BLOG.ERREVI.COM

Nel World Economic Forum Global Risks Report del 2020, per il terzo anno consecutivo i Cyber-Risks sono stati collocati nella Top Ten dei Rischi Globali, alla stregua del cambiamento climatico, della crisi idrica e dei disastri naturali.  

Parliamo nello specifico di attacchi hacker che portano al furto di denaro e dati sensibili, nonché a interruzioni di infrastrutture critiche. La principale causa di tali rischi sembra sia stata riscontrata nella sempre più profonda penetrazione della tecnologia digitale in ogni aspetto della vita quotidiana delle persone.

Scopri le 5 mosse per proteggere i tuoi dati aziendali:
scarica l’infografica

Basti pensare alla crescita esponenziale dei dispositivi interconnessi e all’utilizzo dell’intelligenza artificiale all’interno dei processi di business, due fenomeni che hanno ampliato a dismisura la superficie d’attacco potenzialmente utilizzabile dai cyber-criminali.

È al contempo evidente che la cultura tecnologica non stia evolvendo di pari passo con la tecnologia stessa e che ci si trovi di fronte a un’evidente carenza di risorse umane specializzate nel mondo della cyber-security rispetto all’effettiva minaccia in essere.

Nell’ambito aziendale, questo si traduce in una non chiara definizione di una strategia di Cyber-Security e di una conseguente inefficacia delle politiche di sicurezza implementate.

Quali sono i fattori che rendono vulnerabili le aziende da un punto di vista informatico?

FATTORE #1: MANCATA INDIVIDUAZIONE DEGLI ASSET E DEI PROCESSI CRITICI

Il primo fattore è rappresentato dalla difficoltà di molte aziende nell’individuare gli asset e i processi davvero critici per la propria business continuity. Difficilmente, infatti, si può garantire la totale sicurezza e protezione dell’organizzazione. Per questo diventa fondamentale avere una visione d’insieme e domandarsi quali siano il cuore e i polmoni del business su cui concentrare le proprie attenzioni in termini di difesa.

FATTORE #2: ECCESSIVA CONCENTRAZIONE SULLA DIFESA DEL PERIMETRO A DISCAPITO DEGLI ALTRI ASSET 

Il secondo fattore è dato dall’attenzione che le aziende dedicano, in maniera sbilanciata, alla difesa del perimetro rispetto agli altri asset, ossia i dispositivi, le applicazioni e i dati stessi. Tra le aziende è spesso diffusa l’erronea convinzione che, acquisendo tutti i più recenti prodotti di sicurezza, ci si salvi da qualsivoglia attacco informatico. Le statistiche però provano quanto gli hacker siano in grado di affinare continuamente le proprie strategie e metodologie di attacco in modo da neutralizzare anche i più nuovi e avanzati firewall in commercio.

FATTORE #3: FALSA PERCEZIONE DELLA FONTE DEI PERICOLI 

In ultimo, tra i fattori di maggior rischio vi è la falsa percezione che il pericolo provenga esclusivamente dall’esterno, trascurando il fatto che ormai oltre 3/4 dei cyber-attack sia opera di dipendenti o collaboratori. Sono infatti questi ultimi ad avere quasi libero accesso ai dati più sensibili e a mettere in atto il più grande numero di violazioni informatiche, sia per dolo che per una scarsa consapevolezza e cultura informatica.

Per capire se la tua politica aziendale di cyber-security possa ritenersi davvero efficace, ecco quali sono le quattro principali domande che devi porti:

Domanda #1: ho una visione organica della security posture aziendale?

Le aziende devono avere un approccio olistico al tema che le porti ad avere una chiara e organica visione della propria security posture (ossia del livello di sicurezza) e a considerare tutti gli asset critici da proteggere, dal perimetro al dato, prima ancora di effettuare qualsiasi investimento in tecnologia che, se non opportunamente orchestrata, rischia di divenire un mero costo a fronte di una frammentata e inefficiente protezione.

Domanda #2: sto attuando le corrette iniziative di cyber security?

È importante inoltre bilanciare correttamente le iniziative di “defense” (come firewall, antivirus, etc.), che mirano perlopiù a “barricare” le mura aziendali, e quelle di “offense” (come vulnerability assessment, penetration test, etc.), volte cioè a verificare l’efficacia di quanto messo in campo permettendo di mitigare le maggiori vulnerabilità a cui si è potenzialmente soggetti.

Domanda #3: i miei dipendenti sono preparati a riconoscere e fronteggiare gli attacchi?

È bene inoltre aver presente che promuovere una cultura condivisa della cyber-security  in azienda è il primo e più importante passo da compiere per avviare una corretta strategia di sicurezza. Rendere le persone consapevoli delle minacce a cui sono esposte e a cui espongono l’azienda attraverso le loro azioni, nonché fornire loro i giusti strumenti per reagire, trasforma una potenziale vulnerabilità nella migliore delle difese.

Domanda #4: sto attuando la cosiddetta segregation of duties?

In ultimo, per ridurre il rischio di fallimento della propria strategia di cyber security, è fondamentale che l’azienda pratichi la cosiddetta “segregation of duties” ossia, letteralmente, la “separazione delle funzioni”, suddividendo cioè i compiti tra più attori (fornitori, partner) con l’obiettivo di:

1. 1. prevenire conflitti di interesse (reali o apparenti), atti illeciti, frodi, abusi ed errori;
   2. individuare errori di controllo che comprendono violazioni della sicurezza, furto di informazioni e l’elusione dei controlli di sicurezza stessi.