Strategie efficaci per ridurre al minimo i rischi legati alla sicurezza informatica

Il concetto di “fattore umano” è un elemento fondamentale da tenere in considerazione quando si crea una strategia efficace per ridurre al minimo i rischi legati alla sicurezza informatica. Tuttavia, questa affermazione presenta molteplici sfaccettature, poiché i nostri dipendenti sono una parte fondamentale del successo della nostra organizzazione; invece di attribuire colpe, dobbiamo distinguere le azioni dolose da quelle accidentali, individuando le prime e prevenendo le seconde.

Grazie a corsi mirati di sensibilizzazione alla sicurezza, è possibile ridurre i fattori umani che portano a errori da parte delle persone. Ecco come e perché i rischi legati alla sicurezza informatica possono essere gestiti attraverso la sensibilizzazione alla sicurezza.

Perché i fattori umani comportano rischi per la sicurezza informatica

Il fattore umano nel rischio di sicurezza informatica viene solitamente definito “minaccia interna”. Gli “insider” possono essere dipendenti o persone esterne all’azienda, come i consulenti. Il semplice fatto che gli insider siano parte integrante dei processi di un’organizzazione e utilizzino le risorse IT con autorizzazione rende difficile affrontare gli errori umani che portano a rischi per la sicurezza informatica.

Il rischio di sicurezza informatica legato agli insider è un problema serio: un rapporto del 2020 sulle minacce interne, pubblicato da Cyber Security Insiders, sottolinea che il 68% delle organizzazioni si sente “da moderatamente a estremamente vulnerabile” alle minacce interne. Non c’è da stupirsi se pensi ad alcune delle notizie dell’ultimo anno sugli attacchi informatici, come l’attacco a Twitter del 2020, in cui alcuni account di alto profilo, tra cui quello di Barack Obama, sono stati violati e usati per indurre gli utenti di Twitter a effettuare transazioni illecite in bitcoin. Le perdite sono stimate intorno ai 180 milioni di dollari (129 milioni di sterline) e il prezzo delle azioni di Twitter ha subito un calo del 4%. L’attacco ha comportato lo spear-phishing ai danni dei dipendenti di Twitter e il furto di credenziali privilegiate.

I criminali informatici sfruttano i fattori umani per ottenere accessi non autorizzati, rubare credenziali e infettare sistemi IT ed endpoint con malware come il ransomware. Senza l’effetto “human-in-the-machine”, la criminalità informatica sarebbe molto più difficile.

I fattori umani che portano agli errori umani

Secondo una ricerca di IBM, le tre aree principali su cui concentrarsi quando si definiscono strategie di sicurezza per ridurre i rischi legati alla sicurezza informatica sono:

1. 1. Phishing

1. 1. Scansiona e sfrutta

1. 1. Uso non autorizzato delle credenziali

Tutti e tre i vettori presentano un elemento che, in qualche punto della catena di attacco, coinvolge un fattore umano.

Phishing e spear-phishing – fattori umani: per avviare la catena di infezione, è necessario che una persona clicchi su un link o apra un allegato infetto. Spesso il phishing viene usato per prendere di mira utenti con privilegi (spear-phishing) e rubare le loro credenziali. Gli utenti con privilegi hanno accesso a risorse più importanti: il furto delle loro credenziali è il Santo Graal dell’hacking. Qui entra in gioco un fattore umano, come la risposta automatica al clic.

Scansione e sfruttamento – errore umano: gli hacker sfruttano qualsiasi cosa che semplifichi loro la vita e la possibilità di individuare automaticamente le vulnerabilità è un vettore utile per l’infezione da malware. I componenti dei sistemi IT, come i server web, i database e le app cloud, possono finire per essere configurati in modo errato se non si comprende appieno l’impatto di una sicurezza inadeguata. App e componenti web non sicuri creano falle di sicurezza che gli hacker possono sfruttare. In questo caso, l’errore umano porta a un rischio per la sicurezza informatica.

Uso non autorizzato delle credenziali – errori umani e fattori umani: il furto delle credenziali porta ad accessi non autorizzati ai sistemi e alle risorse IT. Ecco alcuni modi in cui le credenziali possono essere usate senza autorizzazione:

• • Shoulder surfing: le credenziali vengono rubate quando qualcuno con cattive intenzioni osserva un’altra persona mentre digita la password.

