L’importanza del fattore umano nel contesto della sicurezza informatica è ormai un concetto acquisito e interiorizzato. Come altrettanto nota e sdoganata è la classica “contromisura” per contrastare il rischio associato all’agire umano: aumentarne la consapevolezza (awareness).
Questo obiettivo si raggiunge attraverso strumenti come programmi più o meno strutturati di formazione e consapevolezza. Dopo la formazione, l’esperienza e l’esercizio permettono di accrescere e costruire una specifica cultura della materia che rappresenta la vera e propria consapevolezza.
La consapevolezza non è una grandezza binaria (si/no, per intenderci), ma i valori di questo parametro sono associati a un intervallo continuo di “gradi”. Sicuramente risulta facile definire l’estremo inferiore (l’ignoranza nella materia o la completa inconsapevolezza), mentre la definizione del limite superiore presenta qualche difficoltà.
Quando possiamo dire di essere completamente consapevoli di un ambito di conoscenza? A mio parere, nel mondo della sicurezza, ma più in generale in tutti i campi della conoscenza, non esiste un “grado” finale oltre il quale non si possa esplorare.
Seppure non sia facile rispondere alla domanda riportata più sopra, sicuramente è possibile definire dei modelli che permettono di misurare l’efficacia e la maturità degli strumenti o dei programmi utilizzati per accrescere la consapevolezza. L’articolo introduce e descrive uno di questi modelli: nello specifico il modello definito nel 2011 dal SANS (SysAdmin, Audit, Network and Security: istituto privato americano specializzato nel campo della sicurezza delle informazioni), chiamato Security Awareness Maturity Model (o SAMM).
Indice degli argomenti
I vantaggi di misurare i programmi di formazione e consapevolezza
Al pari di altre contromisure (o controlli) di sicurezza, anche per i programmi di awareness è possibile misurare il grado di maturità o, se volete, l’efficacia. E poter misurare porta con sé molti vantaggi.
Innanzitutto, permette a un’azienda di misurare i risultati di implementazione del controllo. Tradotto potrebbe voler dire misurare il successo di un corso di formazione, di una campagna di sensibilizzazione e via dicendo.
Partendo dalla misura, poi, un’azienda potrebbe identificare un certo profilo di posizionamento iniziale e un profilo target a cui tendere, attraverso uno specifico piano di informazione e formazione strutturato sulla base di esigenze (o preferibilmente rischi e opportunità), costi, risorse, tempi.
Non solo. La scelta di un modello standard permette di rendere la misura oggettiva e ripetibile, oltre che confrontabile al di fuori del contesto aziendale. Pensate al concetto degli indici di macroeconomia (come il PIL).
Quasi sempre, le organizzazioni che definiscono modelli standard associano a tali modelli anche delle statistiche di uso da parte di un numero statisticamente sufficiente di aziende e dai risultati che ne derivano.
In questo caso, un’organizzazione può valutare anche il suo posizionamento rispetto al mercato e confrontarsi con altri player, che lavorano magari nello stesso settore di business. Le statistiche tipicamente sono arricchite da informazioni relative ad investimenti, modalità di implementazione eccetera.
In ultimo, l’esistenza di una misura potrebbe semplificare e supportare una decisione aziendale di investimento sulla sicurezza.
Il modello Security Awareness Maturity Model del SANS, descritto in questo articolo, mette a disposizione queste informazioni.
Il fattore umano e i suoi rischi: qualche esempio
Quando si parla di fattore umano vengono alla mente i classici comportamenti “sbagliati” o discutibili per la sicurezza, ma spesso non si arriva a identificare ed elencare nello specifico quali sono i rischi.
In un settore dove l’approccio al rischio è uno dei mantra più ricorrenti, ritengo opportuno elencare qualche esempio. Conoscendo il rischio, è possibile orientare quali aspetti di consapevolezza siano più critici e meritino di essere trattati e valutati. Il rischio legato al fattore umano può comprendere, ad esempio:
- essere vittima di phishing: esistono campagne di formazione specifiche mirate ad accrescere questa consapevolezza; in molti casi, comincia a vedersi qualche risultato, grazie ad una accresciuta consapevolezza;
- creare password non sicure: non sempre l’suo della tecnologia aiuta; l’uso della stessa password su diversi sistemi è un problema di consapevolezza, non di tecnologia;
- non effettuare update e patching dei sistemi, anche se disponibili e continuamente suggeriti dai nostri dispositivi;
- usare il del dispositivo mobile in maniera non sicura;
- condividere troppe informazioni sui social;
- essere inconsapevolmente target potenziale di attacco;
- perdere accidentalmente informazioni o essere vittima potenziali di furto di beni.
Dopo questa introduzione, veniamo alla descrizione del modello del SANS.
Il modello Security Awareness Maturity Model
Il modello prevede cinque livelli di classificazione dei programmi di formazione e accrescimento della consapevolezza.
Livello 1: Programma inesistente
Non esiste nessun programma di awareness. I collaboratori di un’azienda sono inconsapevoli di essere potenziali vittime di attacchi o, ancor peggio, che il loro comportamento possa abbia un impatto diretto sulla sicurezza delle informazioni per l’organizzazione.
In questo livello ricadono anche le organizzazioni che hanno definito politiche e procedure insieme a misure tecniche-organizzative, ma delle quali i collaboratori non ne sono a conoscenza.
