Di fronte ad attacchi cyber sempre meno “a largo spettro” e sempre più mirati sugli obiettivi da colpire, le aziende sono di fatto obbligate a rivedere le proprie strategie difensive adottando misure di sicurezza diversificate e implementando sistemi di sicurezza informatica basati su un approccio sistemico che coinvolga le persone, i processi e le tecnologie. Perni essenziali su cui lavorare contemporaneamente per avere delle difense aziendali che siano in grado di rispondere a qualsiasi attacco esterno.
“Il punto di partenza di qualsiasi piano di security aziendale, infatti, è sempre rappresentato dalla consapevolezza delle persone e dalla security awareness”, ci dice Christian Maggioni, Managing Director & Equity Partner di Altea 365.
Ciascun utente aziendale (intendendo non solo i dipendenti, ma tutte le persone che in qualche modo accedono alle infrastrutture dell’organizzazione) deve avere la consapevolezza del proprio ruolo nel prevenire e ridurre le minacce informatiche, mentre il personale tecnico specializzato nella sicurezza informatica deve essere in grado e pronto a rispondere agli eventuali attacchi.
Parallelamente, i processi sono fondamentali per le organizzazioni al fine di definire le relazioni tra attività, i ruoli e la documentazione generata durante i normali processi produttivi. Lo scopo è, evidentemente, quello di limitare il più possibile i rischi relativi alla sicurezza delle informazioni. E poiché le minacce informatiche sono in costante evoluzione, le aziende sono costrette a rivedere con regolarità i propri processi per potersi adattare e adeguare ad esse.
Infine, un qualsiasi piano di security deve partire dall’analisi dei rischi a cui l’azienda è potenzialmente esposta: solo così è possibile determinare correttamente i controlli e le misure di sicurezza da adottare. In questo senso, le tecnologie possono essere implementate per prevenire o ridurre l’impatto di tali rischi, a seconda delle conclusioni tratte dalla valutazione dei rischi aziendali e da ciò che si ritiene essere un livello accettabile di rischio.
Indice degli argomenti
Sistemi di sicurezza informatica: quale strategia
È vero, infatti, che la Digital Transformation e le tecnologie disruptive hanno reso la superficie di attacco potenziale sostanzialmente illimitata, tutto questo in un contesto in cui sempre più spesso anche le PMI sono diventate obiettivi primari per i criminal hacker. Proprio i piccoli fornitori o i partner delle grandi organizzazioni potrebbero essere utilizzati come punto di accesso a tutta la supply chain. Il caso SolarWinds è emblematico di questa nuova tendenza del cyber crimine, un vero e proprio supply chain attack realizzato sfruttando un anello debole nella catena del valore (ndr).
E purtroppo, la maggior parte di questi stessi attacchi ha successo proprio a causa dell’impreparazione del personale aziendale.
Alla luce di quanto descritto sopra, nasce la necessità di adottare sistemi di sicurezza informatica “a strati” che, all’aumentare del livello di estraneità e della complessità della minaccia, consenta non solo di prevenire l’attacco conosciuto grazie a strumenti classici quali antivirus, antispam e Webfilter, ma anche di correlare le informazioni, rilevare e rispondere ad attacchi sconosciuti.
In questo senso, è sempre più difficile riuscire a dare un “peso” alle attività di prevenzione degli incidenti informatici e di incident response. La complessità dell’attuale scenario del crimine informatico obbliga le aziende a un continuo bilanciamento tra le azioni di mitigazione delle minacce e quelle di risposta attiva e proattiva alle stesse.
Ecco dunque delinearsi sempre più chiaramente la visione sistemica della sicurezza informatica che richiede necessariamente di affiancare agli strumenti di difesa proattiva delle cyber minacce, anche un team con competenze specifiche, in grado di attuare prontamente processi di response.
Da qui la necessità di creare innanzitutto una vera e propria cultura della sicurezza informatica adottando piani di security awareness che forniscano ai dipendenti gli strumenti necessari a riconoscere ogni possibile minaccia.
Ma è evidente che la formazione da sola non basta per contrastare attacchi informatici che si aggiornano giorno dopo giorno al fine di aggirare le soluzioni di sicurezza messe in campo da chi deve difendersi.
