Quando si parla di attacchi informatici e di possibili perdite di dati aziendali il primo pensiero che corre alla mente di qualsiasi manager o capitano d’impresa è: speriamo che non capiti a noi. Speranza vana, visto che l’incremento esponenziale delle iniziative opportunistiche ha trasformato quello che prima era effettivamente un rischio relativamente poco probabile in una vera e propria roulette russa.
Oggi, non esistono aziende che possono dirsi lontane dal mirino dei cybercriminali, e il 2021 – secondo l’ultima edizione del Data Breach Investigations Report di Verizon – è stato un anno senza precedenti nella storia della sicurezza informatica: rispetto al 2020 gli attacchi ransomware sono aumentati del 13%. Si tratta una crescita maggiore di quanto registrato durante l’ultimo quinquennio, ma non basta: il 62% degli incidenti di System Intrusion si è verificato a cavallo della supply chain, tramite compromissioni delle reti dei partner logistici.
Da non sottovalutare, infine, il fatto che il 25% delle violazioni totali rilevate nel 2021 è stato il risultato di attacchi di social engineering e che, se si aggiungono l’errore manuale e l’uso improprio dei software, il fattore umano è all’origine dell’82% delle violazioni analizzate nell’ultimo anno.
“In questo senso non ci sono antivirus che tengano, e se l’awareness rimane uno degli strumenti più efficaci per bloccare gli attacchi informatici, il personale opportunamente formato è quello che offre migliore protezione al business”. A parlare è Mirko Rinaldi, CTO di Quanture, azienda di consulenza informatica specializzata nella fornitura di servizi dedicati all’implementazione e alla gestione di infrastrutture, datacenter, architetture ITaaS, oltre che all’ottimizzazione del network aziendale e alla cybersecurity avanzata.
Cybersecurity: i tre pilastri dell’awareness
Secondo Rinaldi, oggi un approccio alla sicurezza informatica capace prima di ogni altra cosa di mettere al centro le persone deve basarsi essenzialmente su tre pilastri. “Innanzitutto bisogna garantire la presenza di strumenti che facilitino azioni di prevenzione e risposta, fungendo da deterrenti per gli attacchi generici e da cura per quelli specifici andati a buon fine”, spiega Rinaldi.
Il secondo pillar è legato all’istituzione di procedure e meccanismi che, consentendo alla popolazione aziendale di reagire con tempestività a eventuali violazioni e perdite di dati, la aiutino a ripartire e a ripristinare la normale operatività. Terzo, ma non per importanza, la formazione per l’appunto.
“Ormai le soluzioni digitali sono radicate in tutti i rami di qualsiasi azienda, anche quelli che fino a pochissimo tempo fa non hanno mai avuto a che fare con l’IT propriamente detto”, rimarca Rinaldi. “Ecco perché è necessario che tutti – proprio tutti – i collaboratori siano formati accuratamente sui pericoli che possono incontrare lungo il cammino. La consapevolezza dei rischi che si corrono operando con le nuove tecnologie è di fatto il primo scudo dell’organizzazione”.
Identificare le vulnerabilità dell’azienda e il livello di readiness dei collaboratori
Del resto, tornare indietro non è possibile. L’opportunità di vivere e lavorare all’interno di ambienti virtuali in cui tutto può e deve essere disponibile su qualunque device e raggiungibile da qualsiasi luogo non è più percepita come negoziabile e, da quando si è affermata la logica as-a-service introdotta dal cloud, i vantaggi nella gestione delle architetture IT sono diventati evidenti anche per chi in azienda tiene i lacci della borsa. “Il rovescio della medaglia è che tutto diventa raggiungibile anche da soggetti poco raccomandabili. Ecco perché le risorse devono essere disponibili, ma protette”.
L’assessment è il primo passo per valutare il livello effettivo di protezione degli asset e mettere in evidenza le immancabili lacune presenti all’interno di qualunque azienda. Lo scopo è certificare le potenziali vulnerabilità e porvi rimedio, verificando poi la bontà di ciascun intervento con penetration test e iniziative di ethical hacking.
