[ANALISI DEL SONDAGGIO] Minacce informatiche nelle PMI e raccomandazioni

Nel sondaggio State of IT Security in SMBs in 2022-23 di Devolutions [report ora disponibile!], abbiamo chiesto a dirigenti e decisori di PMI di tutto il mondo di descrivere la loro visione generale sulla sicurezza IT, toccando argomenti come: cosa hanno vissuto nell’ultimo anno, cosa li preoccupa maggiormente oggi e cosa stanno facendo per proteggersi.

Ecco un riepilogo di quanto abbiamo appreso:

• Il 67% delle PMI è più preoccupato delle minacce informatiche quest’anno rispetto all’anno scorso, mentre il 28% ha lo stesso livello di preoccupazione e il 5% è meno preoccupato.
• Le prime 3 minacce informatiche che preoccupano maggiormente le PMI sono: ransomware, phishing e malware.
• Nell’ultimo anno, il 18% delle PMI ha subito più di 5 attacchi informatici, il 42% ne ha subiti da 1 a 5, mentre il 40% non ha subito alcun attacco informatico.
• Le 3 misure più comuni adottate dalle PMI per proteggersi dagli hacker esterni sono: applicare il principio del privilegio minimo, verificare regolarmente i privilegi degli account e implementare la separazione dei compiti.
• Le 3 misure più comuni adottate dalle PMI per proteggersi dalle minacce interne sono: applicare il principio del privilegio minimo, monitorare continuamente tutti gli account privilegiati e implementare la separazione dei compiti.

Nel report, forniamo un commento sulle probabili ragioni alla base di varie tattiche e tendenze, alcune positive, altre negative.

Nel resto di questo articolo, ci concentriamo su cosa possono fare le PMI per proteggersi dalle minacce informatiche, invece di adottare un approccio attendista o presumere di essere “troppo piccole per essere attaccate”. Questa presunzione può essere rassicurante, ma è falsa. Gli hacker prendono sempre più di mira le PMI (leggete questo articolo per scoprire i motivi principali).

Raccomandazioni per le PMI

La prima cosa da riconoscere è che prevenire tutti i possibili attacchi informatici sarebbe l’ideale, ma non è realistico. Esistono troppi tipi di minacce (incluso un flusso infinito di varianti). Inoltre, la superficie di attacco è vasta e continua a crescere, soprattutto con l’aumento del lavoro da remoto/ibrido.

La buona notizia, tuttavia, è che l’impatto del ransomware e di altre minacce informatiche può essere ridotto in modo significativo con una preparazione efficace. In particolare, consigliamo alle PMI di sviluppare una strategia di difesa che raggiunga i seguenti obiettivi fondamentali:

1. Limitare la capacità di un malintenzionato di muoversi liberamente all’interno dell’ambiente.
2. Garantire capacità di visibilità e risposta.
3. Prevenire un’esposizione non necessaria.
4. Implementare un ripristino delle operazioni solido ed efficiente.

Limitare la capacità di un malintenzionato di muoversi liberamente all’interno dell’ambiente

Una volta ottenuto l’accesso iniziale, gli hacker cercheranno (se non le hanno già) credenziali di alto valore per ottenere l’accesso amministrativo all’ambiente. Questo tentativo di elevazione verticale richiede in genere di spostarsi da un sistema all’altro. Una buona igiene degli account, insieme a un adeguato controllo e governance degli accessi privilegiati, rende più difficile per gli hacker rimanere inosservati. Le principali azioni che le PMI dovrebbero adottare includono:

• Implementare completamente una soluzione di gestione degli accessi privilegiati (PAM) completa, ma semplice da usare e gestire.
• Implementare l’autorizzazione doppia, nota anche come “principio dei quattro occhi”, secondo cui qualsiasi attività di un dipendente che comporti un rischio rilevante deve essere esaminata e confermata da un secondo dipendente indipendente e competente.
• Stabilire flussi di approvazione pertinenti, in cui le persone devono approvare dati o attività in punti specifici di un processo.
• Implementare le Local Administrator Password Solutions (LAPS), che gestiscono le password degli account locali dei computer aggiunti al dominio. Le password sono archiviate in Active Directory (AD) e protette da un elenco di controllo degli accessi (ACL), in modo che solo gli utenti autorizzati possano leggerle o richiederne il ripristino.

