Il rischio umano nella sicurezza informatica è una preoccupazione crescente: numerosi studi indicano che gli errori umani, intenzionali o accidentali, sono la causa principale delle violazioni della sicurezza. Secondo una ricerca dell'Università di Stanford e di Tessian, l'88% delle violazioni di dati è causato da errori dei dipendenti. Il coinvolgimento degli esseri umani nella catena della sicurezza informatica è un fattore di rischio significativo, poiché le organizzazioni hanno spesso prove aneddotiche dell'impatto degli errori umani sugli incidenti di sicurezza. Per mitigare efficacemente queste minacce, le organizzazioni devono affrontare i rischi legati alla gestione delle risorse umane, affrontando le vulnerabilità non solo dei dipendenti ma anche dei non dipendenti.
Questa guida esplora i vari tipi di rischio umano all'interno di un'organizzazione e offre strategie per ridurli, con particolare attenzione alla costruzione di una forza lavoro sicura e resiliente.
Errare è umano: Definire il rischio umano
Definire cosa significa "errore umano" è importante per capire come minimizzare il rischio di un errore di sicurezza legato all'uomo.
L'errore umano può essere ampiamente classificato in due aree:
Sviste
Gli errori e le sviste capitano, e quando accadono, la minaccia per un'organizzazione aumenta. Un tipico esempio di svista è l'invio accidentale da parte di un dipendente di un'email con informazioni sensibili alla persona sbagliata, alias, errata consegna di un'email.
Un altro esempio di svista è la configurazione errata di un componente del cloud come un database. Un altro ancora, è pensare che sia giusto condividere una password con un collega. Le sviste coprono l'area generale della cattiva gestione dei dati sensibili da parte dei dipendenti che può portare a non conformità, multe e perdita di fiducia dei clienti.
Inganno
Le truffe di social engineering aumentano il rischio umano in un'organizzazione. Le truffe di social engineering, come le e-mail di phishing contenenti allegati o link dannosi, possono aumentare il rischio umano in un'organizzazione.
Un altro esempio di dipendente ingannato da un malintenzionato è la Business Email Compromise (BEC), una truffa con cui un criminale informatico induce i dipendenti a pagare fatture fraudolente. Se un dipendente viene ingannato o commette involontariamente un errore, il risultato può essere catastrofico. Il rapporto dell'unità di criminalità su Internet dell'FBI, IC3, sui crimini BEC, ad esempio, ha rilevato che le perdite dovute a BEC nel 2020 sono state pari a 1,8 miliardi di dollari.
Per una discussione più dettagliata sul ruolo dei dipendenti nella sicurezza informatica dell'organizzazione, si rimanda all'articolo Human Firewall: cos'è un Human Firewall e come costruirne uno?, che sottolinea l'importanza della formazione e della consapevolezza dei dipendenti nella creazione di una forte prima linea di difesa.
Cinque strategie per ridurre il rischio umano
Per ridurre i rischi legati alla gestione delle risorse umane, le organizzazioni possono implementare cinque strategie chiave per migliorare l'igiene della sicurezza e ridurre il rischio associato all'errore umano:
1) Rompere il ciclo del clic
Le abitudini dei dipendenti, influenzate da un design UI/UX di facile utilizzo, possono portare ad azioni incaute, come cliccare su link dannosi senza riflettere. Per contrastare questo fenomeno, i test di phishing controllati possono contribuire a modificare il comportamento dei clic, incoraggiando i dipendenti a essere più cauti nelle loro azioni.
2) Costruire una cultura della sicurezza
Il rischio informatico è affare di tutti. Quando si costruisce una cultura della sicurezza informatica, è necessario concentrarsi sulle aree che aumentano il rischio in un'azienda o in un processo, pur essendo consapevoli del fatto che possono esistere livelli di rischio diversi o variabili a seconda del reparto o persino del dipendente. Gli esercizi di costruzione della cultura della sicurezza informatica devono riflettere le esigenze granulari di un'azienda e, creando una cultura di consapevolezza della sicurezza informatica, si può contribuire a ridurre il rischio attraverso la conoscenza.
3) Sostenere decisioni migliori
Molti errori umani che portano a un aumento del rischio informatico sono semplicemente errori di valutazione. L'errore umano copre un'ampia gamma di problemi che portano all'esposizione dei dati e ad altri incidenti di sicurezza. A volte si tratta semplicemente di non avere a disposizione le informazioni necessarie per prendere una buona decisione. A volte, invece, si tratta di mettere in atto delle strutture che impediscano di prendere una decisione sbagliata. L'igiene della sicurezza è un caso emblematico.
Una ricerca di Yubico ha scoperto che il 69% dei dipendenti condivide le password per facilitare l'accesso agli account. Per eliminare il rischio del fattore umano al lavoro, insegnate al personale l'importanza di non condividere le password, e sostenetelo imponendo l'uso di un secondo fattore di autenticazione (2FA) a qualsiasi app che supporti 2FA.
4) Igiene informatica per ridurre il rischio di errori umani
Insegnare ai dipendenti l'igiene informatica aggiunge peso alle questioni di igiene della sicurezza menzionate in precedenza. L'igiene informatica copre una serie di aree e include una politica di pulizia della scrivania che sia applicabile. Le migliori pratiche di igiene informatica ridurranno al minimo i rischi per la sicurezza online e manterranno i sistemi informatici in buona salute. Inoltre, contribuirà alla conformità con gli standard di sicurezza come l'ISO 27001.
La pratica dell'igiene informatica si estende dai dipendenti a un'attenzione generale alla salute dei sistemi IT; ciò include l'utilizzo di strumenti appropriati per monitorare le potenziali minacce, assicurando che i certificati digitali siano aggiornati, che le patch siano distribuite rapidamente e così via. Una buona pratica di igiene informatica consiste nel garantire che qualsiasi errore umano nella configurazione dei sistemi o nei processi aziendali venga colto prima di essere sfruttato.
Per ulteriori informazioni su come applicare l'igiene informatica e ridurre al minimo il rischio umano, consultare l'articolo Human Risk Management: gestione del rischio umano nella cybersicurezza.
5) Rendi le persone parte del tuo approccio a strati alla sicurezza
I dipendenti sono spesso la fonte di un aumento del rischio informatico, ma sono anche il luogo in cui un'organizzazione può ridurre il rischio del fattore umano. Assicurando che i dipendenti e i non dipendenti facciano parte di un approccio stratificato alla sicurezza informatica, la vostra azienda può garantire un de-rischio olistico di "persone, processi e tecnologia".
Coinvolgendo tutto il personale nella formazione, dall'amministratore delegato alla persona di più recente nomina, si coprono tutte le lacune in cui i dati possono trapelare o in cui possono verificarsi incidenti di sicurezza.
Riduzione del rischio nella gestione delle risorse umane
Gli errori umani e l'ingegneria sociale rimangono tra le principali minacce alla sicurezza informatica di un'organizzazione. Tuttavia, adottando misure proattive - come la promozione di una solida cultura della sicurezza, la promozione dell'igiene informatica e l'integrazione dei dipendenti in un solido quadro di sicurezza - le organizzazioni possono ridurre significativamente i rischi legati alla gestione delle risorse umane. Una forza lavoro ben informata e impegnata è essenziale per trasformare la vulnerabilità umana in una risorsa strategica, rafforzando la resilienza complessiva dell'organizzazione alle minacce informatiche.
