Rischio informatico: una guida alle misure per prevenirlo e contrastarlo

Prevenire il rischio informatico è possibile, se si adottano le misure di prevenzione adeguate in tutte le fasi della strategia di sicurezza aziendale.

Le minacce informatiche del resto sono in crescita costante. Fortunatamente con esse cresce anche la consapevolezza delle imprese di quanto sia importante implementare misure per prevenire e contrastare i rischi cyber. La parola d’ordine per le aziende è proteggere i dati sensibili per evitare che gli attacchi informatici sfocino in frodi, richieste di risarcimento, danni reputazionali ecc.

Il rischio informatico cos’è?

Il cyber risk è il rischio di avere perdite economiche o danni al brand a seguito di un furto o una perdita di dati aziendali. Questo danno può essere causato sia da attacchi informatici intenzionali, che da data breach accidentali. 

Per quanto questa esposizione riguardi anche i privati, le aziende devono avere un occhio ancora più attento verso la sicurezza informatica e la gestione del rischio.

La gestione del rischio informatico è un processo strategico e irrinunciabile per tutte le imprese. A livello di legge è peraltro espressamente richiesto dal regolamento europeo per la privacy, il GDPR.

Il punto è che nel 2022 l’Italia risulta uno dei Paesi più suscettibili alle violazioni al regolamento europeo, segno che le aziende non stanno facendo abbastanza per proteggere i dati del personale e dei clienti.

Come prevenire e gestire il rischio cyber risk

La prevenzione del rischio dovrebbe essere un obiettivo che le aziende si danno come base di ogni processo aziendale che richiede l’uso di un sistema informatico. Dovrebbe essere una prerogativa by design delle policy aziendali e dei flussi di lavoro, accompagnata dalla formazione del personale e dall’adozione di strumenti tecnologici adeguati.

Su questa “filosofia” comune si inseriscono poi le differenze specifiche di ciascuna azienda. Gli strumenti messi in campo per proteggere le architetture informatiche devono essere modulati in base al rischio effettivo. La prima cosa da fare, quindi, è un’attenta valutazione.

Come si fa una valutazione del rischio informatico

La valutazione del rischio informatico consiste nell’individuare e misurare – per quanto possibile – l’entità del rischio che un’azienda corre a seguito del furto dei dati.

I fattori da considerare sono molti, tra i quali:

• la quantità e la qualità dei dati personali e economici trattati;
• il settore in cui l’azienda opera;
• la dimensione dell’azienda;
• la quantità di end point e impiegati che accedono al sistema informatico;
• l’uso di tecnologie IoT;
• l’adozione dello smart working;
• le misure di prevenzione già adottate;
• la reperibilità sul web, nel deep web o nel dark web di dati aziendali che dovrebbero invece essere protetti;
• le vulnerabilità delle infrastrutture informatiche;
• la consapevolezza e il know how del personale rispetto al rischio informatico.

Quindi ci preme sottolineare che il Risk Assessment non corrisponde al Vulnerability Assessment, di cui abbiamo parlato in un precedente articolo. La valutazione del rischio informatico è un’analisi ampia di asset tecnologici e processi organizzativi, che va condotta con una metodologia certa, questionari, colloqui, hacking etico e con l’ausilio di tecnologie ad hoc.

Per semplificare, possiamo delineare alcuni step che non possono mancare in una valutazione attenta del cyber risk:

1. L’analisi del contesto in cui l’azienda opera e dei dati che tratta;
2. La mappatura dei dati sensibili, sia nei server e nei cloud aziendali che quelli disponibili sul web. Abbiamo già affrontato più volte sul blog di ISEC un problema scottante: molte aziende non sanno che i loro dati chiave sono già stati rubati e messi in vendita nel dark web;
3. La valutazione delle competenze del personale e delle buone pratiche usate in seno all’organizzazione. Spesso basta aprire una mail fraudolenta per esporre l’intera azienda ad un attacco informatico;
4. L’individuazione dei punti di vulnerabilità nella rete informatica aziendale, dove un attaccante malintenzionato potrebbe avere più possibilità di sfondare ed entrare nel sistema informatico;
5. Il Penetration Test del perimetro di sicurezza informatica.

E una volta acquisite tutte queste informazioni sul rischio, che cosa fare per ridurlo?

Come prevenire gli attacchi informatici

Ci sono tre vie da percorrere – contemporaneamente – per prevenire gli attacchi informatici:

1. La formazione del personale;
2. L’adozione di policy di sicurezza aziendali, codificate e condivise con tutto il personale in base al rischio informatico effettivo;
3. L’installazione di prodotti efficaci per la sicurezza informatica.

Ogni azienda è tenuta a operare in sicurezza rafforzando ciascuno di questi aspetti.

La tecnologia da sola non può bastare a prevenire il rischio informatico, se non c’è una cultura diffusa all’interno dell’organizzazione.

Ancora oggi, nel 2022, tra gli attacchi più frequenti ci sono quelli che sfruttano l’errore umano, come il phishing o gli attacchi Man in the Middle. Alcuni tentativi di contraffazione sono dozzinali e vengono facilmente riconosciuti anche dagli impiegati privi di una formazione specifica in ambito di cyber security. Sempre più spesso però gli attaccanti usano tecniche raffinate, e-mail contraffatte quasi alla perfezione o si inseriscono in scambi di e-mail già in corso tra l’azienda e il cliente carpendo dati sensibili.

Qui, sono le capacità dell’impiegato che viene bersagliato dall’attacco a salvare l’azienda dal furto di dati.

L’adozione di una policy di sicurezza dei dati condivisa e comune a tutte le risorse può fare la differenza, perché fornisce indicazioni chiare e linee guida per tutti i membri dell’azienda.

Per redigere la policy, l’ideale è coinvolgere i legali e il team di cyber security – o un consulente esperto.

Quando tutti questi processi funzionano e sono parte integrante della cultura dell’organizzazione, l’investimento in prodotti tecnologici e software di sicurezza informatica è ottimizzato.

Anche in questo caso lo scenario è ampio e la scelta dipende dalle esigenze reali dell’azienda.

Abbiamo già fornito ai lettori del nostro blog una guida alla scelta del Software di sicurezza informatica più adatto alle proprie esigenze. Quello che raccomandiamo ancora qui è di scegliere software aggiornati anche contro le minacce più recenti e con un approccio proattivo verso la ricerca dell’attacco.

Nel panorama attuale del cyber risk, la strategia attendista non paga più poiché gli attacchi informatici sono sempre più sofisticati ed efficaci. Meglio invece adottare strumenti che permettono un controllo olistico e attivo del sistema informatico.