Proteggere i dirigenti e i membri del consiglio di amministrazione da minacce informatiche richiede un approccio multilivello, che combini la formazione degli utenti, la protezione dei dispositivi e dei sistemi, la gestione dei privilegi e la sorveglianza attiva delle attività: è dunque evidente, nel completamento di queste attività il ruolo determinante del CISO.
La formazione alla cyber security è un investimento che ritorna
Indice degli argomenti
Classe dirigente: un obiettivo attraente
È importante che i dirigenti e i membri del consiglio di amministrazione siano informati dei rischi e delle buone pratiche di sicurezza e che i loro dispositivi siano protetti da software di sicurezza di qualità. Inoltre, è importante monitorare costantemente le attività all’interno dell’azienda per rilevare e rispondere rapidamente alle minacce.
I dirigenti di alto livello rappresentano un obiettivo attraente per i criminali informatici poiché hanno accesso a informazioni sensibili e decisioni importanti all’interno dell’azienda. I loro dispositivi personali, come smartphone e computer portatili, possono rappresentare un facile punto d’ingresso per gli aggressori poiché spesso non sono protetti da livelli di sicurezza simili a quelli dei dispositivi aziendali.
Per proteggere questi individui, è importante che siano forniti loro dispositivi sicuri e che vengano addestrati ad utilizzare pratiche di sicurezza appropriate. E’ importante monitorare costantemente le attività all’interno dell’azienda per rilevare e rispondere rapidamente a qualsiasi minaccia.
È vero che gli incidenti informatici spesso includono un elemento umano, e i dirigenti sono soggetti alle stesse debolezze e vulnerabilità degli altri dipendenti, ma la loro posizione prevede il possesso di credenziali particolarmente ambite e l’accesso ad informazioni estremamente riservate.
Come menzioni, i recenti studi hanno dimostrato che la maggior parte delle violazioni coinvolgono l’elemento umano, in particolare attraverso tecniche di phishing, BEC (Business Email Compromise) e furto di credenziali.
Ciò rende importante che i dirigenti e i membri del consiglio di amministrazione vengano addestrati ad utilizzare pratiche di sicurezza appropriate e che vengano monitorate costantemente le attività all’interno dell’azienda per rilevare e rispondere rapidamente a qualsiasi minaccia.
È importante che le aziende implementino misure tecniche per rafforzare la sicurezza delle email e dei sistemi, come la verifica in due passaggi, l’autenticazione a più fattori, la crittografia e la gestione delle password, in modo da ridurre la vulnerabilità all’elemento umano.
Sfera privata, la nuova superficie di attacco
Sta emergendo una nuova classe di rischio che prende di mira i ranghi più alti di un’organizzazione attraverso strade prettamente personali. I dirigenti sono sempre più esposti a minacce informatiche poiché le loro vite digitali diventano sempre più interconnesse e interdipendenti dalle loro vite professionali. I dispositivi domestici, le attrezzature di sicurezza, i dispositivi familiari e persino le interazioni con i social media possono rappresentare vulnerabilità e porre rischi per la sicurezza sul posto di lavoro.
Ciò significa che la sfera privata è diventata una nuova superficie di attacco utile ai criminali informatici ed è importante che i dirigenti e i membri del consiglio di amministrazione siano informati dei rischi e delle buone pratiche di sicurezza per proteggere sé stessi e l’azienda da queste minacce.
La gestione dei rischi esterni è una sfida importante per le organizzazioni, poiché non possono essere facilmente controllati. La vita privata e digitale dei dirigenti può rappresentare un rischio significativo, poiché una percentuale significativa di essi ha un aspetto della propria vita privata e digitale compromessa.
È importante che le organizzazioni abbiano in atto misure per proteggere i propri dirigenti e prevenire eventuali problemi legati alla loro vita privata e digitale.
Il rischio informatico dei dirigenti è aumentato significativamente a causa della pandemia e del lavoro ibrido, che ha messo in evidenza le vite digitali professionali e personali dei dirigenti. La situazione geopolitica complessa, l’attivismo digitale contro le aziende, soprattutto in settori ad alto rischio e la possibilità di guadagni finanziari mirando ai leader facoltosi, hanno aumentato il rischio per la vita digitale personale dei dirigenti.
