Nel primo semestre del 2020, il team dei FortiGuard Labs di Fortinet ha rilevato come la trasformazione degli spazi di lavoro e un maggiore utilizzo di dispositivi personali abbiano creato nuove opportunità per i cybercriminali nella violazione delle reti aziendali. Un metodo particolarmente adottato negli ultimi tempi è il phishing. Anche se non si tratta di una strategia nuova, attacchi simili di social engineering sono diventati sempre più sofisticati e dannosi finché i dipendenti lavorano da remoto e restano isolati dai loro team.
L’importanza di limitare il rischio di minacce interne
I dipendenti, anche se ignari, possono rappresentare un fattore rischio rilevante per la sicurezza delle reti aziendali e dei dati in possesso delle imprese. Ben il 68% delle aziende è esposta ad attacchi interni, come rilevato in un recente studio di Fortinet; è chiaro quanto questo problema sia incisivo. Oltre ai malintenzionati, queste minacce possono provenire anche accidentalmente dall’interno.
Secondo la survey Fortinet, i dipendenti vittime di attacchi di phishing (circa il 38%) sono la principale fonte di minacce interne accidentali, seguita dallo spear phishing (21%), l’uso di password inadeguate (16%) e dalla navigazione in siti web sospetti (7%). In altre parole, è facile cadere preda di cybercriminali cliccando link o scaricando file senza verificare se siano legittimi o meno.
Comportamenti imprudenti e negligenti possono avere un effetto duraturo sulle aziende, soprattutto in caso di violazione dei dati. E con un maggior numero di dipendenti che lavorano da casa, impossibilitati a confrontarsi su e-mail dall'aspetto sospetto, le probabilità di cadere vittime di attacchi di social engineering aumentano.
Tenendo presente questo aspetto, è più importante che mai che i Ciso diano priorità alla formazione dei propri dipendenti in tema di cybersecurity per aiutarli a comprendere il ruolo che svolgono nel mantenere le reti sicure e nel ridurre il rischio di minacce interne.
Sensibilizzare i dipendenti in materia di sicurezza
I dipendenti possono essere la migliore linea di difesa, ed è fondamentale che i Cisoproteggano le loro aziende includendo la formazione e la sensibilizzazione dei dipendenti nella loro strategia di cybersecurity. Abbracciando questa strategia, i dirigenti possono garantire che la forza lavoro sia pronta ad affrontare le diverse minacce.
Indipendentemente dal titolo o dal ruolo, tutti i dipendenti devono comprendere le implicazioni della sicurezza e come questa possa influire sull'azienda e personalmente su di loro. L'importanza di questo approccio strategico a livello aziendale è stata evidenziata in un'indagine di Forbes Insights del 2019 su oltre 200 Ciso. Il 16% degli intervistati ha dichiarato di voler istituire una cultura della sicurezza con iniziative dedicate.
Definire una linea di partenza per una buona cybersecurity è il primo passo nella giusta direzione. I Ciso devono supportare i loro dipendenti e spingerli a prendere sul serio l’argomento. Ciò può essere realizzato nei seguenti modi:
Dare priorità alla cybersecurity awareness
Gli attacchi di social engineering sono estremamente diffusi nelle aziende semplicemente perché funzionano. Il Data Breach Investigations Report (DBIR) di Verizon del 2019 ha rilevato infatti che circa un terzo di tutte le violazioni di dati riguardano in un modo o nell'altro il phishing. Per combattere questo pericolo, i CISO devono formare i loro collaboratori sugli attacchi comuni che potrebbero apparire sottoforma di phishing, spear phishing, smishing o altre truffe di tipo tecnico. Sia che queste lezioni vengano impartite attraverso spazi di incontro online, video chat o email, devono sempre avere la priorità. La comprensione di queste minacce e delle relative segnalazioni è fondamentale per aiutare i dipendenti a non cadere vittime di email o di siti web dannosi.
Oltre alla sensibilizzazione sulle truffe informatiche (ossia la promozione di offerte "gratuite"), queste proposte formative dovrebbero prevedere anche esercitazioni di phishing simulato, volte a testare le conoscenze e a determinare quali dipendenti potrebbero aver bisogno di maggiore assistenza. Attraverso tattiche come queste, i collaboratori saranno meglio equipaggiati per capire se sono bersaglio di un attacco di social engineering e potranno quindi agire di conseguenza. Il Training Institute di Fortinet offre un servizio di formazione gratuito - Information Security Awareness - per educare i dipendenti sui rischi crescenti dei cyberattacks e su come identificare le minacce.
Stabilire una cooperazione tra il team di sicurezza e gli altri dipartimenti aziendali
La cybersecurity non può gravare solo sulle spalle dei team di sicurezza e IT, soprattutto perché le minacce informatiche diventano sempre più sofisticate e impegnative da rilevare. Oltre a garantire che i dipendenti possano identificare gli attacchi di phishing, i dirigenti dovrebbero anche incoraggiare la collaborazione tra il team di sicurezza e gli altri reparti. Ciò significa aiutare entrambe le parti a comprendere le esigenze. Mentre il team di sicurezza avrà il ruolo di determinare rischi e minacce, gli altri dipartimenti saranno fondamentali nell'aiutare a sviluppare policy che siano facili da seguire sia in ufficio che in ambienti di lavoro remoti, anche per coloro che non sono del tutto informati sulle minacce informatiche.
Attraverso la collaborazione, i Ciso possono garantire che tutti i dipendenti di un'azienda non solo siano consapevoli delle policy di sicurezza, ma comprendano anche l'impatto che le loro azioni possono avere sull'azienda nel suo complesso. Aiutare i dipendenti a comprendere le pratiche di cybersecurity e le conseguenze che le loro azioni possono avere, dovrebbe portare a miglioramenti nel modo in cui gli stessi agiscono di fronte a un'email o a un sito web sospetto, anche mentre lavorano da casa.
Quando i dipendenti sanno cosa ci si aspetta e si sentono parte del team sono più incoraggiati a seguire le migliori practice e a contribuire a eliminare i comportamenti che causano criticità accidentali, come dimenticare di cambiare le password predefinite o usare password adeguate. E man mano che un numero sempre maggiore di dipendenti segue il loro esempio, lo human firewall che funge da prima linea di difesa per l'azienda non potrà che rafforzarsi.
Stabilire le migliori practice
Anche quando i dipendenti sono sensibilizzati in fatto di attacchi social engineering, potrebbero avere bisogno di una guida per i passi successivi. E’ facile ignorare o cancellare un'email dall'aspetto sospetto, ma che ne è di quelle che sembrano normali e di cui il destinatario non è ancora sicuro? In questo scenario, i Ciso dovrebbero incoraggiare i dipendenti a porsi alcune domande per aiutare a prendere la giusta decisione: “Conosco il mittente? Mi aspettavo questa e-mail? Mi viene chiesto di agire con urgenza?
Porsi queste domande potrebbe aiutare a chiarire qualsiasi dubbio riguardo al fatto che l'email sia o meno dannosa, ma il destinatario dovrebbe comunque prendere ulteriori misure per proteggere se stesso e la sua azienda. Basterebbe passare il mouse sui link per vedere se sono legittimi prima di fare clic, non aprire allegati inaspettati, chiamare il mittente per verificare che abbia effettivamente inviato l'email, e segnalare al team IT o di sicurezza tutte le email sospette. Spiegando questi passaggi ai loro dipendenti fin dall'inizio, i Ciso possono evitare eventuali ripercussioni negative.
