Come ridurre il rischio umano nella tua organizzazione

Il rischio umano nella sicurezza informatica è una preoccupazione crescente: numerosi studi indicano che gli errori umani, sia intenzionali che accidentali, sono la causa principale delle violazioni della sicurezza. Secondo una ricerca dell’Università di Stanford e di Tessian, l’88% delle violazioni di dati è causato da errori dei dipendenti. Il coinvolgimento degli esseri umani nella catena della sicurezza informatica è un fattore di rischio significativo, poiché le organizzazioni hanno spesso prove aneddotiche dell’impatto degli errori umani sugli incidenti di sicurezza. Per mitigare in modo efficace queste minacce, le organizzazioni devono affrontare i rischi legati alla gestione delle risorse umane, affrontando le vulnerabilità non solo dei dipendenti ma anche dei non dipendenti.

Questa guida esplora i vari tipi di rischio umano all’interno di un’organizzazione e offre strategie per ridurli, con particolare attenzione alla costruzione di una forza lavoro sicura e resiliente.

Errare è umano: Definire il rischio umano

Definire cosa si intende per “errore umano” è importante per capire come ridurre al minimo il rischio di un errore di sicurezza legato all’uomo.

L’errore umano può essere classificato a grandi linee in due aree:

Supervisioni

Gli errori e le sviste capitano e quando accadono, la minaccia per un’organizzazione aumenta. Un esempio tipico di svista è l’invio accidentale di un’e-mail con informazioni sensibili alla persona sbagliata, ovvero l’errata consegna di un’e-mail.

Un altro esempio di svista è la configurazione errata di un componente del cloud come un database. Un altro ancora è pensare di poter condividere una password con un collega. Le sviste coprono l’area generale della gestione errata dei dati sensibili da parte dei dipendenti, che può portare a non conformità, multe e perdita di fiducia da parte dei clienti.

L’inganno

Le truffe di ingegneria sociale aumentano il rischio umano in un’organizzazione. Le truffe di social engineering, come le e-mail di phishing contenenti allegati o link dannosi, possono aumentare il rischio umano in un’organizzazione.

Un altro esempio di dipendente ingannato da un malintenzionato è la Business Email Compromise (BEC), una truffa con cui un criminale informatico induce i dipendenti a pagare fatture fraudolente. Se un dipendente viene ingannato o commette involontariamente un errore, il risultato può essere catastrofico. Il rapporto dell’unità di criminalità su Internet dell’FBI, IC3, sui crimini BEC, ad esempio, ha rilevato che le perdite dovute a BEC nel 2020 sono state pari a 1,8 miliardi di dollari.

Per una discussione più dettagliata sul ruolo dei dipendenti nella sicurezza informatica dell’organizzazione, consulta l’articolo Building a Human Firewall, che sottolinea l’importanza della formazione e della consapevolezza dei dipendenti nel creare una forte prima linea di difesa.

Cinque strategie per ridurre il rischio umano

Per ridurre i rischi legati alla gestione delle risorse umane, le organizzazioni possono implementare cinque strategie chiave per migliorare l’igiene della sicurezza e ridurre il rischio associato all’errore umano:

1) Rompere il ciclo del click

Le abitudini dei dipendenti, influenzate da un design UI/UX facile da usare, possono portare a compiere azioni incaute, come cliccare su link malevoli senza riflettere. Per contrastare questo fenomeno, i test di phishing controllati possono aiutare a modificare il comportamento dei clic, incoraggiando i dipendenti a essere più cauti nelle loro azioni.

2) Costruire una cultura della sicurezza

Il rischio informatico è affare di tutti. Quando costruisci una cultura della sicurezza informatica, devi concentrarti sulle aree che aumentano il rischio in un’azienda o in un processo, pur sapendo che possono esserci livelli di rischio diversi o variabili a seconda del reparto o addirittura del dipendente. Gli esercizi di creazione di una cultura della sicurezza informatica devono riflettere le esigenze granulari di un’azienda e, creando una cultura di consapevolezza della sicurezza informatica, puoi contribuire a ridurre i rischi attraverso la conoscenza.  

3) Supportare decisioni migliori

Molti errori umani che portano a un aumento del rischio informatico sono semplicemente errori di valutazione. L’errore umano copre un’ampia gamma di problemi che portano all’esposizione dei dati e ad altri incidenti di sicurezza. A volte si tratta semplicemente di non avere a disposizione le informazioni necessarie per prendere una buona decisione. A volte, invece, si tratta di creare delle strutture che impediscano di prendere una decisione sbagliata. L’igiene della sicurezza è un caso emblematico.

Una ricerca di Yubico ha rilevato che il 69% dei dipendenti condivide le password per facilitare l’accesso agli account. Per ridurre il rischio del fattore umano sul posto di lavoro, insegna al personale l’importanza di non condividere le password, e fai in modo di imporre l’uso dell’autenticazione a secondo fattore (2FA) in tutte le app che la supportano.

4) Igiene informatica per ridurre il rischio di errore umano

Insegnare ai dipendenti l’igiene informatica aggiunge peso alle questioni di igiene della sicurezza menzionate in precedenza. L’igiene informatica copre una serie di aree e include una politica di pulizia della scrivania che sia applicabile. Le migliori pratiche di igiene informatica riducono al minimo i rischi per la sicurezza online e mantengono i sistemi informatici in buona salute. Inoltre, contribuirà alla conformità con gli standard di sicurezza come l’ISO 27001.

La pratica dell’igiene informatica si estende dai dipendenti a un’attenzione generale alla salute dei sistemi IT; ciò include l’utilizzo di strumenti appropriati per monitorare le potenziali minacce, assicurarsi che i certificati digitali siano aggiornati, che le patch siano distribuite rapidamente e così via. Una buona pratica di igiene informatica consiste nel garantire che qualsiasi errore umano nella configurazione dei sistemi o nei processi aziendali venga colto prima di essere sfruttato.

Per ulteriori informazioni su come applicare l’igiene informatica e ridurre al minimo il rischio umano, consulta l’articolo Gestione del rischio umano nella sicurezza informatica: Salvaguardare la tua organizzazione con pratiche di igiene efficaci.

5) Rendi le persone parte del tuo approccio stratificato alla sicurezza

I dipendenti sono spesso la fonte di un aumento del rischio informatico, ma sono anche il luogo in cui un’organizzazione può ridurre il rischio del fattore umano. Assicurando che i dipendenti e i non dipendenti facciano parte di un approccio stratificato alla sicurezza informatica, la tua azienda può garantire un de-rischio olistico di “persone, processi e tecnologia”.

Coinvolgendo tutto il personale nella formazione, dall’amministratore delegato all’ultimo arrivato, coprirai tutte le lacune in cui i dati possono trapelare o in cui possono verificarsi incidenti di sicurezza.

Ridurre il rischio nella gestione delle risorse umane

Gli errori umani e l’ingegneria sociale rimangono tra le principali minacce alla sicurezza informatica di un’organizzazione. Tuttavia, adottando misure proattive – come la promozione di una solida cultura della sicurezza, la promozione dell’igiene informatica e l’integrazione dei dipendenti in un solido quadro di sicurezza – le organizzazioni possono ridurre significativamente i rischi legati alla gestione delle risorse umane. Una forza lavoro ben informata e impegnata è essenziale per trasformare la vulnerabilità umana in una risorsa strategica, rafforzando la resilienza complessiva dell’organizzazione alle minacce informatiche.

[faq_posts]