Garantire capacità di visibilità e risposta

Le soluzioni di rilevamento e risposta degli endpoint (EDR) sono essenziali per rilevare e prevenire malware noti e sconosciuti. Altre misure che le PMI dovrebbero adottare includono:

• Analisi comportamentale, che utilizza machine learning, intelligenza artificiale, big data e analisi per identificare comportamenti dannosi analizzando le differenze rispetto alle normali attività quotidiane.
• Capacità di contenimento, ovvero un metodo con cui l’accesso a informazioni, file, sistemi e reti viene controllato tramite punti di accesso.
• Monitoraggio centralizzato, in cui i processi di sicurezza informatica vengono gestiti in tutta l’organizzazione utilizzando un unico insieme centralizzato di strumenti, procedure e sistemi. Questo approccio elimina i compartimenti stagni tra i reparti di sicurezza informatica e utilizza una rete centralizzata per mettere tutto sotto un unico cappello.
• Esternalizzare parte o la totalità delle attività di sicurezza IT a un Managed Service Provider (MSP).

Prevenire un’esposizione non necessaria

Ridurre le dimensioni della superficie di attacco è fondamentale per bloccare l’accesso iniziale, l’elevazione e lo spostamento laterale (connessione ad altri sistemi) all’interno dell’ambiente. I sistemi non necessari per le operazioni aziendali, o non aggiornati tempestivamente con le patch, possono esporre vulnerabilità. I sistemi non necessari, o non disponibili per l’applicazione delle patch, dovrebbero essere gestiti in modo da non dare agli hacker l’opportunità di sfruttarli.

Implementare un ripristino delle operazioni solido ed efficiente

Dovrebbe essere predisposto un solido piano di backup e ripristino per facilitare un rapido recupero da un ransomware altamente dirompente. Consigliamo alle PMI di adottare le seguenti best practice:

• Aumentare la frequenza dei backup! A causa del ransomware, eseguire il backup dei dati una sola volta a notte non è più sufficiente. Tutti gli insiemi di dati dovrebbero essere protetti più volte al giorno.
• Allineare la strategia di backup alle esigenze del livello di servizio. Ad esempio, se il livello di servizio è di 15 minuti, i backup dovrebbero essere eseguiti almeno ogni 15 minuti.
• Rispettare la “regola del backup 3-2-1”. Questo implica conservare tre copie complete dei dati: due locali ma su due tipi di supporto diversi (o due diversi sistemi di archiviazione backup locali on-premise), e una copia conservata fuori sede.
• Prestare attenzione quando si spostano i dati nel cloud. Esaminare attentamente l’affermazione di un fornitore di offrire il disaster recovery as a service (DRaaS). Sebbene il DRaaS offra vantaggi significativi, non è una bacchetta magica. Le PMI devono ricordare che un disaster recovery “a portata di pulsante” non significa necessariamente un ripristino “istantaneo”.
• Automatizzare i runbook di disaster recovery. Ciò comporta la preimpostazione dell’ordine di ripristino e l’esecuzione del processo di ripristino appropriato con un solo clic. Questo approccio può essere molto vantaggioso per le PMI con applicazioni multilivello che utilizzano server interdipendenti, poiché aiuta a garantire il ripristino dove e quando è più necessario.
• Non utilizzare il backup per la conservazione dei dati. Ricordate che la maggior parte dei ripristini avviene a partire dal backup più recente, e non da un backup vecchio di diversi mesi, o possibilmente anni.
• Proteggere gli endpoint e le applicazioni SaaS. Laptop, desktop, smartphone e tablet possono contenere dati unici e preziosi, che non vengono mai archiviati in un dispositivo di storage del data center a meno che non ne venga eseguito il backup in modo specifico e deliberato.

Nel nostro prossimo approfondimento sul sondaggio State of IT Security in SMBs in 2022-23 di Devolutions, metteremo in evidenza le best practice per aiutare le PMI a implementare cinque principi e politiche fondamentali (alcuni dei quali menzionati sopra) che riducono in modo significativo i rischi legati alla sicurezza informatica: il principio del privilegio minimo, zero trust, la separazione dei compiti, la difesa in profondità e il principio dei quattro occhi.