Livello 2: Programma orientato alla conformità (o compliance)
I programmi di formazione sono orientati specificatamente a rispettare i requisiti previsti da norme e leggi. I programmi di formazione sono erogati sulla base dei requisiti minimi e, nei casi migliori su base annuale.
Il successo del programma di formazione è basato sulla partecipazione ai corsi, o nella migliore delle ipotesi su test somministrati al termine dei corsi stessi; magari con domande ad-hoc sui contenuti nozionistici. I collaboratori sono consapevoli dell’esistenza delle politiche ma non hanno dimestichezza con i contenuti e le finalità.
Si tratta di casi molto frequenti. Per fare un parallelo pensiamo al Decreto legge 81 del 2008 sulla sicurezza sul lavoro. Quanto siamo diventati più consapevoli dopo il corso? Abbiamo raggiunto il massimo livello di consapevolezza?
Tipicamente questi programmi di formazione rispecchiano i requisiti descritti sopra.
Altri esempi di questo livello possono essere i programmi di formazione previsti dagli adempimenti del nuovo Regolamento Europeo 2016/679 sulla privacy. Oppure per rimanere nel tema della sicurezza delle informazioni, i programmi di informazione e formazione previsti dal requisito del capitolo 7.1 (Consapevolezza) e del Controllo 7.2.2 (Consapevolezza, istruzione, formazione e addestramento sulla sicurezza delle informazioni) dell’Appendice A della norma ISO\IEC 27001:2013.
Livello 3: Programma di promozione della consapevolezza
Il programma identifica e definisce quali siano gli ambiti e i temi di interesse e di impatto sul business aziendale, da trattare e focalizzare.
La formazione non si limita ad incontri annuali in aula, ma si integra con eventi e iniziative continue nel tempo, che si realizzano in maniera differente dalla presenza in aula.
Tipicamente queste iniziative prevedono il coinvolgimento attivo delle persone, che incoraggi il cambiamento di comportamenti e abitudini. I collaboratori comprendono le finalità delle politiche e delle procedure e ne seguono le regole, e in maniera proattiva riconoscono, prevengono e segnalano eventuali anomalie.
Solo a partire da questo livello il programma inizia ad essere efficace nella riduzione dei rischi sulla sicurezza legati al fattore umano.
Livello 4: Programma con sostegno a lungo termine finalizzato al cambio culturale
A questo stadio il programma di awareness è supportato con processi, risorse, budget e leadership all’interno dell’organizzazione; si compone di obiettivi pluriennali e revisioni/stati di avanzamento almeno annuali.
L’obiettivo di programmi di questo tipo è il cambio culturale di lungo termine. Il tema della sicurezza informatica, con le sue politiche, procedure e best practice è nel DNA dell’organizzazione. Il programma di awareness è adeguatamente sponsorizzato e il suo valore è riconosciuto all’interno dell’organizzazione, dalla leadership a tutti collaboratori.
Le regole della sicurezza sono parte del pensiero delle persone, che non solo seguono le buone pratiche, ma disincentivano attivamente le cattive.
Livello 5: Programma con framework per la misurazione delle performance
Il programma di awareness non è solo strutturato in termini di risorse e processi, ma è talmente robusto da fornire framework per la valutazione delle performance. A questo stadio gli obiettivi del programma non solo sono orientati al cambiamento culturale, ma a dimostrare che il cambiamento è avvenuto.
Questo rappresenta il livello più maturo di un programma di formazione e consapevolezza: le persone sono così consapevoli da cambiare il modo di concepire la sicurezza informatica e i suoi rischi e il programma di awareness è in grado di misurarne i risultati.
Essendo focalizzato sulla misura, è opportuno riportare qualche considerazione sulle metriche da usare, secondo quanto riportato dallo stesso SANS.
Una categoria di metriche è utile alla misurazione del cambio di comportamento dei collaboratori: le conte di utenti vittime di phishing, di utenti che usano password sicure, che bloccano, di utenti che bloccano il dispositivo prima di allontanarsi, fanno parte di questa categoria.
Un’altra categoria di metriche utile alla misurazione degli impatti sul business aziendale, comprende, per esempio: il tempo medio per rilevare un incidente, il numero di incidenti, numero di infezioni da malware.
Conclusioni
Nell’articolo sono stati descritti i livelli di maturità dei programmi di formazione e consapevolezza. È bene precisare che non sempre la maturità necessaria sia la massima possibile per tutti i settori di business. L’aspetto fondamentale è saper posizionare il proprio programma di formazione e valutarne l’adeguatezza e la necessità di potenziamento. In fondo, anche questa è consapevolezza per un’organizzazione.
Può essere un utile esercizio provare a posizionare all’interno di questo modello il proprio programma di formazione aziendale. E successivamente, valutare se sia adeguato.
Se vi state chiedendo come siete posizionati rispetto agli altri, chiudo con una curiosità.
Secondo il Security Awareness Report del 2018 del SANS, il 53,2 % delle aziende che hanno aderito alla condivisione dei risultati si attesta sul livello intermedio (Promozione della consapevolezza), seguito dal 23,4 % sul secondo livello (Conformità), dal 13,1 % sul quarto livello (Cambio culturale), dal 5,5 % sul primo livello (Nessun programma) e, infine, dal 4,7 % dei primi della classe.
