A nessuno piace pensare che nella propria azienda possano esserci minacce interne che mettano l’organizzazione a rischio di una violazione dei dati o che possano causare una multa per non conformità che costa migliaia di sterline. Eppure, la minaccia interna è fin troppo reale. Secondo diversi rapporti, le minacce interne sono alla base di molti dei problemi di sicurezza che affrontiamo oggi.Il “Cybersecurity Insiders Insider Threat Report”, ad esempio, ha rilevato che il 68% delle organizzazioni ritiene che le minacce interne stiano aumentando di frequenza. In un sondaggio di Egress,il “2020 Insider Data Breach Survey”, quasi tutti i responsabili IT che hanno risposto hanno affermato che il rischio di violazioni da parte di personale interno è una “preoccupazione significativa”.
Nel settore della sicurezza informatica si dice spesso che le minacce interne siano le più difficili da gestire; dopotutto, come si fa a individuare un’azione dolosa o una fuga accidentale di dati? Ecco la nostra guida sulle minacce interne e su come prevenirle.
Tipi di minacce interne
Per “insider” si intende chiunque lavori attualmente o abbia lavorato in passato per la tua organizzazione. Questa definizione include sia i dipendenti che i non dipendenti, come ad esempio i collaboratori esterni. Il concetto di “insider” può essere esteso anche a un partner commerciale o a un’azienda del tuo ecosistema di fornitori. Anche i lavoratori da remoto contribuiscono alle preoccupazioni di sicurezza relative agli “insider” di un’azienda: un sondaggio IBM ha rilevato che i problemi di sicurezza sono aggravati dal fatto che le aziende non garantiscono l’applicazione delle politiche di sicurezza relative al lavoro da remoto.
L’insider per caso
Un articolo dell’EC-Council dice che il 64% dei casi di perdita di dati è da attribuire a persone interne che “avevano buone intenzioni”, in altre parole, gli incidenti capitano. Il termine generico “minacce accidentali interne” copre un’ampia gamma di possibili “incidenti o contrattempi”. Alcuni di questi contrattempi derivano semplicemente dalla mancata comprensione dei rischi di sicurezza durante lo svolgimento di un’attività; altri, come il phishing o l’ingegneria sociale, sono dovuti al fatto che le persone vengono manipolate da forze esterne. Anche una configurazione errata dei sistemi IT è un caso accidentale che però permette a forze esterne di sfruttare un sistema. Le minacce accidentali da parte di personale interno si riducono spesso a quattro aree problematiche principali:
- Il fattore “ops”: incomprensioni o mancanza di conoscenza dei processi di sicurezza e dei rischi. Lo studio di Egress ha rilevato che il 31% delle violazioni è stato causato da un dipendente che ha inviato per e-mail delle informazioni alla persona sbagliata
- Inganno: manipolazione da parte di forze esterne, ad esempio il phishing. Lo studio di Egress ha rilevato che il 41% dei dati trapelati accidentalmente era dovuto a un’e-mail di phishing.
- Scarsa sicurezza: una scarsa attenzione alla sicurezza da parte di un’azienda e la mancanza di misure di applicazione e di formazione in materia di sicurezza
- Mancanza di competenze in materia di sicurezza: configurazione errata dei sistemi dovuta a una formazione inadeguata o alla scarsa comprensione delle questioni di sicurezza a livello di amministrazione IT
Dipendenti malintenzionati
I dipendenti e i non dipendenti che intendono deliberatamente causare danni ai sistemi IT o rubare dati vengono definiti “malintenzionati”. A differenza degli insider accidentali, le minacce interne malintenzionate sono in genere motivate da fattori quali il denaro o la vendetta. Un rapporto di Fortinet sulle minacce interne ha rilevato che il 60% delle aziende è preoccupato per il rischio di una violazione dei dati causata da una minaccia interna malintenzionata. L’indagine ha anche esaminato le motivazioni degli insider malintenzionati, individuando le tre ragioni principali:
- Frode (55%)
- Soldi (49%)
- Furto di proprietà intellettuale (44%)
Gli insider malintenzionati vengono addirittura reclutati sul dark web: secondo un rapporto, è stato individuato un annuncio sul dark web in cui si cercava un impiegato di banca disposto a fungere da insider malintenzionato; il lavoro prevedeva una retribuzione di 370.000 rubli (4.400 sterline) al mese per un’ora di lavoro al giorno.
Esempi di minacce interne
Che la violazione dei dati o qualsiasi altro incidente di sicurezza sia causato intenzionalmente o per sbaglio, le conseguenze sono le stesse. Le violazioni dei dati e altri problemi di sicurezza comportano ingenti multe per non conformità, la perdita di fiducia dei clienti nella capacità di un’organizzazione di proteggere le informazioni sensibili e persino un calo del valore delle azioni dell’azienda. Di seguito trovi tre esempi in cui attacchi interni hanno causato danni all’azienda:
Il dipendente scontento: un’azienda che si occupava della distribuzione di dispositivi di protezione individuale (DPI) durante la pandemia di Covid-19 ha subito un duro colpo a causa di un dipendente arrabbiato. L’ex dipendente,“Dobbins”, ha creato due account utente falsi prima di essere licenziato. Una volta licenziato, Dobbins ha effettuato l’accesso al sistema usando gli account falsi. Ha poi modificato quasi 12.000 record, cancellandone oltre 2.000. Infine ha disattivato gli account falsi. Con queste modifiche, Dobbins ha gravemente compromesso la consegna dei DPI alle strutture sanitarie.
