Un modo efficace per gestire le vulnerabilità dei fornitori esterni è quello di organizzare corsi di formazione sulla sicurezza informatica rivolti a questi ultimi.
L’ecosistema dei fornitori è parte integrante di molte organizzazioni e garantisce il successo dell’attività aziendale. Questo rapporto stretto, e spesso complesso, tra i fornitori ha creato delle falle che gli hacker sfruttano. La formazione sulla sicurezza con i fornitori esterni è estremamente importante.
La portata di queste vulnerabilità legate a terze parti è stata messa in luce da un sondaggio del 2020 condotto da Opinion Matters: l’indagine ha approfondito i problemi di sicurezza dell’ecosistema delle terze parti con CIO, CISO e responsabili degli acquisti. Uno dei risultati più preoccupanti del rapporto è stato che circa l’82% delle organizzazioni britanniche ha subito una violazione della sicurezza proveniente dall’ecosistema più ampio dei fornitori. Il sondaggio ha anche evidenziato che il Regno Unito è il Paese con la minore visibilità sulle vulnerabilità di sicurezza nella catena di fornitura.
Gestire le implicazioni in materia di sicurezza legate all’utilizzo di fornitori terzi
La formazione sulla consapevolezza in materia di sicurezza con i fornitori esterni è un processo olistico che coinvolge molti elementi in movimento. Data la complessità di questi sistemi, sia la divulgazione accidentale dei dati che gli attacchi informatici mirati alla catena di fornitura comportano gravi minacce alla sicurezza e un aumento del rischio aziendale.
Le aziende che si avvalgono di fornitori e altre terze parti sono in genere responsabili delle conseguenze di un attacco informatico, anche se la colpa è di una terza parte. Norme come la ISO 27001 e il PCI DSS (Payment Card Industry Data Security Standard) prevedono che tutti i rischi legati ai dati associati ai fornitori esterni vengano gestiti.
Uno studio recente dell’ENISA ha rilevato che il 58% degli attacchi mira a ottenere l’accesso ai dati, mentre il 62% degli attacchi si basa sulla manipolazione della fiducia dei clienti nella catena di approvvigionamento. Il rapporto dell’ENISA afferma che:
“Una protezione di sicurezza rigorosa non basta più alle organizzazioni, visto che gli hacker hanno già spostato la loro attenzione sui fornitori.”
Nel rapporto è stata inoltre sottolineata la scarsa efficacia della segnalazione degli incidenti, che ha quindi influito sulla visibilità delle vulnerabilità a tutti i livelli della catena.
Visto che le catene di approvvigionamento sono all’origine di così tanti attacchi informatici, è fondamentale concentrarsi sul lato umano della sicurezza informatica, assicurandosi che tutte le terze parti siano pienamente consapevoli delle sfide legate alla sicurezza. Affrontare la componente umana nell’equazione delle minacce alla sicurezza informatica significa ricorrere alla formazione sulla consapevolezza della sicurezza. Ma come fa un’organizzazione a gestire la formazione sulla consapevolezza della sicurezza con i fornitori esterni?
Domande importanti sulla gestione della formazione sulla sicurezza con i fornitori esterni
Gestire le vulnerabilità di sicurezza nella catena di fornitura dipende dalla formazione dei dipendenti lungo tutta la catena. La gestione della formazione sulla consapevolezza della sicurezza con i fornitori esterni e i dipendenti solleva diverse domande fondamentali:
La parte terza ha messo in atto un programma di formazione sulla sicurezza informatica?
Scopri se il tuo fornitore ha già un programma di formazione sulla sicurezza informatica. Tieni presente, però, che non tutti i programmi di questo tipo sono uguali. Il livello di formazione deve essere all’altezza delle aspettative della tua azienda. Verifica che la formazione venga svolta a intervalli regolari. Un pacchetto di formazione scadente, che non utilizza materiali didattici interattivi e coinvolgenti, potrebbe non riuscire a modificare i comportamenti scorretti dei dipendenti in materia di sicurezza.
Il fornitore ricorre a simulazioni di phishing e ad altre iniziative di sensibilizzazione sul phishing?
In un sondaggio del 2021 condotto da Thales, il phishing si è classificato al terzo posto tra le dieci principali preoccupazioni relative alle minacce ai dati. Il malware e il ransomware, spesso causati proprio dal phishing, occupavano rispettivamente il primo e il secondo posto.
Le simulazioni di phishing guidano i dipendenti attraverso esercizi automatizzati e accuratamente configurati. Col tempo, questo rafforza la sicurezza del personale nel saper riconoscere i segnali rivelatori del phishing e nel sapere come segnalare la minaccia. Chiedi al tuo fornitore se utilizza simulazioni di phishing e, in caso contrario, aiutalo a sviluppare un programma che simuli le tipiche truffe di phishing che colpiscono il tuo settore.
Valuta eventuali campagne di formazione sulla sicurezza già in atto con fornitori esterni
Una volta accertato che il fornitore dispone di un programma di formazione sulla consapevolezza della sicurezza, puoi valutarne l’efficacia verificando:
- Prove documentali relative alla formazione, ad esempio la partecipazione dei dipendenti alle sessioni formative, il tipo di domande poste dai partecipanti, ecc.
- Indicatori dell’efficacia della formazione, ad esempio: quanti dipendenti sono riusciti a riconoscere un messaggio di phishing e poi a segnalarlo?
Le metriche aiutano ad apportare modifiche mirate a un programma, che portano a risultati di allenamento ancora migliori.
E se il tuo fornitore esterno non utilizzasse corsi di formazione sulla sicurezza informatica?
È sempre più importante affrontare la componente umana del rischio informatico. Un altro rapporto dell’ENISA ha rilevato che il 95% delle e-mail di phishing richiede un intervento umano per dare il via a un’infezione da malware. Inoltre, bisogna considerare anche la minaccia rappresentata da dipendenti che agiscono inavvertitamente: il Verizon Data Breach Investigations Report del 2021 ha rilevato che il 22% degli incidenti di sicurezza ha coinvolto personale interno.
Il personale del fornitore deve essere formato secondo gli stessi rigorosi standard di sensibilizzazione alla sicurezza del personale della tua azienda. Per garantire ciò, l’Accordo sul Livello di Servizio (SLA) tra la tua azienda e il fornitore deve riflettere il livello di formazione che ti aspetti venga svolto. Questo accordo legale dovrebbe prevedere che i dettagli del programma di formazione sulla sicurezza siano approvati in base ai tuoi standard. Avere uno SLA in vigore, che includa una clausola relativa alla formazione sulla sicurezza, dimostra che il fornitore si impegna a garantire sia la propria sicurezza che la tua.
I fornitori esterni di qualità garantiscono un vantaggio competitivo, ma le vulnerabilità di sicurezza possono trasformare un ottimo fornitore in un problema.
I criminali informatici cercano l’anello più debole della catena: il fornitore e il suo personale. Per assicurarti che queste falle nella sicurezza della catena vengano mitigate, assicurati che la formazione sulla consapevolezza della sicurezza con i fornitori esterni venga gestita con attenzione, in modo da soddisfare le tue aspettative e i tuoi standard.