Leviolazioni dei dati si verificano ormai quasi quotidianamente e con la recente introduzione del GDPR, non è mai stato così importante per le organizzazioni avere le giuste misure in atto per affrontare un incidente di sicurezza. Di conseguenza, c'è ora una maggiore necessità per le organizzazioni di avere sistemi di gestione degli incidenti in atto.
La ricerca del rapporto Horizon Scan ha rilevato che le due principali minacce affrontate dalle organizzazioni nel 2018 sono gli attacchi informatici e le violazioni dei dati. Poiché le minacce informatiche continuano a crescere ed evolversi, è inevitabile che le aziende sperimentino un incidente di sicurezza ad un certo punto.
Per affrontare efficacemente questa crescente minaccia, è vitale che le organizzazioni abbiano misure in atto che permettano loro di identificare, rispondere e mitigare rapidamente questo tipo di incidenti.
L'istituzione di un efficace piano di gestione degli incidenti gravi aiuterà a educare e informare il personale, a migliorare le strutture organizzative, a migliorare la fiducia dei clienti e degli stakeholder e a ridurre qualsiasi potenziale impatto finanziario in seguito a un incidente grave.
Qual è il rischio per le organizzazioni?
Le organizzazioni non possono più avere un approccio rilassato alla sicurezza informatica; la posta in gioco è troppo alta! Non va bene aspettare che accada un incidente di sicurezza e poi cercare di mettere in atto reattivamente un piano per mitigare i danni. A questo punto, quando un incidente grave ha avuto luogo, è troppo tardi.
Le organizzazioni devono essere proattive nel loro approccio e prepararsi adeguatamente per ogni potenziale incidente che potrebbe colpire il loro business.
Gli incidenti di sicurezza possono variare nel loro impatto sul business e alcuni incidenti possono evidenziare un problema di fondo più grave. A meno che le organizzazioni non implementino un efficace piano di Incident Management, si potrebbero realizzare i seguenti rischi:
- Mancato rispetto dei requisiti normativi
L'implementazione del GDPR ha significato che le organizzazioni sono obbligate a segnalare le violazioni dei dati e il mancato rispetto di tale obbligo può comportare multe significative. Il GDPR richiede che le organizzazioni comunichino qualsiasi violazione dei dati personali all'autorità di vigilanza competente entro 72 ore dal rilevamento, altrimenti possono affrontare multe fino al 4% del fatturato globale annuo o 20 milioni di euro (il maggiore dei due). Le multe dipenderanno dalla gravità della violazione e se le organizzazioni hanno preso provvedimenti per dimostrare che sono conformi.
- Danni al business
Le conseguenze di un incidente di sicurezza su un'azienda possono essere di vasta portata. Oltre alle implicazioni finanziarie di un incidente che può comportare il pagamento di multe normative, il risarcimento dei clienti e il calo dei prezzi delle azioni, le organizzazioni possono essere gravemente colpite da danni alla reputazione.
Se i dati sensibili di un'organizzazione sono stati esposti, questo può avere un effetto enormemente negativo sulla fiducia dei consumatori. La ricerca ha dimostrato che fino al 70% dei consumatori smetterebbe di fare affari con un'azienda se ha subito una violazione dei dati. I clienti perdono fiducia in un'organizzazione se non sentono che i loro dati sono sicuri e possono finire per andarsene e passare alla concorrenza.
Gestione degli incidenti - Come si può gestire il rischio?
1. Stabilire una capacità di segnalazione degli incidenti
Per affrontare efficacemente qualsiasi incidente che possa verificarsi, è importante avere una struttura di reporting in atto che permetterà al personale di identificare e segnalare gli incidenti in modo tempestivo. La capacità di segnalazione affronterà l'intera gamma di incidenti che potrebbero verificarsi e stabilirà le risposte appropriate. L'istituzione di una struttura di reporting significa che la gestione degli incidenti critici può essere affrontata meglio. La politica, i processi e i piani di supporto dovrebbero essere basati sul rischio e coprire qualsiasi requisito normativo di segnalazione.
2. Formazione sulla consapevolezza della sicurezza
Una formazione efficace sulla consapevolezza della sicurezza è essenziale per formare il personale a identificare e rispondere in modo appropriato alla crescente gamma di minacce alla sicurezza informatica. Tutti i dipendenti, ad ogni livello all'interno di un'organizzazione dovrebbero ricevere questa formazione per garantire che abbiano tutte le competenze necessarie per identificare un attacco.
3. Definire ruoli e responsabilità
In caso di incidente, individui specifici all'interno dell'organizzazione dovrebbero avere ruoli e responsabilità definiti per prendere decisioni efficaci e gestire la situazione di conseguenza. Le informazioni di contatto di tutto il personale chiave dovrebbero essere diffuse in tutta l'organizzazione, in modo che tutto il personale sappia chi contattare in caso di incidente.
4. Testare i piani di gestione degli incidenti
È importante che i piani di gestione degli incidenti siano testati su base regolare per garantire che l'organizzazione sia pienamente preparata in caso di incidente. Il risultato dei test informerà i piani futuri ed evidenzierà le aree che potrebbero essere migliorate.
5. Eseguire regolarmente il backup dei dati
I dati essenziali dovrebbero essere salvati regolarmente per garantire che ci sia un processo in atto per recuperare i dati in caso di violazione.
Non c'è spazio per l'autocompiacimento nell'attuale panorama della sicurezza informatica, le organizzazioni devono avere solidi piani in atto per gestire efficacemente come gli incidenti saranno identificati, chi sarà coinvolto, come la minaccia sarà contenuta e sradicata, e come l'azienda documenterà e riporterà la violazione.
MetaIncident è stato progettato per fornire al personale un metodo facilmente accessibile e semplice per segnalare possibili incidenti di sicurezza. Fornisce anche le verifiche necessarie richieste dai regolatori e dai comitati di governance. Contattateci per ulteriori informazioni su come questo potrebbe aiutare a migliorare la segnalazione degli incidenti nella vostra organizzazione.
