Sviluppare una cultura della conformità è importante tanto quanto creare una cultura aziendale all’interno delle organizzazioni. Aziende come Equifax e Capital One finiscono sotto i riflettori dei media quando i dati di cui sono responsabili vengono divulgati; tuttavia, le fughe di dati possono assumere forme diverse e avere entità di ogni tipo. Una delle più dannose è la fuga accidentale di dati causata da un dipendente. Le conseguenze di una simile esposizione dei dati possono essere enormi per un’organizzazione, poiché la perdita di dati sensibili non solo è imbarazzante e danneggia la reputazione, ma può anche compromettere la tua posizione in materia di conformità e comportare pesanti multe.
Creare una “cultura della conformità alla sicurezza informatica” può aiutarti a evitare che la tua azienda finisca nelle statistiche sulla non conformità; ecco come e perché.
Quando gli insider onesti finiscono per diventare cattivi senza volerlo
Molti settori sono afflitti dal semplice problema degli incidenti e degli errori causati dall’uomo, come una configurazione errata di un database o l’invio per sbaglio di un’e-mail riservata. Questi eventi legati alla sicurezza informatica sono, purtroppo, fin troppo comuni: il rapporto “Data Breach Investigations Report 2021” di Verizon ha rilevato che il 22% degli incidenti di sicurezza è stato causato da personale interno.
Alcune minacce interne possono certamente avere intenzioni malevole, ma anche quelle accidentali possono comunque avere un impatto enorme sulla situazione di conformità di un’azienda – come dimostra il caso dell’Australian National University. Un membro senior dello staff dell’università ha accidentalmente divulgato 700 MB di dati che includevano nomi, indirizzi, codici fiscali, coordinate bancarie e così via. L’incidente è avvenuto quando una campagna di spear-phishing, che ha preso di mira decine di indirizzi e-mail del personale dell’ANU, ha permesso agli hacker di accedere alla rete tramite un nome utente e una password con privilegi.
Le email inviate per sbaglio sono un’altra causa comune di fughe di dati. È facile sbagliare l’invio di un’email: usare il campo “cc” invece di “bcc” è un modo comune per condividere accidentalmente informazioni sensibili. È successo nel 2020 a Sonos, quando un dipendente ha accidentalmente reso pubblici più di 450 indirizzi e-mail aggiungendo gli indirizzi dei clienti nel campo “cc” invece che in “bcc” mentre rispondeva ai reclami dei clienti. L’incidente è stato segnalato all’ICO da un cliente danneggiato che si trovava nella lista “cc”.
Un modo efficace per contrastare questo comportamento è far capire ai dipendenti l’impatto che possono avere semplici incidenti o email di phishing sulla conformità di un’organizzazione. Se fatto bene, questo coinvolgimento dei dipendenti sulle questioni di conformità porterà a una cultura coerente in materia di sicurezza informatica.
Come creare una cultura della conformità in materia di sicurezza informatica
La formazione sulla conformità richiede una comprensione delle leggi e delle normative che riguardano la tua organizzazione. Queste normative si integrano perfettamente con la sicurezza informatica quando si tratta di leggi sulla protezione dei dati, come il Regolamento sulla protezione dei dati del Regno Unito (DPA2018) e il Regolamento generale sulla protezione dei dati dell’UE (GDPR). Sensibilizzare i dipendenti sulla conformità è la strada giusta per creare una cultura della conformità in materia di sicurezza informatica.
L’uso della parola “cultura” è importante. Una cultura aziendale comprende idee, usanze e, soprattutto, comportamenti. Il comportamento umano è alla base di molte violazioni accidentali dei dati, specialmente quelle legate al phishing. La tentazione di cliccare è forte negli esseri umani, dato che siamo stati condizionati a usare i computer in un certo modo, sia a casa che al lavoro. Rompere questo schema e sostituirlo con una cultura aziendale basata sulla conoscenza e sulla comprensione di come la sicurezza informatica e la conformità interagiscono tra loro è un processo che parte dai vertici e si diffonde in tutta l’organizzazione.
5 passi per creare una cultura della conformità che tenga conto della sicurezza informatica:
- Investi nella sicurezza e nella conformità: promuovi e incoraggia il cambiamento necessario per sensibilizzare tutti sulle aspettative in materia di conformità. Ciò richiederà un investimento in termini di tempo, risorse e fondi; è necessario un impegno a livello di consiglio di amministrazione per costruire questa cultura della conformità.
- Crea un programma di conformità coinvolgente per promuovere un cambiamento culturale: una cultura della conformità in materia di sicurezza informatica abbatte le barriere e i comportamenti radicati. Per superare questi comportamenti bisogna farlo in modo divertente e coinvolgente. Organizza sessioni di formazione che coinvolgano attivamente sia i dipendenti che i dirigenti.
- Fai in modo che tutti capiscano bene cosa significa la conformità: le persone non possono cambiare o seguire una politica se non capiscono perché gli viene chiesto di fare qualcosa. Spiega ai tuoi dipendenti il perché e il come dei requisiti di conformità. Crea un programma di conformità efficace che definisca il loro ruolo nel garantire la sicurezza dei dati e il rispetto delle norme.
- La sicurezza e la conformità riguardano tutti: costruire una nuova cultura della conformità è un’esperienza condivisa. Il tuo programma deve riflettere questo approccio. Tutte le parti della tua organizzazione sono partner alla pari nella costruzione della cultura della conformità in materia di sicurezza informatica. Tuttavia, non tutti gli aspetti della cultura della conformità hanno la stessa importanza, e i programmi dovrebbero essere personalizzati in base ai reparti specifici. Ad esempio, il reparto Risorse Umane potrebbe dover prestare maggiore attenzione all’invio errato di e-mail, mentre il reparto IT potrebbe dover concentrarsi maggiormente sulla configurazione errata di database e server. Tutti dovrebbero essere informati sui requisiti delle normative e delle politiche di conformità che si applicano al tuo settore e alla tua area geografica.
- Feedback e miglioramento continuo della cultura aziendale: le normative cambiano, le persone dimenticano ciò che hanno imparato durante la formazione e i sistemi vengono aggiornati. Costruire una cultura della conformità che abbracci la sicurezza informatica e gli sforzi di conformità non è un’attività da fare una volta sola. Il programma deve essere aggiornato e implementato regolarmente. Un modo per verificare la tua cultura della sicurezza informatica e della conformità è ascoltare i tuoi dipendenti. Questo aiuta anche a rafforzare il loro coinvolgimento nella costruzione di quella cultura e a garantire la conformità.
I nostri dipendenti sono i principali responsabili dei dati che le nostre organizzazioni generano, condividono, archiviano ed eliminano. Il tuo personale deve essere consapevole delle conseguenze delle proprie azioni sulla conformità aziendale e del ruolo che svolge nel mantenerla. Però, non basta limitarsi a trasmettere il messaggio!
Per cambiare comportamenti e convinzioni radicati, la cultura della conformità deve diventare un valore fondamentale che rispecchi le esigenze poste dalle moderne minacce alla sicurezza informatica e dai requisiti normativi in materia di protezione dei dati; e, come tutti i cambiamenti culturali, questo può essere efficace solo se chi ne è coinvolto lo accetta davvero.