La pandemia di Covid-19 ha posto molte sfide alla sicurezza. Le aziende di tutto il mondo si sono adattate a lavorare da casa e alla distanza sociale, mentre si occupano anche delle nuove minacce poste dai criminali informatici che sfruttano la paura e la curiosità.
Anche se le aziende hanno affrontato queste sfide, le minacce informatiche tradizionali sono state più frequenti che mai, rendendo la gestione di queste minacce sempre più impegnativa.
La riduzione dell'errore umano deve essere la soluzione chiave per la sicurezza informatica aziendale nel 2021 - e in questa guida, vedremo i modi migliori per farlo.
In questa guida, tratteremo⬇️ |
|
| Vuoi altri consigli? Scarica l'eBook gratuitamente » |
Tra le principali minacce informatiche, il malware rimane un pericolo significativo. La diffusione di WannaCry del 2017, che è costata alle aziende di tutto il mondo fino a 4 miliardi di dollari, è ancora un ricordo recente, e nuovi ceppi di malware vengono scoperti quotidianamente. Anche il phishing ha visto una risorgenza negli ultimi anni, con molte nuove truffe inventate per approfittare delle aziende ignare. Una sola variante, la truffa via email 'dell'amministratore delegato' , è costata alle aziende del solo Regno Unito 14,8 milioni di sterline nel 2018.
Il personale che lavora da casa è al di fuori della supervisione diretta dei team di supporto IT, e spesso fatica ad affrontare le minacce informatiche e a proteggere adeguatamente le informazioni aziendali. Il mancato aggiornamento del software e dei sistemi operativi, l'invio di dati su reti non sicure e l'utilizzo frequente di e-mail hanno reso i dipendenti molto più suscettibili a minacce che vanno dal malware al phishing.
Mentre le soluzioni tecniche come i filtri antispam e i sistemi di gestione dei dispositivi mobili sono importanti per proteggere gli utenti finali, con il numero di minacce e la moltitudine di sistemi e comunicazioni attraverso cui il personale svolge il lavoro, l'unico fattore di rischio unificante che deve essere affrontato per migliorare fondamentalmente la sicurezza è il ruolo dell'errore umano.
Quasi tutte le violazioni informatiche di successo hanno un elemento in comune: l'errore umano. L'errore umano può manifestarsi in una moltitudine di modi: dal non riuscire a installare gli aggiornamenti di sicurezza del software in tempo, all'avere password deboli e dare informazioni sensibili alle e-mail di phishing.
Accedi ora: La Guida Completa sulla Sensibilizzazione alla Sicurezza 2021 [eBook gratuito]→
Nel 2014, IBM ha condotto uno studio sulle violazioni informatiche che si sono verificate tra migliaia dei loro clienti in oltre 130 paesi. Questo studio è stato uno dei piu' ampi approfondimenti sulle cause delle violazioni informatiche che siano stati effettuati in quel periodo, ma i suoi risultati sono stati confermati da altri studi simili.
L'errore umano è stato la causa principale nel 95% di tutte le violazioni.
IBM Cyber Security Intelligence Index Report
Uno dei risultati chiave dello studio IBM è che l'errore umano è stato la causa principale nel 95% di tutte le violazioni. In altre parole, se l'errore umano non fosse stato un fattore, è probabile che 19 delle 20 violazioni analizzate nello studio non sarebbero avvenute.
Poiché l'errore umano gioca un ruolo così importante nelle violazioni informatiche, affrontarlo è fondamentale per ridurre le possibilità che la vostra azienda venga presa di mira con successo. Permette anche di proteggere la vostra azienda da una serie molto più ampia di minacce rispetto a qualsiasi singola soluzione tecnica - e potrebbe abilitare la vostra forza lavoro a cercare e segnalare attivamente nuove minacce che potrebbero incontrare. La riduzione dell'errore umano deve essere la chiave per la sicurezza informatica aziendale nel 2021 - e nella prossima sezione vedremo i modi migliori per farlo.
Affinché l'errore umano si manifesti, devono essere presenti due fattori:
Uno sforzo di mitigazione completo include sia la riduzione dell'opportunità di errore che il miglioramento delle decisioni prese da parte degli utenti finali. Agire in entrambe le aree è essenziale per garantire che l'errore umano sia affrontato fino in fondo.
Nel caso del patching, per esempio, una misura tecnica come l'introduzione della gestione dei patch può ridurre al minimo l'opportunità di errore umano nella maggior parte dei casi - ma è comunque essenziale tenere conto delle situazioni in cui le soluzioni tecniche hanno un calo temporaneo, o se viene introdotta una nuova situazione come una policy BYOD in cui gli utenti sono autorizzati a utilizzare i propri dispositivi senza la gestione dei patch.
In altri casi, come nel caso delle e-mail di phishing, le misure tecniche come i filtri antispam e i software di rilevamento delle violazioni hanno un effetto molto limitato nel ridurre le opportunità di errore di fronte a un attacco mirato. In questi casi, l'unico modo efficace per limitare l'errore umano è insegnare agli utenti finali come comportarsi.
Affinché gli utenti finali possano prendere la decisione giusta in una situazione di sicurezza, devono essere presenti quattro fattori diversi.