Una grande organizzazione, soprattutto se quotata in borsa, con un gruppo dirigente che ha una presenza nei media e sui social media, può essere un obiettivo per i malintenzionati.
Alcuni gruppi criminali minori hanno scoperto che possono ottenere guadagni monetari utilizzando malware o ransomware facili da acquistare online e distribuendoli ai leader dell’azienda. Questo rappresenta un rischio significativo per le organizzazioni, poiché i danni causati da questi attacchi possono essere significativi, soprattutto la proprietà intellettuale che è una forma comune di rischio personale per i dirigenti, poiché la perdita di documenti aziendali dai dispositivi personali o dagli account personali può rappresentare una minaccia significativa per l’azienda.
I dirigenti aziendali spesso hanno sistemi domestici intelligenti con telecamere di sicurezza e servizi che ospitano una varietà di dispositivi e servizi, e questi possono rappresentare punti di ingresso potenziali per i malintenzionati. È importante che le organizzazioni adottino misure di sicurezza adeguate per proteggere la proprietà intellettuale, come ad esempio la formazione sulla sicurezza digitale, la gestione dei privilegi di accesso, la protezione dei dispositivi mobile, la creazione di una cultura di sicurezza e la monitoraggio costante dei sistemi.
Quando la violazione personale porta all’attacco aziendale
Il doxxing è una forma di violazione della privacy e può causare danni significativi alla reputazione di una persona, nonché intimidazioni e persino estorsioni.
È importante che le vittime del doxxing chiedano assistenza legale e segnalino l’incidente alle autorità competenti. Inoltre, è importante che le persone prendano precauzioni per proteggere la propria privacy online, come utilizzare password forti e non condividere informazioni personali sui social media. Spesso quello che si reputa sicuro da poter condividere online sui social media, non lo è.
Gli esperti di sicurezza informatica concordano che affrontare le questioni di sicurezza non deve creare ulteriore tensione tra i dirigenti, le loro famiglie e l’utilizzo della tecnologia. Invece, è importante ridurre la superficie di attacco per gli account, i servizi e i dispositivi dei dirigenti, attraverso la messa in atto di misure di sicurezza efficaci.
Ciò include l’utilizzo di password forti, la configurazione di autenticazione a due fattori, la limitazione dell’accesso ai dispositivi e alla rete, la formazione degli utenti su come gestire la sicurezza e la configurazione di software di sicurezza adeguato. È importante che ci sia un piano di gestione dei rischi in atto che consenta di identificare e mitigare i rischi in modo tempestivo.
Garantire la protezione dei dirigenti al di fuori dell’ambiente aziendale/hardware può essere una sfida, poiché non è sempre possibile intervenire direttamente nella loro vita digitale personale. I dirigenti spesso desiderano mantenere una distinzione tra vita privata e lavoro e vogliono mantenere la loro privacy.
In questi casi, è importante che le aziende adottino una prospettiva di partnership con i dirigenti per identificare e gestire i rischi aziendali, mentre rispettano la loro privacy personale. Ciò può includere la formazione e la consulenza su come proteggere la propria privacy online, oltre a fornire strumenti e soluzioni aziendali per proteggere i dati e le informazioni personali dei dirigenti.
Come i CISO devono mitigare i rischi per la classe dirigente
E’ importante comprendere come e dove si intersecano i due ambienti di rischio, aziendale e personale, per poter gestire efficacemente i rischi. Un buon punto di partenza può essere analizzare la presenza online dei dirigenti e comprendere quanto siano esposti sui social media e sui siti web aziendali, ad esempio su “Chi Siamo” dei web aziendali. Successivamente, è possibile identificare i maggiori rischi che questi individui possono affrontare nella loro vita personale.
Gli attacchi informatici sofisticati e ben coordinati possono iniziare compromettendo un dirigente e poi propagarsi all’interno dell’organizzazione, per questo è importante prestare attenzione ai cambiamenti nei profili di rischio della leadership e del team esecutivo.