Intento doloso a scopo di lucro: un dipendente di BUPA ha causato una violazione che ha coinvolto 547.000 clienti, con il risultato che l’ICO del Regno Unito ha multato BUPA per 175.000 sterline. Il dipendente ha usato il sistema CRM dell’azienda per inviarsi i dati personali dei clienti BUPA, per poi provare a vendere gli account compromessi sul dark web.
Gli incidenti capitano, ma spesso sono imperdonabili: l’“Inchiesta indipendente sugli abusi sessuali sui minori” (IICSA) è finita sotto i riflettori dopo che un dipendente ha inviato un’e-mail di massa a 90 potenziali vittime di abusi sessuali su minori. Il dipendente ha semplicemente usato il campo “cc” invece del campo “bcc” per inserire gli indirizzi e-mail. L’ICO del Regno Unito ha multato l’IICSA di 200.000 sterline ai sensi del Data Protection Act (DPA2018).
Come individuare e mitigare le minacce interne nella tua organizzazione
Anche se può essere difficile individuare e prevenire gli attacchi interni, ci sono modi per ridurne al minimo l’impatto. Ecco cinque strategie che aiutano la tua organizzazione a gestire le minacce interne:
Formazione sulla sicurezza
Dato che molte minacce interne sono accidentali, la formazione sulla sicurezza può svolgere un ruolo importante nel ridurre questo rischio informatico. La formazione sulla sicurezza dovrebbe trattare aspetti relativi alle minacce interne accidentali, come ad esempio:
- Buone pratiche di sicurezza: ad esempio, insegnare ai dipendenti a prestare attenzione a come inviare i dati in modo sicuro.
- Phishing: assicurarsi che i dipendenti siano al corrente delle tecniche di phishing via e-mail e di altri stratagemmi simili, e che sappiano che i siti di phishing possono rubare le credenziali di accesso.
- Sensibilizzazione alla conformità: assicurarsi che i dipendenti siano consapevoli del proprio ruolo nel garantire il rispetto delle norme.
Zero Trust
Molte minacce interne sono causate dall’uso improprio o dall’abuso dei privilegi e da un controllo inadeguato dell’accesso ai dati sensibili. Il modello Zero Trust si basa sul principio “non fidarti mai, verifica sempre”. In pratica, questo significa che i dipendenti e/o i dispositivi utilizzati vengono sottoposti a verifica ogni volta che tentano di accedere alle risorse.
Queste sfide riflettono la delicatezza delle risorse: quindi, più i dati o le app sono sensibili, maggiore deve essere la certezza che chi vi accede sia davvero chi dice di essere. Un’architettura zero trust è un mix di tecnologie adeguate e di un approccio architettonico che aiuta a compartimentare le aree di una rete. Tra le tecnologie a supporto di un’architettura zero trust ci sono il Security Information and Event Management (SIEM) e il Cloud Access Security Broker (CASB).
Autenticazione e autorizzazione
Alla base di un’architettura zero trust c’è il principio di un’autenticazione e un’autorizzazione solide. L’autenticazione e l’autorizzazione sensibili al contesto aggiungono un importante livello di controllo all’accesso ai dati sensibili. Dovrebbe essere reso obbligatorio l’uso dell’autenticazione a due fattori (2FA) o a più fattori (MFA) per accedere alle app aziendali, soprattutto quando si lavora da remoto. Insieme al monitoraggio, questi processi creano un solido livello di sicurezza.
Alla ricerca di segnali di comportamenti insoliti
Le minacce interne dolose possono essere difficili da individuare, ma alcune tecnologie basate sull’apprendimento automatico (ML) possono aiutarti a rilevarle e avvisare il tuo team di sicurezza in caso di attività insolite. Una di queste è il monitoraggio dei dipendenti tramite l’UEBA (User and Entity Behaviour Analytics). L’UEBA serve a individuare comportamenti insoliti utilizzando l’ML per rilevare modelli di comportamento anomali quando le persone interagiscono con dispositivi e reti.
Controllo anti-phishing e anti-spam
Le tecnologie che impediscono alle email di phishing di arrivare nelle caselle di posta dei dipendenti possono aiutare a prevenire violazioni accidentali da parte di personale interno. Esistono soluzioni che impediscono ai dipendenti di accedere a URL dannosi. Questi servizi software sono in genere offerti come piattaforme basate sul cloud. Il filtraggio delle email e l’analisi dei contenuti degli URL sono utili per fornire una rete di sicurezza a supporto della formazione sulla consapevolezza in materia di sicurezza.
I nostri dipendenti sono la nostra risorsa più preziosa, e dobbiamo fare in modo che continuino a esserlo, valorizzandoli attraverso la formazione e proteggendo sia loro che la nostra azienda con le migliori tecnologie di sicurezza disponibili.