• • Phishing: indurre qualcuno a inserire le proprie credenziali di accesso in una pagina di accesso contraffatta.

• • Ingegneria sociale: indurre una persona a rivelare le proprie credenziali di accesso al telefono, sui social media o tramite altri canali di comunicazione, come e-mail, servizi di assistenza e SMS.

In tutti e tre i vettori di attacco più efficaci, sia il fattore umano che l’errore umano giocano un ruolo fondamentale. Il rischio per la sicurezza informatica è legato soprattutto ai nostri dipendenti e a chi non lo è, ma come possiamo ridurre questo rischio?

Le migliori pratiche per evitare che i fattori umani si trasformino in errori umani?

Uno studio di Kaspersky, incentrato sul ruolo dei fattori umani nei rischi legati alla sicurezza informatica, ha rilevato che “il personale distratto o disinformato” è la seconda causa più probabile di gravi violazioni della sicurezza; l’infezione da malware è la prima, ma spesso è proprio causata da personale distratto o disinformato. Visti gli alti livelli di rischio legati ai fattori umani, ridurre gli errori è fondamentale per mitigare i rischi di sicurezza.

Ci sono due aspetti che saltano all’occhio e che riguardano sia il personale distratto che quello disinformato:

Decisioni avventate che portano a falle nella sicurezza: fare scelte sbagliate in materia di sicurezza, come configurare male i sistemi e i componenti IT o cliccare su un link di phishing senza pensarci due volte, sono errori umani che aumentano il rischio di attacchi informatici. La configurazione errata dei sistemi e dei componenti IT è un esempio di decisione avventata in materia di sicurezza. Cliccare su un link di phishing ne è un altro. Sia il personale IT che quello non IT può prendere decisioni avventate che portano a falle nella sicurezza. Assicurarsi che tutto il personale, sia tecnico che non tecnico, sia consapevole dell’impatto delle proprie scelte è un modo fondamentale per ridurre il rischio per la sicurezza informatica.

Personale disinformato: causa di falle nella sicurezza. Se i dipendenti non sono consapevoli di quello che fanno, come possono sapere quali sono le conseguenze sulla sicurezza? Le aziende formano regolarmente il personale in altri ambiti aziendali, e questo dovrebbe estendersi anche alla formazione sulla sicurezza. La formazione del personale in materia di sicurezza include la comprensione di come funziona il phishing, oltre ad altre comuni falle di sicurezza, come la condivisione delle password e l’invio errato di email. In particolare, secondo il Verizon Data Breach Investigation Report (DBIR), l’invio errato continua a crescere come forma di errore umano.

Ridurre l’impatto del fattore umano sui rischi legati alla sicurezza informatica

Lo studio di Kaspersky ha individuato un elemento cruciale dell’errore umano in materia di sicurezza: la tendenza a nascondere gli errori. Il sondaggio ha rilevato che nel 40% delle aziende i dipendenti hanno nascosto gli incidenti di sicurezza. Questo dato dovrebbe far suonare un campanello d’allarme e spingere le persone a intensificare la formazione sulla sicurezza. Anche se il dipendente capiva le implicazioni di un evento di sicurezza, si sentiva comunque costretto a nascondere l’informazione. Questo fa sorgere la domanda: perché? La risposta è duplice:

Fai della sicurezza una cultura: può sembrare un cliché, ma se il concetto di sicurezza è ben radicato nella tua cultura aziendale, è meno probabile che il personale si senta sopraffatto e spaventato quando succede qualcosa. Una cultura della sicurezza si crea attraverso corsi di formazione sulla consapevolezza della sicurezza, che aiutano a sviluppare abitudini positive in materia di sicurezza nei dipendenti.

Rendi più facile segnalare un incidente di sicurezza: gli incidenti devono essere segnalati, in modo che possano essere gestiti dal personale qualificato più adatto, in base al livello di rischio. Un sistema di segnalazione, progettato per rendere la segnalazione semplicissima per i dipendenti, renderà il processo meno complicato e aumenterà la probabilità che venga effettivamente effettuata.

I fattori umani portano a errori umani. Grazie alla formazione sulla sicurezza informatica, le organizzazioni possono intervenire sui comportamenti umani che causano errori dovuti alla disattenzione e decisioni sbagliate, riducendo così i rischi legati alla sicurezza informatica.