Ciò significa rimanere costantemente in allerta per scoprire eventuali punti deboli, che possono essere enormi. Un CEO che fa frequenti apparizioni sui media, ha rapporti aperti al controllo pubblico o è semplicemente abbastanza noto da essere incluso nelle conversazioni sui social media, può rappresentare un obiettivo per gli hacker.
È importante essere consapevoli delle minacce che possono potenzialmente danneggiare l’individuo e la sua capacità di svolgere il proprio lavoro all’interno dell’organizzazione.
Come proteggere i “gioielli della corona” aziendali
Per affrontare le potenziali vulnerabilità che possono passare dal personale all’azienda, è importante intraprendere una valutazione del rischio che includa l’identificazione dei “gioielli della corona” dell’azienda che devono essere protetti.
Questo processo deve includere una valutazione dei potenziali rischi, anche attraverso attacchi personali, e lo sviluppo di strategie di mitigazione. È importante assicurarsi che quante più minacce o vulnerabilità possibili siano documentate e prese in considerazione, in modo da poter valutare la probabilità e l’impatto di qualsiasi violazione personale.
Ciò può essere fatto attraverso la creazione di un piano di gestione dei rischi, che identifichi i rischi potenziali, valuti probabilità e impatto e stabilisca misure di mitigazione per prevenirli o ridurne l’impatto. Inoltre, è importante tenere costantemente aggiornato il piano di gestione dei rischi per assicurarsi che sia sempre adeguato alle nuove minacce emergenti.
È importante quindi verificare cosa significa la minaccia per i dirigenti e i membri del consiglio di amministrazione e i dirigenti di livello C, e basare le misure di sicurezza su questa valutazione.
La valutazione del rischio deve essere basata sulla propensione al rischio dell’individuo e su ciò che l’azienda ritiene importante proteggere, come ad esempio informazioni riservate, proprietà intellettuale e reputazione aziendale.
È importante che l’approccio alla sicurezza sia flessibile e adattabile, per rispondere efficacemente alle minacce emergenti e al cambiamento del panorama. In questo modo, l’azienda può identificare i punti deboli e implementare misure di sicurezza adeguate per proteggere i propri asset e garantire la continuità del business.
Le strategie di mitigazione possono includere politiche su quali e quante informazioni i dirigenti possono divulgare pubblicamente su se stessi, per ridurre l’esposizione a possibili attacchi. È fondamentale raccogliere quante più informazioni possibili per valutare la minaccia, inserirla nel proprio registro dei rischi e poi agire di conseguenza perché ignorare una minaccia può essere rischioso. Serve essere sempre attenti e preparati perché le minacce informatiche sono in continua evoluzione e non sempre è possibile prevedere come e quando si manifesteranno.
Una specifica formazione sulla sicurezza informatica
Oltre alle strategie di valutazione e mitigazione del rischio, la formazione interna è un elemento importante per proteggere l’impronta digitale di un dirigente.
Il C-suite, il consiglio di amministrazione e tutto il personale dirigenziale dovrebbero frequentare una formazione di sensibilizzazione su misura che includa esercizi di simulazione di phishing, esercizi da tavolo e dimostrazioni di come gestire una crisi organizzativa causata da un incidente informatico.
Questo tipo di formazione aiuta a preparare i dirigenti alle potenziali minacce e ad adottare pratiche di sicurezza efficaci per proteggere loro stessi e l’azienda. Inoltre, è importante che la formazione sia costantemente aggiornata per tenere conto delle nuove minacce emergenti e delle ultime best practice di sicurezza.
La formazione deve far parte di un programma pluriennale di miglioramento della sicurezza, che dovrebbe coinvolgere persone, processi e tecnologie, e che dovrebbe essere considerato come un’attività normale per l’azienda. Il programma di sicurezza dovrebbe essere concepito per coprire tutti gli aspetti della sicurezza, comprese le minacce alla supply chain digitale e aziendale, e l’ecosistema di intelligence della comunità della sicurezza.
È importante considerare anche le possibili multe normative e i danni alla reputazione, che possono derivare da una violazione della sicurezza, perché questo può aiutare a stabilire le priorità per la protezione dei dati e delle informazioni.
