La sicurezza informatica sul posto di lavoro sta diventando sempre più importante, dato che sempre più aziende passano alle risorse digitali e al cloud. Il ransomware è in cima alla lista delle minacce che possono paralizzare un’organizzazione, e questi attacchi spesso partono da un’e-mail di phishing dannosa che prende di mira dipendenti specifici. Basta che un solo dipendente cada vittima di un attacco sofisticato perché la tua organizzazione possa ritrovarsi paralizzata a causa del blocco dell’accesso ai file, del furto di dati e di minacce persistenti avanzate nascoste nella rete.
La Colonial Pipeline, che trasporta gas e carburante per aerei dal Texas alla costa orientale, è stata vittima di un attacco ransomware. L’attacco ha bloccato la produzione e costretto l’infrastruttura energetica a fermarsi. Questo tipo di attacchi è in forte aumento e di solito inizia prendendo di mira un dipendente che non si accorge che un messaggio è dannoso. Spesso è colpa di una mancanza di formazione e sensibilizzazione sulla sicurezza informatica sul posto di lavoro.
CryptoLocker, uno dei primi e più famosi attacchi ransomware, è partito da un’e-mail di phishing. Ha colpito quasi 500.000 computer e ha causato una perdita di dati su vasta scala in tutto il mondo. Il malware è stato diffuso inviando un numero enorme di email con un allegato in formato ZIP. Una volta aperto, il ransomware ha scansionato i computer e crittografato i file, bloccandoli e rendendoli inaccessibili a meno che non venisse pagato un riscatto. È importante che tu sappia che qualsiasi email con un allegato ZIP va considerata sospetta.
CISO: Il valore di un “mangiatore di peccati”
Il ruolo di un Chief Information Security Officer (CISO) è molto simile a quello del mitico “mangiatore di peccati” del folklore inglese medievale. Un mangiatore di peccati consumava un pasto e assorbiva i peccati dei defunti. Il mangiatore di peccati portava poi con sé i peccati degli altri per liberarli dal senso di colpa, dalla vergogna e dalle conseguenze nell’aldilà.
Un CISO ricopre un ruolo simile, in cui gli errori dei dipendenti interni incidono sulla sua reputazione, sulle sue prestazioni lavorative e sulle sue prospettive future. Se un dipendente dovesse trovarsi coinvolto in scandali interni legati alla sicurezza informatica, finirebbe per rovinare la reputazione dell’organizzazione e compromettere i servizi di produzione. Per proteggere quel dipendente specifico dall’impatto negativo e dalle conseguenze, il CISO si assume la colpa della sfortunata vittima e risponde al posto suo per l’errore commesso.
Anche se all’interno dell’organizzazione c’è un solo CISO, questo non vuol dire che la responsabilità ricada esclusivamente su una sola persona. È l’organizzazione nel suo insieme ad assumersi la responsabilità. Nel caso della violazione dei dati di Equifax, gli amministratori dei server e il CISO responsabile del monitoraggio e dell’applicazione delle patch al software potrebbero essere gli unici responsabili di una delle più grandi violazioni di dati mai avvenute, ma l’organizzazione di Equifax nel suo complesso è stata considerata irresponsabile e si è presa la colpa delle conseguenze.
Oltre ad essere responsabile della sicurezza informatica interna, un CISO ha un carico di lavoro sempre maggiore, visto che sempre più aziende stanno passando al cloud e alla digitalizzazione durante i lockdown della pandemia del 2020. Per mantenere la produttività, le aziende sono state costrette a permettere il lavoro da casa dopo che il COVID si è diffuso in tutto il mondo. Questo cambiamento negli ambienti di lavoro ha portato a una repentina spinta verso il cloud computing e i flussi di lavoro digitali. Il risultato è stato che le aziende si sono ritrovate nel cloud senza prestare quasi alcuna attenzione alla sicurezza informatica. La sicurezza informatica è stata un ripensamento, e gli autori delle minacce hanno approfittato appieno di questa svista. Il phishing e il ransomware hanno prosperato, dato che sempre più dipendenti sono caduti vittime di campagne sofisticate mirate alle singole persone.
