La formazione sulla consapevolezza in materia di sicurezza è un metodo di prevenzione delle minacce informatiche da cui le società di servizi finanziari possono trarre vantaggio. Ecco una panoramica dei motivi principali per cui dovresti ricorrere a questa forma di formazione se fai parte di un’organizzazione che opera nel settore dei servizi finanziari.
Il settore dei servizi finanziari ha vissuto una massiccia trasformazione digitale negli ultimi anni. Il settore sta adottando nuove tecnologie per garantire una migliore esperienza ai clienti e ottimizzare le operazioni.
Tuttavia, la trasformazione digitale ha fatto sì che il settore diventasse anche un bersaglio per i criminali informatici: un sondaggio sulla sicurezza informatica del 2020, condotto tra i CISO e i CIO del settore dei servizi finanziari, ha rilevato che il 65% delle grandi organizzazioni finanziarie aveva subito un attacco informatico nei 12 mesi precedenti. Un altro rapporto, questa volta della Boston Consulting, ha rilevato che il settore finanziario ha subito fino a 300 volte più attacchi informatici rispetto ad altri settori.
Formazione cybersecurity per servizi finanziari
L’hacker non è più quel ragazzo con la felpa con cappuccio che vive nel seminterrato dei suoi genitori. Al contrario, bande di hacker sofisticate, spinte da motivi economici e a volte sostenute dallo Stato, stanno rendendo il crimine informatico alla portata di tutti.
Sul dark web si trovano facilmente e a prezzi bassissimi modelli di business che offrono strumenti di hacking “as-a-Service”. Questi strumenti, uniti alle competenze di ingegneria sociale sempre più affinate dei criminali informatici, hanno portato a una vera e propria ondata di attacchi informatici. Aggiungi a tutto questo il lavoro da remoto o da casa e capirai che le condizioni per le minacce informatiche sono davvero favorevoli.
Il Covid-19 ha aperto gli occhi alle organizzazioni di tutto il mondo, visto che le truffe che sfruttavano la paura legata alla pandemia si sono moltiplicate. Queste truffe, rivolte soprattutto ai dipendenti, usavano tecniche di phishing legate al Covid-19 per rubare credenziali di accesso o dati personali, oppure per convincere un dipendente a installare software dannoso (come il ransomware). Con il cambiare del mondo del lavoro, le tattiche di phishing e l’ingegneria sociale rimangono le armi preferite dei cybercriminali intenzionati a fare danni.
Le conseguenze dell’ingegneria sociale e del phishing sono molto costose. Un rapporto del 2021 di Sophos ha rilevato che le aziende di servizi finanziari di medie dimensioni spendono circa 2 milioni di dollari per riprendersi da un attacco ransomware; si tratta di una cifra superiore alla media globale di 1,85 milioni di dollari. Il rapporto sottolinea inoltre che il 34% delle organizzazioni di servizi finanziari ha subito un attacco ransomware nel 2020.
La formazione sulla sicurezza informatica è una risposta efficace alle tecniche di ingegneria sociale usate dagli hacker.
I vantaggi della formazione sulla sicurezza informatica per il settore dei servizi finanziari
Per impedire ai criminali informatici di approfittare dei dipendenti tramite tecniche di ingegneria sociale e phishing, le aziende possono ricorrere alla formazione sulla sicurezza informatica. Nel settore dei servizi finanziari, partecipare a un programma di sensibilizzazione offre cinque vantaggi chiave:
Cambia il comportamento di sicurezza da negativo a positivo
Truffatori, criminali informatici, imbroglioni: qualunque sia il nome che usi per descrivere queste attività losche, tutte si concentrano sul comportamento umano. La sensibilizzazione alla sicurezza serve proprio a cambiare i comportamenti scorretti in materia di sicurezza, per creare un approccio positivo alla sicurezza aziendale.
Promuovere comportamenti positivi in materia di sicurezza serve a sensibilizzare il personale sui pericoli del social engineering. La formazione sulla consapevolezza approfondisce anche gli errori che possono portare alla divulgazione dei dati: questo è importante se pensi che, secondo i risultati dell’EC-Council, il 64% dei casi di perdita di dati è attribuibile a dipendenti che “avevano buone intenzioni”.
La formazione sulla consapevolezza della sicurezza spiega ai dipendenti di tutta l’organizzazione quanto sia importante la sicurezza. Un programma di formazione efficace istruirà il personale usando contenuti interattivi e coinvolgenti sui trucchi e le truffe informatiche, oltre a proporre esercitazioni di simulazione di phishing che insegnano ai dipendenti come riconoscere i messaggi di phishing. Una formazione sulla consapevolezza della sicurezza continua ed efficace crea un circolo virtuoso, incoraggiando il personale a gestire gli attacchi alla sicurezza.
