Steven LafortuneAhimè, un altro 4 maggio è passato, e la celebrazione di tutto ciò che riguarda Star Wars è finita. O forse no?
Qui a Devolutions amiamo così tanto Star Wars che abbiamo voluto prolungare un po’ la festa. Volevamo anche puntare i riflettori su un film che negli anni è stato pesantemente denigrato e criticato, ma che oggi sta vivendo una sorta di rinascita, con alcuni fan che lo considerano ormai tra i migliori (e sicuramente il più oscuro e triste) dell’intera saga. Sì, stiamo parlando di Star Wars: Episodio III – La vendetta dei Sith.
Ed è stato allora che ci è venuta un’idea, come i due soli gemelli di Tatooine: cosa succederebbe se scandagliassimo il film in cerca di esempi degli errori di cybersecurity che le piccole e medie imprese (PMI) commettono spesso, per poi condividere come correggerli? Il concetto è stato debitamente approvato dal Consiglio Jedi di Devolutions (ossia il nostro gruppo di comunicazione nerd).
Quindi si metta comodo, si versi una Yoda Soda (sì, esiste davvero!) e si unisca a noi mentre raccogliamo avvertimenti e spunti di cybersecurity grazie ad Anakin Skywalker, al Sommo Cancelliere Palpatine, a Obi-Wan e al resto della banda de La vendetta dei Sith.
Non gestire l’accesso agli account privilegiati
La vendetta dei Sith è ricca di piccoli dettagli, e anche il fan più accanito può essere perdonato se ha trascurato qualcosa che sembrava irrilevante ma che in realtà era fondamentale. Si pensi, per esempio, alla scena epica in cui Obi-Wan affronta il Generale Grievous su Utapau. Obi-Wan riesce a usare la Forza per recuperare il blaster caduto del Generale, che poi utilizza per distruggerlo. Una scena avvincente e divertente.
Ma cosa sarebbe successo se il blaster del Generale fosse stato protetto da un meccanismo di autenticazione pensato per proteggere le armi assegnate agli ufficiali, armi che non dovrebbero funzionare per chiunque le raccolga semplicemente da terra? In quel caso, invece di conquistare la vittoria a colpi di blaster, Obi-Wan avrebbe potuto ritrovarsi a imprecare in basico galattico standard, twi’leki, amani, vecchio alderaaniano e shyriiwook.
Nello stesso modo, le PMI devono identificare, proteggere e monitorare i propri account privilegiati. A differenza degli account utente standard, gli account privilegiati dispongono di autorizzazioni elevate e offrono accesso a dati, sistemi e risorse critiche all’interno di un’organizzazione. Alcuni esempi (non esaustivi) sono gli account amministratore di dominio, gli account amministratore locale, gli account di accesso di emergenza, gli account di sistema e gli account di servizio di dominio.
Solo persone specifiche e autorizzate, come i SysAdmin (e forse i Cavalieri Jedi), dovrebbero avere accesso agli account privilegiati. Ma la realtà è ben diversa. Infatti, il 55% delle organizzazioni non sa quanti account privilegiati possiede o dove si trovino. Inoltre, oltre il 50% degli account privilegiati non scade mai né viene disattivato, e il 74% delle violazioni di dati inizia con l’abuso di credenziali privilegiate.
La buona notizia? Le PMI possono trasformare questa debolezza in un punto di forza grazie a una solida soluzione di Privileged Access Management (PAM). Per esempio, Devolutions PAM è una potente e conveniente soluzione di cybersecurity che controlla e monitora l’accesso privilegiato a sistemi e dati critici. Aiuta le PMI a proteggere le proprie “chiavi del regno” e a tenere fuori i malintenzionati (quelli hacker, non quelli di Hollywood). Per saperne di più su Devolutions PAM, consulti le FAQ.
Credere che i gestori di password siano soluzioni di sicurezza autonome
In La vendetta dei Sith, invece di abbracciare la Forza, Anakin Skywalker si volge al Lato Oscuro e diventa Darth Vader. Un promemoria vivido e inquietante del fatto che le cose, e le persone, non sono sempre ciò che sembrano, né ciò che vorremmo che fossero.
Lo stesso tipo di confusione esiste nel mercato della gestione delle password. Analizzare la questione è un po’ complicato (ma non si preoccupi, non è nemmeno lontanamente complesso come gli scambi di spade laser tra Palpatine e Anakin durante il duello su Mustafar).
In generale, utilizzare un buon gestore di password è più sicuro che non usarne nessuno, perché significa che gli utenti finali non stanno (si spera) conservando le password in fogli di calcolo, post-it o altri modi che tengono svegli di notte gli esperti di cybersecurity.
Tuttavia, nonostante il nome, i gestori di password non sono soluzioni di sicurezza autonome. Sono piuttosto strumenti di continuità operativa che permettono agli utenti di condividere cassaforti contenenti informazioni come credenziali, numeri di carte di credito, informazioni sulle connessioni remote e altro ancora.
Il vantaggio è che se un utente lascia l’organizzazione, i colleghi rimasti non devono scavare tra e-mail o documenti per trovare le password: basta accedere al gestore di password centralizzato, e tutto è lì.