È opportuno monitorare costantemente tutti i punti nevralgici delle infrastrutture aziendali mediante un monitoraggio con nuovi approcci, come quello dell’Artificial Intelligence e tramite programmi strutturati di penetration test e vulnerability assessment che mettono in evidenza vulnerabilità e punti di attacco possibili.
I costi di un attacco e la valutazione dei rischi
Avere un piano dei rischi è dunque molto importante anche per creare in azienda la necessaria percezione del problema rappresentato dalle cyber minacce.
Ma anche per avere cognizione dei costi che potrebbero derivare da un attacco informatico. Costi che, ovviamente, variano a seconda dell’entità e dell’esito dell’attacco ma che in genere è possibile quantificare nelle seguenti categorie:
- denaro
- tempo
- responsabilità legali/giuridiche
“La valutazione del rischio, quindi, deve innanzitutto tener conto del fatto che spesso il danno maggiore non riguarda solo l’aspetto finanziario, ma quello connesso all’interruzione dei servizi IT che permettono la distribuzione e vendita dei servizi offerti dall’azienda”, è ancora il commento di Christian Maggioni di Altea 365.
Senza dire che il danno reputazionale incide pesantemente sulle vendite, sul rapporto con il Cliente ma anche sui rapporti con investitori e finanziatori.
D’altra parte, ormai diverse stime indicano che in media l’85% dei beni aziendali sono di natura digitale. Un attacco, quindi, facilmente può incidere sulle opinioni di investitori e azionisti.
Tuttavia, non sono solo queste tipologie di costi a incidere, soprattutto quando parliamo di PMI. Proprio le aziende di piccole e medie dimensioni, infatti, in caso di attacco devono affrontare anche molti costi indiretti, come per esempio cause civili da parte di clienti o partner commerciali, multe per violazioni della conformità normativa come, ad esempio, le sanzioni a cui si va incontro per violazione delle norme contenute nel GDPR), rimborsi e incentivi per i clienti, vendite e opportunità commerciali perse e premi assicurativi.
Le soluzioni di outsourcing per le PMI
Secondo Christian Maggioni, “la complessità di simili scenari spiega anche il perché sempre più aziende, soprattutto quelle meno strutturate e quindi più vulnerabili al cyber crimine, si rivolgono a servizi di IT as a Service che rappresentano un elemento ormai fondamentale ed irrinunciabile nei piani di sviluppo, in quanto in grado di fornire strumenti e competenze avanzate di cyber security in qualsiasi momento”.
Ciò è ancor più vero qualora le aziende ricorrano a soluzioni e piattaforme cloud che offrono, è vero, una riduzione rilevante dei costi e della complessità di gestione, ma al contempo, proprio per la loro natura decentralizzata, devono necessariamente fare affidamento su un nuovo approccio di sicurezza.
In tutti questi casi, utilizzare controlli di sicurezza predefiniti a più livelli e strumenti utili a identificare e proteggere le organizzazioni da minacce in rapida e costante evoluzione è oggi essenziale.
In questo senso, le aziende trovano un valido supporto nell’offerta di Altea 365 che ha sviluppato una proposta per guidarle, step by step, attraverso un percorso alla security awareness. Un approccio sistematico, appunto, che parte dall’analisi del rischio, fino alla definizione e all’implementazione di soluzioni totalmente personalizzabili e integrabili.
Grazie al proprio know-how e all’ampio ecosistema di partnership, Altea 365 è in grado di offrire ai propri clienti un ampio portafoglio di soluzioni e servizi tra cui:
- firewall perimetrale
- hardening della posta elettronica
- accesso controllato ai servizi IT da rete internet
- policy di sicurezza e relativa documentazione
- Active Directory Assessment
- backup hardening
- gestione delle password
- gestione aggiornamenti endpoint/server
- programmi di training phishing e-mail
- vulnerability assessment e penetration test periodici
- tecnologie Cyber Security basate su Artificial Intelligence e autonomous response
In questo modo, le aziende possono garantirsi il massimo livello di protezione e resilienza, incrementando la capacità di anticipare le minacce, analizzare i rischi e gestire efficacemente gli attacchi di nuova generazione.
Contributo editoriale sviluppato in collaborazione con Altea 365