I sette peccati capitali della sicurezza informatica sul posto di lavoro
La consapevolezza in materia di sicurezza informatica è fondamentale per evitare i rischi. Se i tuoi dipendenti non conoscono come funziona un attacco di phishing, non puoi aspettarti che riescano a evitarlo. L’errore umano è uno dei fattori principali alla base delle violazioni dei dati, ma ecco i sette peccati capitali e come evitare di diventare la prossima vittima:
- Password deboli. La complessità e la lunghezza delle password riducono il rischio di attacchi di forza bruta alle credenziali dei dipendenti. Gli amministratori possono impostare regole per le password che richiedano una certa lunghezza e complessità e impediscano agli utenti di riutilizzarle.
- Rischi del Wi-Fi pubblico. Gli utenti devono essere consapevoli dei rischi legati al Wi-Fi pubblico. Qualsiasi applicazione critica dovrebbe essere utilizzata tramite una rete privata virtuale (VPN) e gli utenti non dovrebbero mai trasmettere dati non crittografati.
- Antivirus installato e aggiornato. Le organizzazioni che adottano una politica BYOD (Bring Your Own Device) dovrebbero sensibilizzare gli utenti sull’importanza dell’antivirus e del suo aggiornamento. Gli amministratori possono imporre gli aggiornamenti sulle postazioni di lavoro, ma fanno affidamento sugli utenti per garantire la sicurezza dei propri dispositivi con il software antivirus più recente.
- Aprire gli allegati delle e-mail. Gli amministratori possono bloccare i messaggi e-mail sospetti, ma i falsi negativi danno agli autori delle minacce l’opportunità di indurre i destinatari ad aprire allegati dannosi. Gli utenti dovrebbero sapere che non bisogna aprire gli allegati, soprattutto se provengono da mittenti esterni.
- Cliccare sui link nelle e-mail. I link dannosi aprono siti controllati dagli hacker, dove gli utenti possono essere indotti con l’inganno a rivelare le proprie credenziali di rete o altre informazioni sensibili. Gli utenti devono sapere che non devono inserire le credenziali dopo aver cliccato su un link. Piuttosto, digita il dominio direttamente nel browser per verificare che il messaggio sia autentico.
- Condivisione delle credenziali con altri utenti. Gli utenti non dovrebbero mai condividere le password. Se lo facessero, un dipendente che non lavora più in azienda potrebbe comunque avere accesso a sistemi critici, anche se il suo account è stato disattivato.
- Mancanza di consapevolezza in materia di sicurezza informatica. Senza una formazione adeguata, gli utenti non hanno gli strumenti per riconoscere un attacco. È compito del CISO creare un ambiente in cui la formazione sulla sicurezza informatica favorisca una migliore prevenzione dei rischi e riduca gli errori umani.
Aiutare i dipendenti a contrastare gli attacchi informatici e a essere più consapevoli dei rischi informatici
Se i CISO non si prendono il tempo di formare i dipendenti, lasciano una grossa falla nell’armatura della sicurezza informatica dell’azienda. La sensibilizzazione alla sicurezza informatica è la prima linea di difesa contro gli attacchi sofisticati che puntano sugli errori umani, quindi dovrebbe sempre essere una formazione obbligatoria sia per i nuovi assunti che per il personale già in servizio.
La sensibilizzazione può avvenire in diversi modi: e-learning, formazione pratica e linee guida. I dipendenti non sono hacker, quindi le informazioni devono essere facili da capire. Devono capire le conseguenze di cadere vittima di un attacco e devono avere le informazioni giuste per mettere in discussione la legittimità di un’e-mail, una telefonata, un sito web o qualsiasi altra forma di attacco informatico. Non serve una conoscenza tecnica approfondita, ma i dipendenti devono avere le informazioni giuste.
Le minacce più gravi per un’organizzazione sono il phishing e il ransomware, ma la formazione riduce i rischi legati a queste minacce. I dipendenti che hanno le giuste conoscenze sapranno riconoscere l’attacco, evitare di diventare vittime, avvisare le persone giuste e il CISO avrà un lavoro molto meno stressante. Senza una consapevolezza sulla sicurezza informatica, il CISO continua a reagire in modo passivo agli attacchi che potrebbero rovinare la sua reputazione e quella dell’azienda.