Il problema è che non c’è nulla di intrinsecamente sicuro nei gestori di password. Basta che un utente in uscita copi e incolli le informazioni sensibili in un altro file. Sì, in teoria, questa vulnerabilità verrebbe eliminata se un’organizzazione cambiasse tutte le password ogni volta che qualcuno se ne va, ma si tratta di una soluzione altamente impraticabile. E il reset automatico delle password dopo ogni utilizzo non ha alcun effetto su app o siti web di terze parti.
Fortunatamente, le PMI possono superare questo problema integrando il proprio gestore di password con una soluzione che consenta anche il Privileged Session Management (PSM) o il Privileged Access Management (PAM). Questa combinazione offre funzionalità di sicurezza complete, come:
- Iniezione sicura delle credenziali
- Individuazione degli account
- Rotazione automatica delle password
- Avvisi e notifiche
- Processo di approvazione delle richieste di checkout
Per saperne di più sulle differenze tra i gestori di password e le soluzioni PSM/PAM, legga questo interessante articolo di Gabriel, il nostro Sales Ops Manager.
Non utilizzare l’autenticazione a più fattori (MFA)
Quando si tratta di guardaroba, battute fulminanti e musica heavy metal incredibilmente cool, l’Impero Galattico merita un 10 su 10. Ma quando si tratta di pratiche di cybersecurity di base, meritano di essere colpiti da un torrente di fulmini della Forza, perché le loro pratiche sono straordinariamente, e a volte comicamente, pessime. In pratica, le reti dell’Impero sono aperte a chiunque abbia voglia di collegarsi. Diamine, la password del Signore dei Sith è probabilmente “123456.”
In modo simile, nonostante i titoli costanti sugli attacchi informatici, molte PMI ancora non utilizzano uno dei modi più semplici e intelligenti per ridurre il rischio: l’MFA.
L’MFA aggiunge un ulteriore livello di sicurezza che richiede agli utenti di verificare la propria identità fornendo le proprie credenziali di accesso più un altro fattore, che può essere:
- Qualcosa che conoscono (per esempio una password, un PIN o la risposta a una domanda segreta)
- Qualcosa che possiedono (per esempio uno smartphone o un token hardware)
- Qualcosa che sono (per esempio un’impronta digitale, il riconoscimento vocale o la scansione della retina)
L’MFA non è a prova di proiettile al 100% (ma è comunque più resistente di qualunque materiale sia fatta l’armatura dei cloni: cos’è, polistirolo?). Resta comunque una scelta molto intelligente. Per le soluzioni Devolutions, l’MFA viene impostato a livello di sorgente dati, tranne in Devolutions Server, dove viene impostato a livello di utente. Visiti questa sezione della Knowledge Base per saperne di più e trovare i passaggi di configurazione.
Pensare di essere troppo piccoli per essere hackerati
In La vendetta dei Sith, Yoda capisce che le sue piccole dimensioni (appena 66 cm) non impediranno a nessuno di tentare di mandarlo in pensione anticipata. Basta chiederlo al Cancelliere Palpatine, che lo ha sconfitto nell’ufficio della Camera del Senato Galattico.
Sfortunatamente, alcune PMI non sono sagge come Yoda. Credono di non essere vulnerabili a una violazione dei dati perché gli hacker sono troppo occupati a colpire le grandi aziende. Si tratta di un’illusione. La verità è che gli hacker colpiscono sempre più spesso le PMI proprio perché si aspettano difese deboli o persino inesistenti. Si consideri quanto segue:
- Il 43% di tutti gli attacchi informatici a livello mondiale ora colpisce le PMI
- Il costo medio di una violazione dei dati per le PMI è salito a 2,98 milioni di dollari USA per incidente
- Il 69% delle PMI ha subito almeno un attacco informatico nell’ultimo anno
In conclusione? Le PMI devono fare del rafforzamento del proprio profilo di cybersecurity una priorità assoluta, altrimenti rischiano di ritrovarsi sul lato perdente di una battaglia molto costosa.
Cercare di fare tutto da soli
In La vendetta dei Sith, Obi-Wan cerca la guida di Yoda dopo aver scoperto la caduta di Anakin Skywalker verso il Lato Oscuro. È una chiara dimostrazione del fatto che anche le persone più capaci a volte hanno bisogno di aiuto.
In modo simile, molte PMI hanno bisogno di supporto per rafforzare le proprie difese di cybersecurity. Ecco due modi per ridurre il rischio:
-
Scegliere fornitori dedicati alle PMI. Questi fornitori offrono soluzioni e strumenti di cybersecurity potenti ma convenienti e facili da gestire. Da oltre 15 anni, Devolutions è orgogliosa di servire, supportare e rafforzare le PMI in tutto il mondo.
-
Collaborare con un Managed Services Provider (MSP) che, come Devolutions, si impegna ad aiutare le PMI in modo concreto ed economicamente vantaggioso. Legga questo articolo per alcuni consigli su come scegliere il partner MSP giusto.
Da ricordare: riconoscere di non disporre degli specialisti interni o della tecnologia necessaria per difendersi da hacker simili ai Sith non è debolezza, è saggezza.
Qual è la sua opinione?
Cosa ne pensa della nostra analisi dei cinque grandi errori di cybersecurity commessi dalle PMI e di come correggerli? C’è un errore (o più di uno) che considera particolarmente grave? Ce ne sono altri che aggiungerebbe alla lista? Continui a sentire la Forza e condivida i suoi pensieri qui sotto.