Un test per capire se la cybersecurity funziona in azienda

In azienda in fatto di cybersecurity la prima linea di difesa è l’individuo, il singolo dipendente. Nella prima metà del 2017, ricorda Gastone Nencini, Country Manager di Trend Micro Italia, le truffe Business Email Compromise (BEC) sono state una delle principali minacce alle aziende.

Secondo uno studio dell’FBI le perdite globali determinate da queste truffe hanno raggiunto, a partire dal 2013, i 5,3 miliardi di dollari.

Non c’è motivo di credere che questo fenomeno possa rallentare, inoltre molte aziende sono anche restie ad ammettere di aver subito attacchi per non incorrere in danni di reputazione e questo non aiuta a comprendere a pieno la portata reale del fenomeno, che va a colpire direttamente gli individui che lavorano nell’azienda.

Secondo studi di Trend Micro le figure maggiormente colpite sono quelle dei reparti finance/amministrazione, con in testa, ovviamente, il CFO.

Per rispondere alle minacce serve uno sforzo coordinato. La cybersecurity richiede una visione e delle policy, che devono essere insegnate.

cybersecurity
Trend Micro, Gastone Nencini

Per Nencini il Chief Information Security Officer (CISO) che deve creare le policy e occuparsi delle fasi di education, oltre a stabilire il budget necessario a supportare lo sviluppo di queste policy.

Un programma di cybersecurity inoltre, richiede degli standard che dovrebbero includere il set di controlli base e i processi per migliorare i controlli a seconda dei nuovi rischi.

Il CISO guida i tecnici nello sviluppo di questi standard e lavora con l’IT e le HR per integrarli nei processi e nelle operazioni aziendali.

Il team di cybersecurity deve avere anche le procedure per rilevare un problema, gestire e rimediare alle conseguenze di una violazione e informare le parti interessate sul problema e la sua soluzione.

I dipendenti devono inoltre essere informati ed avere consapevolezza dei rischi e dei possibili attacchi.

Il test di consapevolezza sulla cybersecurity

Quando si pensa a un programma di awareness si può utilizzare un modello per validarne l’efficacia.

Per Nencini si deve immaginare un dipendente della propria organizzazione camminare per gli uffici.

Il dipendente vede qualcuno compiere un’azione sul proprio computer che potrebbe essere sbagliata.

A questo punto, bisogna fare tre domande sul dipendente:

  • Il dipendente è a conoscenza se l’azione che ha visto era giusta o sbagliata?
  • Il dipendente potrebbe scegliere di avvisare qualcuno?
  • Se prendesse il telefono, saprebbe chi chiamare?

Se la risposta a tutte e tre le domande è “SI”, il programma di consapevolezza sulla cybersecurity è efficace.

Se c’è un “NO”, il programma di awareness fallisce.

Se il dipendente non è a conoscenza di ciò che determina un’azione sbagliata, non la riconoscerà infatti, non farà nulla e il programma fallirà.

Altro caso, se il dipendente riporta il problema ma la persona all’help desk non sa che cosa fare, il programma fallisce nuovamente.

Questo è un test che valuta le procedure dell’azienda. Se un dipendente ha paura di denunciare un problema perché teme di essere declassato o di suscitare antipatie, è una questione che riguarda la cultura aziendale e in ogni caso determinerà un nuovo fallimento del programma.

Questi esempi secondo Nencini dimostrano come i risultati di una strategia di security possano essere indipendenti dalle questioni tecnologiche. Soluzioni, prodotti e tecnologie sono importanti e necessarie ovviamente, ma senza il giusto livello di consapevolezza, la giusta cultura e i processi corretti, gli investimenti non saranno mai sufficienti.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato sulle novità tecnologiche iscriviti alla newsletter gratuita.
CONDIVIDI

LASCIA UN COMMENTO

Please enter your comment!
Please enter your name here