controllo, la gestione e il monitoraggio ICT aggregato in maniera semplice e “smart”. L’approccio alla sicurezza delle informazioni deve essere strutturato e deve portare ad affiancare all’utilizzo di prodotti affidabili una definizione precisa dei processi come la formazione degli utenti.