Mese della consapevolezza sulla sicurezza informatica: 7 consigli essenziali per restare al sicuro

Ottobre è il Mese della consapevolezza sulla sicurezza informatica. Lanciato nel 2004, si tratta di un evento riconosciuto a livello internazionale per aiutare il pubblico generale a conoscere la sicurezza informatica: cosa fare e cosa non fare (e qualche “wow, non pensare nemmeno lontanamente di farlo!”).

Oggigiorno, l’importanza della consapevolezza e della formazione in materia di sicurezza informatica non può essere sottovalutata. Come abbiamo recentemente evidenziato nel nostro articolo Statistiche allarmanti sulla criminalità informatica: edizione 2023, la situazione è preoccupante. Ad esempio, il numero di attacchi malware ha raggiunto i 5,5 miliardi all’anno, il 71% delle aziende dichiara di essere stato vittima di attacchi ransomware, e si prevede che il costo globale della criminalità informatica raggiungerà l’incredibile cifra di 8.000 miliardi di dollari all’anno entro la fine di quest’anno.

Un ripasso per Lei, una rivelazione per loro

Per celebrare il Mese della consapevolezza sulla sicurezza informatica in Devolutions, abbiamo chiesto ai nostri team di sicurezza di stilare un elenco di sette consigli essenziali che, a loro avviso, ogni PMI dovrebbe seguire.

Se è un professionista IT che potrebbe scrivere un libro (o probabilmente diversi) su buone abitudini e pratiche di sicurezza informatica, la incoraggiamo a utilizzare questo articolo come ripasso. Anche gli esperti più navigati possono trarre beneficio dal rivedere di tanto in tanto le basi!

Inoltre, la invitiamo a condividere questo articolo con colleghi, clienti e altri membri della sua rete che potrebbero non essere al corrente di alcune problematiche chiave e best practice. Questi consigli potrebbero essere la rivelazione di cui hanno bisogno per stare al riparo dai pericoli.

Consiglio n. 1: sia proattivo e presuma di essere un bersaglio

Invece di credere di essere “troppo piccole per essere prese di mira”, le PMI dovrebbero presumere di essere già nel mirino e rafforzare proattivamente il proprio profilo di sicurezza informatica. Farlo è DI GRAN LUNGA più economico, veloce e semplice che cercare di rimediare ai danni dopo un attacco.

Tenga presente che gli hacker prendono sempre più di mira le PMI, le cui misure di sicurezza sono fin troppo spesso deboli. Nell’ultimo anno, il 60% delle PMI ha subito almeno un attacco informatico, con il 18% che ne ha subiti sei o più, e il costo finanziario di un attacco informatico per una PMI varia ora da 120.000 a 1,24 milioni di dollari per incidente. Ancora più preoccupante è il fatto che il 60% delle PMI cessa l’attività entro sei mesi da un attacco informatico.

Consiglio n. 2: implementi 5 politiche per ridurre i rischi e aumentare il controllo

Le PMI dovrebbero adottare cinque politiche fondamentali per minimizzare i rischi legati alla sicurezza informatica, aumentando al contempo la supervisione e il controllo. Tra queste:

• Il principio del privilegio minimo (POLP): gli utenti finali ottengono solo il livello di accesso necessario per svolgere le proprie attività quotidiane, né più né meno. Gli utenti finali che necessitano temporaneamente di privilegi elevati dovrebbero inoltrare una richiesta che il SysAdmin approva o rifiuta.
• L’architettura zero trust, basata sul principio secondo cui nessuno dovrebbe essere automaticamente considerato affidabile. Gli utenti finali (così come macchine e applicazioni) devono invece essere autenticati tramite tecnologie come MFA, IAM, crittografia, analisi, ecc.
• La separazione dei compiti, che impedisce a un singolo individuo di essere responsabile dello svolgimento di compiti in conflitto tra loro.
• La difesa in profondità, che utilizza più livelli di protezione per rallentare gli hacker mentre tentano di farsi strada verso il perimetro e, da lì, verso le risorse critiche per l’attività.
• Il principio dei quattro occhi, che richiede che qualsiasi attività di un utente finale che comporti un rischio rilevante venga esaminata e confermata da un secondo dipendente, indipendente e competente.

Consiglio n. 3: utilizzi il PAM per colmare il divario tra autenticazione e autorizzazione

Le PMI devono implementare pienamente una soluzione di gestione degli accessi privilegiati (PAM) che colmi il divario tra autenticazione e autorizzazione. In sostanza, il PAM è composto da due parti:

• La gestione dell’identità, che riguarda CHI è un utente finale.
• La gestione degli accessi, che riguarda COSA un utente finale è autorizzato a fare.

Anche l’espressione “implementare pienamente” è importante. Sebbene il 98% delle PMI gestisca gli account privilegiati in una certa misura, solo il 12% dispone di una soluzione PAM pienamente implementata, il che significa che l’88% è più vulnerabile (e in molti casi decisamente di più) di quanto pensi.

Consiglio n. 4: metta in atto un piano solido e pratico, e lo rispetti!

