Conosci le principali minacce informatiche e vuoi capire come difende la tua Impresa?
In questo articolo ti propongo delle riflessioni per proteggerti da alcune delle più comuni minacce informatiche.
Se già non lo conosci, visita il mio articolo sulle principali tipologie di minacce informatiche per aziende.
Premessa
La sicurezza informatica ha come scopo la riduzione delle probabilità di subire attacchi a sistemi informatici e di mitigarne le eventuali conseguenze.
Nel corso di un attacco informatico, infatti, gli attaccanti usano la superficie su cui si sviluppa l’azienda (per semplicità potremmo ridurla alla rete aziendale) per avanzare terreno fino ad avere il totale controllo dei suoi dati e sistemi.
Disporre di soluzioni molto rigide, consente all’azienda di difendersi efficacemente, tuttavia piò essere anche uno svantaggio per la quotidiana operatività dell’azienda.
É per questo motivo che il compito della Cyber Security è anche quello di bilanciare le misure messe in atto, in modo da raggiungere un equilibrio tra loro efficacia e agilità nell’utilizzo quotidiano del sistema.
In modo molto semplice, si pensi alla protezione di un cassetto che deve essere aperto con regolarità.
Disporre di soluzioni per blindare il cassetto, seppure possa rendere la vita scomoda agli aggressori, rende allo stesso tempo difficoltoso fargli svolgere la mansione per cui è stato pensato e progettato.
In generale, è vero che tanto più è importante per noi proteggere il cassetto, tanto più saremo disposti – e in un certo senso forse anche obbligati – ad adottare misure stringenti, a scapito della sua usabilità.
Sicurezza Informatica in azienda
Quando ci riferiamo al tema della sicurezza informatica, dobbiamo necessariamente considerare il concetto di triade informatica.
Essa prende in esame 3 grandezze:
- Disponibilità (Availability): le informazioni sono accessibili e utilizzabili in ogni momento. Questo implica garantire la disponibilità dei servizi e dei dati (agli utenti autorizzati) in qualsiasi momento.
- Confidenzialità (Confidentiality): le informazioni sono accessibili solo a coloro che hanno il diritto di accedervi. Ciò significa proteggere i dati da accessi non autorizzati o da letture non richieste;
- Integrità (Integrity): le informazioni non vengono alterate in modo indesiderato (o non autorizzato) da sistemi e applicazioni.
Nel contesto industriale, la triade della cyber security dovrebbe in realtà essere arricchita da un quarto fattore, sempre più importante per le implicazioni dei paradigmi Industria 4.0 (sto parlando del controllo delle macchine).
Ora ci concentreremo solo nell’accezione “tradizionale”, rimandando il lettore ad un prossimo approfondimento.
Per gestire il rischio di violazione informatica, l’attenzione degli Utenti dovrebbe garantire elevati livelli di confidenzialità, integrità e disponibilità delle informazioni. Ciò è possibile attraverso misure di prevenzione e protezione, dove:
- Prevenzione, intende tutte le misure che riducono la probabilità di accadimento di un evento dannoso.
- Protezione, tutte le misure atte alla riduzione degli effetti del cyber attacco.
Nel prossimo paragrafo vediamo gli strumenti per una valida implementazione.
Buone pratiche e strumenti a supporto per la tua azienda
Per far fronte ai pericoli cibernetici è possibile ricorrere a strumenti e buone pratiche come gli standard e i framework di sicurezza. Il ricorso a questi protocolli, o l’insieme di prassi consolidate consente alle organizzazioni di contenere il rischio di subire un attacco informatico.
Un esempio di framework disponibile il NIST Cyber Security Framework che aiuta a valutare, sviluppare e migliorare continuamente le proprie capacità di sicurezza informatica.
Analogo strumento è il Framework Nazionale per la Cyber Security e la Data Protection, disponibile anche in lingua italiana (seppure datato 2019).
Documenti analoghi possono essere reperiti in rete in base alle esigenze dell’azienda, che può scegliere quello più adatto al proprio caso.
Noto che esistono questi indispensabili strumenti di protezione e prevenzione, ancor più giustificati in caso di elevata necessità di sicurezza, c’è da dire che l’applicazione per intero di questi Framework, nel caso di piccole organizzazioni può essere difficile.
Questo non dovrebbe scoraggiare una qualsiasi impresa che vuole ricorrere a queste soluzioni, tuttavia avere a disposizione un’idea per gettare le basi della sicurezza informatica, può contribuire a costruire una solida struttura di protezione e prevenzione delle violazioni informatiche.
Nel prossimo paragrafo vediamo proprio come è possibile difendersi ricorrendo a buone pratiche, rimandando ancora una volta all’interesse del lettore gli approfondimenti specifici sull’utilizzo degli strumenti tecnico-operativi.
Cyber Security in azienda: come iniziare?
Alcune delle misure convenzionali di protezione e prevenzione prendono in considerazione semplici azioni come:
- aggiornamento costante dei sistemi informatici;
- ricorso a strategie di backup (esempio regola 3-2-1);
- utilizzo di sistemi software anti-malware, firewall di rete;
- impiego di sistemi di prevenzione e rilevamento delle intrusioni;
- gestione delle politiche di accesso e di privilegi;
- …
L’adozione di tutte queste pratiche consente alle aziende di muovere il primo passo verso una politica più solida e strutturata di gestione della Sicurezza Informatica.
L’obiettivo principale è adottare un approccio multi-livello e multi-modalità in grado di compensare le fallacità di ciascuna soluzione, proteggendo in modo sinergico i possibili punti di attacco.
