Se gli attacchi al patrimonio informativo aziendale dipendessero in gran parte proprio dai comportamenti delle persone interne all’azienda?
È ormai all’ordine del giorno sentire racconti di colleghi o amici che inconsapevolmente cliccano link malevoli all’interno di una mail compromettendo potenzialmente le informazioni aziendali.
Sebbene i controlli tecnici siano molto importanti e sempre più frequenti, le statistiche confermano che la maggior parte degli attacchi cyber hanno successo solo se un essere umano commette un errore.
Le principali cause degli attacchi posso essere individuate in comportamenti elementari compiuti dai collaboratori in momenti di disattenzione.
Il modo migliore per ridurre le possibilità che le persone commettano errori è un’adeguata formazione. Questo perché vengono fornite le competenze necessarie per svolgere le proprie mansioni, nel rispetto degli obiettivi di sicurezza e di cybersicurezza dell’azienda.
Quali sono le principali cause che possono mettere a rischio le informazioni aziendali?
- Utilizzo di password deboli: l’adozione da parte delle aziende di un maggior numero di tecnologie basate sul cloud richiede alle persone la creazione di un maggior numero di password. Le persone però non sempre ricordano tutto e non amano dover inventare nuove password con la conseguenza che spesso la scelta ricade su password facili da ricordare. La conseguenza? Si utilizza: la stessa password per accedere a più siti o sistemi informatici, l’indirizzo e-mail per registrarsi a siti o applicazioni non aziendali, password che includono il nome o la data di nascita di una persona cara, una serie di numeri come 12345.
Tutti questi espedienti impediscono di dimenticare la password, ma la rendono anche un facile bersaglio per i criminali informatici. - Autenticazione debole: per lo stesso motivo per cui le persone odiano creare nuove password, tendono anche ad evitare l’autenticazione a più fattori (MFA). Qualsiasi passaggio aggiuntivo, che si tratti di cliccare su un’applicazione di autenticazione o di attendere un codice, crea una barriera all’adozione.
- Distrazione: quando i criminali informatici effettuano attacchi di ingegneria sociale, si concentrano specificamente sullo sfruttamento delle vulnerabilità della natura umana. Ad esempio, la maggior parte delle campagne di phishing ha successo perché fa leva sulle emozioni. Spesso invocano l’urgenza in modo che le persone non si fermino a riflettere. Nella fretta, agiscono contro gli interessi dell’azienda e i loro stessi interessi.
- Aspetti di sicurezza non aggiornati: spesso, gli attacchi di malware e ransomware hanno successo perché gli utenti non applicano gli aggiornamenti di sicurezza che correggono le vulnerabilità note tramite aggiornamenti detti ‘patch’. Le patch possono creare dei problemi e richiedere molto tempo e quindi spesso gli utenti e gli amministratori di sistema aspettano a installarle. I criminali informatici sfruttano questa conoscenza per cercare le vulnerabilità nei dispositivi e poi le utilizzano come parte dei loro attacchi ransomware e malware.
Tutti questi casi mostrano come spesso gli attacchi informatici siano causati da semplici disattenzioni e distrazioni all’interno di giornate lavorative spesso frenetiche. Il fattore umano gioca quindi un ruolo fondamentale nella determinazione del rischio cyber.
Formazione e consapevolezza diventano senza dubbio la prima arma per proteggere il patrimonio informativo di aziende e organizzazioni.
*Fonte: Cyber Security Intelligence Index di IBM