Le PMI devono elaborare e seguire un piano completo che, come minimo, dovrebbe includere tre elementi fondamentali:

• Definire e documentare gli obiettivi: molte PMI si concentrano sulla competenza e sulla conformità degli utenti finali (aspetto importante), ma trascurano di verificare che gli obiettivi siano compresi, o addirittura conosciuti, fin dall’inizio!
• Definire ruoli e responsabilità: assicurarsi che i principali stakeholder interni comprendano i requisiti di sicurezza informatica in tutta l’azienda e mapparli in una matrice RACI (Responsabile, Approvatore, Consultato, Informato).
• Comunicare a valle e monitorare a monte: le politiche di sicurezza informatica devono essere disponibili per tutti gli stakeholder e gli aggiornamenti devono essere comunicati tempestivamente. È fondamentale stabilire canali di comunicazione bidirezionali, così come apportare continui aggiustamenti e miglioramenti quando necessario.

Consiglio n. 5: renda gli utenti finali parte della soluzione

Le PMI dovrebbero fornire agli utenti finali una formazione sulla consapevolezza della sicurezza informatica incentrata sulle problematiche, i rischi e le minacce fondamentali. Tra i temi chiave che dovrebbero far parte della formazione: controllo degli accessi, furto di identità, ingegneria sociale (ad esempio, phishing, compromissione delle e-mail aziendali), segnalazione degli incidenti, gestione delle password, sicurezza fisica, rischi del lavoro da remoto e altro ancora.

Inoltre, è estremamente importante che le PMI identifichino ed eliminino lo “Shadow IT”, ovvero l’utilizzo di hardware, software e/o servizi cloud senza la conoscenza e l’approvazione del team IT. Gartner prevede che entro il 2027 il 75% dei dipendenti acquisirà, modificherà o creerà tecnologia al di fuori della visibilità del reparto IT, rispetto al 41% del 2022.

Consiglio n. 6: potenzi competenze e capacità con un MSP

Le PMI che non dispongono di competenze interne in materia di sicurezza IT e sicurezza del cloud, sia perché non riescono a trovare le persone di cui hanno bisogno, sia perché le trovano ma non possono permettersi di assumerle, dovrebbero collaborare con un Managed Service Provider (MSP) per colmare il divario di competenze e capacità.

Cosa cercare in un MSP? Ecco alcuni fattori chiave da tenere presenti:

• Scelga un MSP che abbia una comprovata capacità di soddisfare le sue esigenze specifiche.

• Scopra quanto tempo impiega solitamente un MSP a rispondere a un problema, quanto velocemente risolve i problemi e cosa aspettarsi in caso di necessità di supporto in loco. Tutti questi impegni e standard dovrebbero essere sanciti nell’Accordo sul livello di servizio (SLA).

• I malintenzionati, così come i software e i sistemi IT malfunzionanti, non vanno mai in vacanza, e nemmeno il suo MSP dovrebbe farlo. Dovrebbe monitorare la sua infrastruttura 24 ore su 24, 7 giorni su 7, 365 giorni all’anno, e disporre di più strumenti e politiche a supporto della continuità operativa e del ripristino di emergenza.

• Un MSP dovrebbe certamente fornirle consigli informati, ma in definitiva, qualsiasi decisione riguardante fornitori, strumenti e tecnologie deve essere al 100% sua.

• Un MSP dovrebbe essere in grado di comunicare in modo chiaro ed efficace sia con il pubblico IT che con quello non IT.

Consiglio n. 7: sostituisca la sua VPN con un gateway just-in-time

Nonostante la loro grande diffusione e gli importanti vantaggi, le reti private virtuali (VPN) comportano diversi problemi:

• Sono notoriamente difficili e dispendiose in termini di tempo da implementare, il che è particolarmente problematico per le PMI che non dispongono di team IT numerosi.
• I client VPN incanalano il traffico attraverso la rete privata, il che può degradare in modo significativo le prestazioni della rete.
• Quando concedono un accesso temporaneo, i SysAdmin devono dedicare tempo ad aggiornare e monitorare le regole VPN e firewall.

La soluzione a questi svantaggi? Sostituire la VPN con un gateway just-in-time che:

• Si implementa in modo rapido e semplice.
• Migliora le prestazioni della rete limitando il tunneling alle connessioni RDP, così da non avere alcun impatto negativo sul resto del traffico di rete.
• Sostituisce le regole statiche di VPN e firewall con regole di accesso dinamiche, eliminando la necessità per i SysAdmin di aggiornare le regole VPN e firewall per l’accesso temporaneo.

Per saperne di più sui vantaggi di sostituire una VPN con un gateway just-in-time.

Dalla scrivania del CISO di Devolutions, Martin Lemay:

Siamo nell’era del Far West digitale, dove le minacce sono numerose. Tutte le organizzazioni, ma in particolare le PMI sempre più prese di mira, devono assolutamente sviluppare una capacità di difesa per proteggere i propri interessi, e quelli di tutti i loro stakeholder, da opportunità di attacco informatico spesso prevedibili. Che questa capacità venga sviluppata internamente o esternalizzata, la competenza in materia di sicurezza informatica è fondamentale per mantenere l’equilibrio.

Conclusione

Sebbene ottobre sia il Mese della consapevolezza sulla sicurezza informatica, comprendere i rischi e le minacce, e sapere come identificarli, controllarli e ridurli, deve essere uno sforzo costante durante tutto l’anno.

Ovviamente, questi sette consigli non intendono fornire alle organizzazioni un piano completo e dettagliato. Ma dovrebbero far parte delle basi per l’azione e la consapevolezza. Come tutti sappiamo, più il furto di identità e di dati diventa redditizio, peggio andranno le cose. Considerati i potenziali costi e conseguenze, un profilo di sicurezza informatica solido, affidabile e conforme non è più facoltativo: è essenziale!