Blocca sul nascere i truffatori del BEC
Il ransomware fa forse scalpore sui giornali, ma il Business Email Compromise (BEC) colpisce un numero maggiore di aziende. Secondo i dati del 2020 dell’Internet Crime Complaint Center ( IC3) dell’FBI , il BEC colpisce quattro volte più aziende rispetto al ransomware. Le società di servizi finanziari sono a rischio di frodi BEC tanto quanto qualsiasi altra organizzazione.
Un articolo pubblicato nel 2020 da BankInfoSecurity ha descritto in dettaglio diversi casi di frodi BEC, tra cui uno che ha coinvolto una banca con sede negli Stati Uniti. In questa banca, un dipendente ha ricevuto un’e-mail da truffatori che si spacciavano per l’amministratore delegato della banca. L’e-mail chiedeva al dipendente di effettuare con urgenza un bonifico già programmato di 1 milione di dollari. Il messaggio includeva una modifica delle coordinate bancarie, specificando che ciò era dovuto «all’epidemia di coronavirus e alle procedure e precauzioni di quarantena».
Le truffe BEC spesso comportano una sorveglianza complessa dei dipendenti. I truffatori arrivano persino a instaurare rapporti con gli operatori dell’help desk e altre figure dei reparti interessati, per ottenere informazioni sui processi aziendali. La formazione sulla sicurezza informatica insegna ai dipendenti a riconoscere i segnali delle truffe BEC e i tipi di tecniche di ingegneria sociale usate dai truffatori.
Aiuta a garantire la conformità alle normative
I dipendenti sono fondamentali per garantire la protezione dei dati e la privacy. Le loro azioni possono facilmente far finire un’azienda di servizi finanziari in una situazione di non conformità. Anche una cosa semplice come inviare un’e-mail alla persona sbagliata può comportare una multa. Da un recente sondaggio è emerso che il 58% dei dipendenti ha ammesso di aver inviato un’e-mail alla persona sbagliata.
La formazione sulla consapevolezza della sicurezza aiuta a evitare che i dipendenti commettano errori. Avere un programma efficace che offra metriche e automazione della formazione dimostra anche l’impegno dell’azienda nei confronti della sicurezza. La formazione sulla consapevolezza della sicurezza è obbligatoria o fortemente raccomandata da una serie di standard e normative, tra cui ISO 27001 e PCI-DSS, che al Requisito 12 recita quanto segue:
“Attua un programma formale di sensibilizzazione alla sicurezza per far conoscere a tutto il personale la politica e le procedure relative alla sicurezza dei dati dei titolari di carte.”
Crea un firewall umano
Misure di sicurezza come un controllo degli accessi rigoroso, i firewall, la protezione degli endpoint e la crittografia sono importanti, ma l’ingegneria sociale è pensata proprio per aggirare le soluzioni di sicurezza tradizionali. I dipendenti ben informati e consapevoli delle questioni di sicurezza sono una parte fondamentale delle misure di sicurezza informatica di un’azienda di servizi finanziari.
Grazie alla formazione sulla consapevolezza della sicurezza, un’azienda può creare un“firewall umano”. Ogni membro di un team all’interno dell’organizzazione contribuisce così a rafforzare gli altri membri dello stesso team. Con lo svolgimento regolare di corsi di formazione sulla sicurezza, il firewall umano diventa più solido ed efficace nell’individuare i trucchi di ingegneria sociale.
Rafforzare il morale dei dipendenti
Un rapporto di Carbonite mostra l’impatto di un attacco informatico sulle persone: il 24% dei dipendenti ha registrato un calo del morale dopo un attacco. La fiducia rafforza il morale del personale. La formazione sulla consapevolezza della sicurezza è un approccio incentrato sulle persone per proteggere le risorse di un’organizzazione. Fornendo ai dipendenti gli strumenti per combattere la criminalità informatica, un’organizzazione mette il proprio personale in grado di prevenire un attacco informatico. La formazione sulla sicurezza informatica non solo aiuta a proteggere l’organizzazione, ma contribuisce anche a migliorare il morale del personale.
Le organizzazioni che operano nel settore dei servizi finanziari in tutto il mondo sono un bersaglio privilegiato per i criminali informatici e i truffatori. Avere personale ben preparato fa parte di una visione più ampia, a 360 gradi, volta a proteggere un’azienda dagli effetti devastanti di questi attacchi maliziosi e sinistri.