La sicurezza informatica non è un evento isolato, ma un processo continuo che richiede un’attenzione costante e una costante revisione e aggiornamento delle misure di sicurezza.
È importante aggiornare costantemente il registro dei rischi sia per i dirigenti C-suite sia per tutto il reparto dirigenziale, poiché il panorama delle minacce informatiche si evolve rapidamente con nuove tattiche e tecniche.
Le metriche di sicurezza, gli indicatori chiave di rischio e gli indicatori chiave di prestazione delle iniziative e dei progetti di sicurezza informatica devono essere continuamente monitorati per garantire la realizzazione di un programma di miglioramento della sicurezza informatica di successo.
Questo aiuta l’azienda a soddisfare la sua attuale propensione al rischio e a prepararsi per le minacce future per i suoi dirigenti e per l’azienda stessa. E’ importante che il programma di sicurezza sia integrato con le politiche e le procedure aziendali e che ci sia una forte collaborazione da parte di tutti.
Considerare una cultura aziendale
La cultura aziendale è un fattore chiave nella gestione del rischio esecutivo in materia di sicurezza informatica. Il CISO deve adottare un approccio olistico che coinvolga tutti i dirigenti dell’azienda, inclusi il CFO, il CEO e l’HR, per promuovere una cultura di responsabilità condivisa per la sicurezza informatica. Ciò significa che tutti i dipendenti devono essere consapevoli del rischio condiviso e del proprio ruolo nella prevenzione e nella gestione delle minacce informatiche.
I membri del consiglio di amministrazione e i dirigenti devono comprendere il rischio informatico e l’impatto che questo ha sull’azienda. Il CISO deve quindi essere in grado di comunicare chiaramente queste informazioni, mostrando come i loro investimenti in sicurezza producano o possono produrre risultati concreti e quantificabili. La trasparenza è fondamentale, perché i dirigenti non devono essere confusi da valutazioni complesse e difficili da comprendere.
Il CISO deve presentare informazioni pertinenti in modo semplice e accessibile, in modo che i dirigenti possano prendere decisioni informate e consapevoli, e comprendere il rischio aziendale e l’impatto delle minacce informatiche.
I consigli di amministrazione spesso chiedono al CISO quanto sia buona la sicurezza informatica dell’azienda e se siano al sicuro. Utilizzare un framework di maturità per la sicurezza informatica può aiutare a fornire risposte dettagliate e complete a queste domande, ma è importante essere realistici nelle risposte.
Non è possibile garantire al 100% la sicurezza informatica, poiché ci sono sempre rischi e minacce emergenti. Invece, il CISO dovrebbe fornire una risposta realistica, indicando che l’azienda sta prendendo misure per ridurre al minimo il rischio e proteggere i propri sistemi e dati, limitando anche le implicazioni legali.
Conclusioni
In sintesi, i CISO possono gestire la sicurezza informatica dei dirigenti di alto livello attraverso diverse strategie:
- Comunicazione efficace: i CISO devono essere in grado di comunicare i rischi informatici e le misure di sicurezza in modo semplice e accessibile per i dirigenti di alto livello, in modo che possano comprendere il rischio e prendere decisioni informate e consapevoli.
- Formazione continua: i CISO possono fornire formazione continua sui rischi informatici e su come gestirli, in modo che i dirigenti di alto livello siano sempre aggiornati sui problemi di sicurezza più recenti.
- Collaborazione: i CISO devono lavorare in stretta collaborazione con i dirigenti di alto livello per garantire che le misure di sicurezza siano adeguate e che i rischi siano gestiti in modo efficace.
- Metriche e report: i CISO possono utilizzare metriche e report per misurare l’efficacia delle misure di sicurezza e presentare i risultati ai dirigenti di alto livello, in modo che possano valutare l’impatto delle misure di sicurezza sull’azienda.
- Pianificazione del rischio: i CISO devono essere in grado di identificare e valutare i rischi informatici e pianificare le misure di sicurezza in modo da proteggere l’azienda da tali rischi.
