Ogni giorno vengono scoperte falle nei sistemi che portano alla perdita e alla caduta in mano criminale di dati sensibili, per questo è importante offrire soluzioni che conciliano la crescente domanda di protezione con la flessibilità nel deployment, nella gestione e nei costi garantiti dal cloud. È infatti innegabile che le aziende hanno intrapreso il proprio viaggio verso la nuvola, come vedremo, per due ragioni principali e tale percorso deve essere messo al sicuro.
Dal punto di vista economico il cloud consente un sostanziale abbattimento dei costi fissi sul parco macchine, sia dal punto di vista hardware che software. L’utilizzo dei servizi cloud è molto più flessibile dal punto di vista anche contrattuale rispetto alle soluzioni tradizionali e consente anche un minor utilizzo di risorse per la manutenzione, che vengono delegate al provider dei servizi.
Da un punto di vista tecnico, oltre alla scalabilità delle risorse, il cloud rende possibile un accesso da remoto e in mobilità indipendentemente dal dispositivo che si utilizza. Il cloud permette di erogare risorse in maniera on demand. Consente una distribuzione migliore delle risorse e di ottimizzare maggiormente gli investimenti. La fruibilità stessa delle tecnologie, quindi, sarà inevitabilmente sempre più veloce e il cloud permetterà una scalabilità e una flessibilità che prima non era possibile, portando innumerevoli vantaggi.
Focus cloud security
In tale contesto, le aziende devono considerare la sicurezza come un fattore abilitante del cloud e quindi delle nuove tecnologie.
Proprio per questo Trend Micro ha un particolare focus sul cloud. L’azienda, che già supporta gli utenti nella protezione dei prodotti e servizi di big player nella nuvola e virtualizzazione come Microsoft Office 365 o Azure, le soluzioni di VMware e Amazon Web Services, ma anche GoogleDrive e Dropbox, continuerà a espandere le proprie collaborazioni per proteggere i principali provider di servizi cloud e i loro utenti, utilizzando, a sua volta, sempre più il cloud per fornire sicurezza, per andare incontro alle esigenze reali delle aziende, sia PMI che Enterprise, sviluppando l’offerta in modalità software-as-a-service cloud based. Gli utenti avranno anche il vantaggio di essere seguiti e controllati dagli esperti del vendor, senza avere la necessità di un responsabile di sicurezza interno: usufruendo di un servizio di sicurezza as-a-service le aziende possono infatti fare affidamento su Trend Micro o un suo partner per la gestione di tutti gli aspetti legati alla security. Le aziende oggi investono in sistemi di cybersecurity e hanno dei programmi di education, degli standard e delle procedure che aiutano a mantenere le informazioni sicure. Spesso, però, si tende a dimenticare che la prima linea di difesa è l’individuo, il singolo dipendente. E questo è un punto molto importante, che sta creando diverse criticità.
Le responsabilità del CISO e l’importanza della consapevolezza individuale
Who's Who
Gastone Nencini
“Nella prima metà del 2017 – ha dichiarato Gastone Nencini, Country Manager Trend Micro Italia – le truffe Business Email Compromise (BEC) sono state una delle principali minacce alle aziende. Secondo uno studio dell’FBI, pubblicato a maggio, le perdite globali determinate da queste truffe hanno raggiunto, a partire dal 2013, i 5,3 miliardi di dollari. Purtroppo non c’è motivo di credere che questo fenomeno possa rallentare, inoltre molte aziende sono restie ad ammettere di aver subito attacchi per non incorrere in danni di reputazione e questo non aiuta a comprendere la portata reale del fenomeno, che va a colpire direttamente gli individui che lavorano nell’azienda. E secondo diversi studi Trend Micro, le figure maggiormente colpite sono quelle dei reparti finance/amministrazione, con in testa, ovviamente, il CFO”.
Per rispondere alle minacce serve uno sforzo coordinato. La security richiede infatti una visione e delle policy, che devono essere insegnate. È il Chief Information Security Officer (CISO) che deve creare le policy e occuparsi delle fasi di education, oltre a stabilire il budget necessario a supportare lo sviluppo di queste policy.
Un programma di security inoltre, richiede degli standard che dovrebbero includere il set di controlli base e i processi per migliorare i controlli a seconda dei nuovi rischi. Il CISO guida i tecnici nello sviluppo di questi standard e lavora con l’IT e le HR per integrarli nei processi e nelle operazioni aziendali. Il team di security deve avere anche le procedure per rilevare un problema, gestire e rimediare alle conseguenze di una violazione e informare le parti interessate sul problema e la sua soluzione. I dipendenti devono inoltre essere informati e avere consapevolezza dei rischi e dei possibili attacchi.
Nello specifico, quando si pensa a un programma di awareness per i dipendenti si può utilizzare un modello per validarne l’efficacia. Si deve immaginare un dipendente della propria organizzazione camminare per gli uffici. All’improvviso, il dipendente vede qualcuno compiere un’azione sul proprio computer che potrebbe essere sbagliata.
A questo punto, bisogna quindi farsi tre domande sul dipendente:
- Il dipendente è a conoscenza se l’azione che ha visto era giusta o sbagliata?
- Il dipendente potrebbe scegliere di avvisare qualcuno?
- Se prendesse il telefono, saprebbe chi chiamare?
Se la risposta a tutte e tre le domande è “si”, il programma è efficace. Se c’è almeno un “no”, il programma di awareness fallisce.
Se ancora il dipendente non è a conoscenza di ciò che determina un’azione sbagliata, non la riconoscerà infatti, non farà nulla e il programma fallirà. Questo è il cuore dell’awareness quando parliamo di security.
Altro caso, se il dipendente riporta il problema ma la persona all’help desk non sa che cosa fare, il programma fallisce nuovamente. Questo è un test che valuta le procedure dell’azienda. Se un dipendente ha paura di denunciare un problema perché teme di essere declassato o di suscitare antipatie, è una questione che riguarda la cultura aziendale e in ogni caso determinerà un nuovo fallimento del programma.
Questi esempi dimostrano come i risultati di una strategia di security possano essere indipendenti dalle questioni tecnologiche. Soluzioni, prodotti e tecnologie sono importanti e necessarie ovviamente, ma senza il giusto livello di consapevolezza, la giusta cultura e i processi corretti, gli investimenti non saranno mai sufficienti.
