Il Mese della sensibilizzazione sulla sicurezza informatica, sia in Europa che negli Stati Uniti, fa parte di un’ampia campagna volta ad aiutare le persone a navigare in sicurezza online. L’iniziativa è stata lanciata nel 2004 negli Stati Uniti e nel 2012 in Europa. Quest’anno l’evento statunitense si è concentrato sul tema “See Yourself in Cyber”. In Europa, invece, la campagna ha puntato a sensibilizzare sul phishing e sul ransomware.
Ovviamente siamo a favore di qualsiasi iniziativa volta a promuovere la consapevolezza sulla sicurezza informatica. Le persone sono l’anello più debole nelle misure di sicurezza di un’organizzazione. È importante insegnare loro semplici accorgimenti che possono adottare per proteggersi online. Per un malintenzionato è ancora molto più facile indurre qualcuno a rivelare una password o a cliccare su un link contenuto in un’e-mail piuttosto che penetrare in una rete ben protetta. Una buona consapevolezza in materia di sicurezza informatica può proteggere le organizzazioni da perdite finanziarie, sanzioni per inadempienza normativa e danni alla reputazione.
Eppure, nonostante anni di iniziative legate al “Mese della sensibilizzazione” annuale, lo sfruttamento della scarsa consapevolezza in materia di sicurezza informatica rimane il principale vettore di attacco nelle violazioni dei dati.
Il rapporto “Verizon Data Breach Investigation Report” del 2022 ha rilevato che l’82% delle violazioni dell’anno precedente ha coinvolto tecniche di ingegneria sociale e che i tassi di clic nei tentativi di phishing continuano a salire. Una volta che gli hacker riescono a farsi strada nel sistema, possono creare canali di comando e controllo, muoversi lateralmente per individuare i dati da colpire, crittografare i dati per le richieste di riscatto o rubare informazioni sensibili.
Il “Mese” della sensibilizzazione alla sicurezza informatica?
Quindi sì, sosteniamo il Mese della sensibilizzazione sulla sicurezza informatica. Attira l’attenzione necessaria su un problema che da anni cerchiamo di risolvere. Potrebbe spingere alcune organizzazioni a muovere i primi passi per migliorare la consapevolezza in materia di sicurezza tra i propri dipendenti o a rafforzare i programmi già esistenti. Semplicemente, non siamo d’accordo sul fatto che la sensibilizzazione sulla sicurezza informatica venga trattata come un evento annuale.
Imparare non è una cosa che si fa una volta sola. Non si impara a parlare una nuova lingua o a suonare uno strumento musicale dedicandosi a questa attività solo una volta all’anno. Lo stesso vale per riconoscere ed evitare le minacce alla sicurezza informatica. Imparare a fare qualsiasi di queste cose richiede tempo e pratica.
Quando i corsi di formazione sono eventi che si tengono una o due volte all’anno solo per soddisfare i requisiti di conformità, gli studenti non riescono a fissare le conoscenze. La famosa curva dell’oblio di Ebbinghaus dimostra che gli studenti dimenticano oltre il 75% di una lezione già nella prima settimana. Alla fine del mese, gli studenti ricordano solo il 21% della lezione.
Sensibilizzare i dipendenti
L’insegnamento è un processo, non un evento. Questo vale anche per la sensibilizzazione alla sicurezza informatica. Gli studi dimostrano che la pendenza discendente della curva dell’oblio può essere ridotta con un ripasso regolare delle lezioni. Questi ripassi non devono necessariamente includere tutte le informazioni della lezione. L’obiettivo è far sì che chi impara continui a riflettere sull’argomento e lo metta in pratica.
Creare una cultura della consapevolezza informatica
Il “mese” dedicato alla sensibilizzazione sulla sicurezza informatica può sembrare solo una trovata pubblicitaria. Un programma efficace di sensibilizzazione sulla sicurezza informatica va messo in pratica 12 mesi all’anno, utilizzando una varietà di strumenti e tecniche.
Le lezioni di e-learning sono sicuramente parte integrante di qualsiasi programma di successo, ma i team dovrebbero rafforzare regolarmente quanto appreso tramite promemoria, simulazioni di phishing, micro-lezioni, salvaschermi e poster. Le lezioni dovrebbero essere adattate alle diverse minacce che un’organizzazione deve affrontare.
La formazione per i team finanziari dovrebbe essere adattata alle minacce specifiche del reparto. I reparti IT devono stare all’erta per il furto di credenziali privilegiate. Tutti hanno bisogno di una formazione continua sugli attacchi di phishing e ransomware.
Un programma di sensibilizzazione alla sicurezza informatica è una parte importante di una valutazione complessiva dei rischi. Chi si occupa di questi programmi deve essere in grado di monitorare i progressi tramite report e avviare azioni correttive laddove permangano dei rischi all’interno dell’organizzazione. Se una persona o un team ottiene risultati insoddisfacenti nella formazione, dovrebbe essere programmata automaticamente una formazione di recupero.
Ma soprattutto, le organizzazioni che si impegnano a promuovere la consapevolezza sulla sicurezza informatica e la sicurezza online riconoscono l’importanza del sostegno da parte dei vertici aziendali. Messaggi regolari provenienti direttamente dai vertici aziendali sulla necessità di adottare buone pratiche di sicurezza informatica – e sul perché siano una priorità per l’azienda – aiutano a costruire una cultura della sicurezza duratura.