“Ma è sui comportamenti dell’utente finale che bisogna lavorare con più attenzione”, dice Rinaldi. “Anche rispetto a quest’ambito esistono strumenti e piattaforme ad hoc per condurre campagne benevole, dal classico phishing a tentativi di intrusione più raffinati, attraverso, per esempio, SMS e telefonate con richieste di informazioni sensibili. Somministrare programmi del genere è fondamentale per misurare il livello di consapevolezza dei colleghi e fornire una formazione adeguata caso per caso. Come per qualsiasi altro aspetto professionale, infatti, esistono diversi gradi di readiness: troveremo così persone più mature che capiscono e riconoscono immediatamente i rischi, e altre più sensibili ad attacchi anche banali. Una volta identificate le varie esigenze, si potranno prevedere percorsi formativi mirati, nel tentativo di raggiungere un livello soddisfacente e uniforme di consapevolezza”.
Formazione e strumenti a misura di hybrid work
Per la configurazione che sta assumendo il mondo del lavoro nell’era dell’hybrid work, però, bisogna tener conto di un elemento di complessità in più: come alimentare l’awareness e promuovere la proattività dei collaboratori rispetto alla segnalazione di eventuali anomalie in presenza di modelli organizzativi sempre più decentralizzati e polverizzati?
“Soprattutto per chi di mestiere non si occupa di IT, è fondamentale poter contare su user experience semplici e appaganti, sia nelle fasi di formazione a distanza, sia nell’attivazione di strumenti di notifica agganciati alle piattaforme di collaboration”, dice Rinaldi. “Penso a un operatore di fabbrica che si trova nella situazione di dover condividere un alert su una potenziale minaccia a un team di security che in quel momento lavora da remoto. Tutto deve essere estremamente chiaro e il più possibile standardizzato, per consentire a utenti finali e sistemi di comunicare mediante lo stesso linguaggio” spiega il CTO di Quanture.
“Questo significa, per esempio, fare leva su soluzioni integrate con gli strumenti aziendali, creare flussi e procedure coerenti che aiutino anche end user non esperti a instradare la notifica verso la posizione e la persona corrette. Non dimentichiamoci che quando si parla di attacchi cyber non basta segnalare azioni sospette, è fondamentale riuscire a individuare con precisione il problema e prendere decisioni rapidamente. Perché anche una risposta tardiva può avere un effetto negativo sull’efficacia delle azioni di mitigazione delle minacce”.
Due strategie per massimizzare l’awareness
Per massimizzare l’attenzione dei collaboratori, a prescindere dal ruolo che ricoprono nell’organizzazione e dal canale che utilizzano per connettersi ai network aziendali, e sfruttare realmente l’awareness come strumento per bloccare gli attacchi informatici, Rinaldi suggerisce l’adozione di due strategie.
“La prima è quella della gamification, utile non solo per aumentare l’engagement su temi spesso considerati noiosi, ma anche per migliorare costantemente la misurazione dei risultati e la crescita di consapevolezza di ciascun individuo, garantendo inoltre che ogni utente acceda sempre a programmi di formazione tarati sul suo effettivo livello di preparazione”.
La seconda è quella della chiamata a raccolta del top management, che dovrebbe sponsorizzare qualsiasi iniziativa volta a migliorare l’awareness. “Davanti al monitor, del resto, ci sono persone, lavoratori, ed è giusto che sappiano a cosa vanno incontro, anche sul fronte professionale ed economico, quando non si usano correttamente gli strumenti informatici”, dice Rinaldi.
“I nostri interlocutori sono solitamente CIO e CISO, ma tendiamo a coinvolgere sempre di più anche gli owner di processo. Siamo convinti che la consapevolezza dei rischi legati al digitale debba permeare in maniera trasversale tutti i reparti dell’azienda, e questo diventa possibile solo nel momento in cui i vari team sono consapevoli fino in fondo di cosa accade quando il business subisce un’interruzione. Solo la cultura della cybersecurity può prevenire determinate problematiche e chi governa il business, determinandone le politiche e le scelte strategiche, deve avere ben chiaro che a volte basta un click sbagliato per causare un fermo produttivo anche grave”.