Per fare un esempio, ecco come si può pensare un approccio di questo tipo:
In questa rappresentazione, la linea difensiva nasce a livello dati, mediante crittografia degli stessi.
Anche in caso di violazione, questi risulterebbero infatti protetti e complessi da decifrare.
All’ultimo livello interdire l’accesso fisico alla struttura da proteggere ne garantisce invece la sua incolumità.
Tra i due estremi, la strategia provvederà invece a:
- prevenire scalate dei privilegi attraverso metodi di autenticazione robusta e modelli gerarchici di gestione degli accessi (ad esempio il principio del “minimo livello di privilegio”);
- prevenire vulnerabilità ignote attraverso aggiornamento e correzione di bug di sistema (in gergo tecnico si parla di “patch” come vere e proprie “toppe” messe a punto dagli sviluppatori);
- limitare gli accessi a livello della rete stessa, ad esempio segregandola logicamente o fisicamente;
- proteggere i confini della rete con soluzioni perimetrali e rilevamento/prevenzione delle intrusioni;
- …
Le soluzioni a disposizione sono davvero tante, ma focalizzarsi su un unica modalità di difesa, rischia di essere controproducente.
Gestire la Sicurezza Informatica nella tua azienda
Per far fronte alla complessità di un approccio alla gestione della sicurezza informatica, avere a disposizione un professionista incaricato di occuparsi integralmente degli aspetti di sicurezza della tua organizzazione può essere un valido modo per assicurarti di non tralasciare nessuno aspetto.
Tra le possibilità che ci sono, è interessante sapere che esistono dei servizi come i Test di Penetrazione o gli Audit e gli Assessment di sicurezza che consentono di incaricare esperti di sicurezza per testare le capacità della tua azienda di resistere ad un attacco informatico.
Questi strumenti hanno come fine quello di scoprire in comune accordo i punti deboli di ogni organizzazione per migliorarli di conseguenza, e per definire un piano di sicurezza informatica in grado di colmare i gap rispetto a standard attesi.
Nella definizione della strategia ottimale di difesa dai pericoli informatici, la classica modalità di gestione del rischio terrà quindi in considerazione a titolo d’esempio:
- definizione e mappatura dei rischi aziendali in termini di cyber sicurezza;
- definizione e mappatura delle responsabilità, dei ruoli e delle autorizzazioni di tutti gli stakeholder;
- identificazione dei possibili scenari di pericolo e modalità di accadimento;
- definizione degli interventi ex-post e delle soglie di intervento;
- …
Questo approccio consente di avere ben chiare le procedure da intraprendere per prevenire e proteggersi dalle vulnerabilità (conoscendo ad esempio “chi può fare cosa”, “chi ha fatto cosa” e “chi deve fare cosa”, i possibili scenari dopo un attacco, i processi strategici e i punti deboli, …)
Sarà dunque possibile difendersi, facilitare la ricostruzione sia degli eventi che della struttura dopo il danno subito, etc.
Il fattore umano nella Sicurezza Informatica delle Aziende
Uno degli aspetti maggiormente trascurato dalle aziende è forse quello della formazione del personale.
Sebbene infatti esistano molti modi per limitarne l’incidenza del fattore umano sui rischi della cyber sicurezza come:
- regolamentazione dell’uso dei dispositivi aziendali al di fuori e all’interno dell’organizzazione;
- politiche di utilizzo dei dispositivi removibili;
- gestione delle credenziali di accesso per singolo operatore;
- …
Va considerato che l’anello debole della catena è sempre l’uomo e fornire adeguata formazione ai propri dipendenti costituisce un investimento che nel lungo termine è disposto a ripagare notevolmente la spesa sostenuta.
In questo modo, infatti è possibile sviluppare una competenza in termini di sicurezza informatica in grado di proteggere anche nei punti più fallaci l’organizzazione quali il contributo dell’essere umano alla fallacità dei sistemi informatici.
Come comportarsi? Il consiglio è attuare campagne di formazione e informazione su materie sensibili come la privacy e la sicurezza. L’obiettivo è sensibilizzare sulle modalità di attacco, sulle tipologie di minacce (guarda il mio articolo sulle principali minacce informatiche se sei interessato a conoscere quali sono), e sulle relative implicazioni.
Condurre vere e proprie simulazioni (ad esempio simulando attacchi di phishing) può essere un’idea interessante soprattutto quando si vuole coinvolgere in maniera attiva i dipendenti.
- Hai mai pensato a un contest per la creazione del migliore messaggio di phishing?
- Come reagirebbero i tuoi colleghi alla simulazione di uno scenario di attacco e relativo danno?
- Cosa rende ostili, o al contrario avvicina particolarmente i tuoi dipendenti al tema della sicurezza informatica?
Pensa anche a queste domande quando valuterai il tuo infallibile piano di sicurezza informatica per la tua azienda.
Sarà in questo modo che si consolideranno le basi per un sistema aziendale solido in grado oltre che di resistere, anche di promuove una vera e propria cultura aziendale basata sulla sicurezza.
Conclusioni
Prima di concludere ricorda che la sicurezza informatica, così come ogni altro ambito legato alla sicurezza, non rappresenta mai un traguardo ma una vera e propria cultura: un processo in costante aggiornamento e revisione.
Quanto sarà necessario investire in sicurezza informatica sarà un aspetto che ogni organizzazione potrà valutare in base alle sue necessità, ma iniziare oggi rappresenta il vero passo per fare la differenza.
Qual è la tua visione sul tema? Fammelo sapere qui sotto!