4 pilastri per ridurre l'errore umano |
|
#1.Comprensione
Il primo di questi è abbastanza semplice: l'utente deve riconoscere che si trova in una situazione in cui la sicurezza è potenzialmente in gioco. Senza riconoscere la situazione come tale, l'utente potrebbe anche non rendersi conto che sta prendendo una decisione attraverso la sua non-azione.
In secondo luogo, l'utente deve sapere qual'è la procedura corretta da seguire. Questo non richiede necessariamente che l'utente capisca completamente la situazione, spesso è sufficiente abbastanza riferire la situazione a una persona del dipartimento IT o di sicurezza che può esaminarla.
In terzo luogo, l'utente deve sapere perché la sicurezza è importante, in modo che capisca l'importanza di non ignorare le procedure di sicurezza e sia consapevole delle potenziali implicazioni di una violazione. Mentre questi tre fattori sono tutti essenziali per migliorare i risultati della sicurezza, è in questo punto cruciale che le aziende spesso vacillano. Affinché si possano prendere decisioni migliori in situazioni reali, deve entrare in gioco anche il quarto fattore: non prendere scorciatoie.
Problemi come una password debole e la mancata applicazione di patch al software persistono nelle aziende di tutto il mondo, nonostante molti utenti capiscano perché questi problemi sono critici per la sicurezza. La ragione per cui non si agisce nonostante la conoscenza è dovuta a ciò che noi chiamiamo 'fare le cose alla carlona'. Avere una password unica e forte richiede più tempo per crearla, e più sforzo per ricordarla, in confronto ad una password corta, debole o riutilizzata.
Accedi ora: La Guida Completa sulla Sensibilizzazione alla Sicurezza 2021 [eBook gratuito]→
Nonostante un utente sia consapevole di come dovrebbe agire, lo sforzo richiesto nel creare una password forte è spesso abbastanza intenso da indurre l'utente ad andare contro il proprio giudizio. Questo è aggravato dal fatto che, nonostante molti utenti facciano l'azione corretta in circostanze ottimali, situazioni di lavoro impegnative e urgenti così come lo stress possono far sentire le misure di sicurezza ancora più 'pesanti' per gli utenti.
Quest'ultimo fattore può essere risolto solo attraverso un cambiamento culturale. Gli utenti finali devono sentire che il disagio causato dal seguire le best practice di sicurezza è inferiore alla soddisfazione ottenuta non facendolo.
Le misure tecniche come i password manager sono essenziali in questo, in quanto rendono molto più facile agire in modo sicuro: se i dipendenti non devono creare o ricordare le loro password, non hanno motivo di non usarle in modo sicuro. Questo significa mettere la sicurezza in primo piano nel processo decisionale, e assicurarsi che gli utenti non sentano mai che stanno "perdendo tempo" prendendo precauzioni di sicurezza appropriate.
La sicurezza deve essere oggetto di dibattito tra i dipendenti, e le domande e i punti che gli utenti finali fanno emergere sui problemi di sicurezza nei loro ruoli devono essere presi in considerazione e apprezzati. Questo aiuta gli utenti a sentire che la sicurezza non è solo un ripensamento, ma qualcosa a cui vale sempre la pena dedicare del tempo.
Un'efficace formazione sulla sensibilizzazione alla sicurezza affronta non uno, ma tutti e quattro questi fattori.
Un'efficace formazione sulla sensibilizzazione alla sicurezza affronta non uno, ma tutti e quattro questi fattori. Ciò significa identificare le situazioni in cui i dati o i sistemi potrebbero essere compromessi, comprendere le migliori pratiche, sapere quali sono le potenziali conseguenze delle violazioni e infine aiutare a spingere un cambiamento culturale per creare un ambiente in cui le considerazioni sulla sicurezza sono sempre tenute a mente.
La risposta globale alla pandemia del Covid-19 ha causato molti cambiamenti nei luoghi di lavoro. Il cambiamento che ha avuto l'impatto più significativo sulla sicurezza è stata la trasformazione di molte aziende per avere la maggior parte o tutto il loro personale in smartworking in un breve periodo di tempo, che ha portato molti utenti finali ad essere a maggior rischio di rimanere vittima di minacce online.
I dipendenti che non erano abituati a lavorare in modalità smartworking prima della pandemia hanno scoperto rapidamente alcuni dei problemi che potevano derivarne: doversi occupare di bambini e animali domestici, avere a che fare con una scarsa connettività internet e sopportare tutti gli altri disturbi che possono verificarsi a casa. In mezzo a tutti questi nuovi cambiamenti dell'ambiente di lavoro, la sicurezza troppo spesso è finita in fondo alla lista delle priorità degli utenti.
Gli utenti finali che lavorano da casa sono fuori dalla supervisione del dipartimento di supporto IT, e possono avere difficoltà con semplici problemi tecnici. Inoltre, compiti di sicurezza essenziali come l'aggiornamento del software e dei sistemi operativi, l'aggiornamento del firmware del router e la messa in sicurezza della rete, sono stati improvvisamente messi nelle mani degli utenti finali. Non c'è da stupirsi che i criminali informatici non abbiano perso un secondo a sfruttare le circostanze della pandemia per inventare nuove forme di truffe.
Il team di supporto IT non può essere a casa di tutti gli utenti finali, ecco perché è essenziale garantire che, oltre ad avere l'attrezzatura giusta, gli utenti finali siano consapevoli delle loro responsabilità individuali nel mantenere la sicurezza. Gli utenti finali devono assicurarsi di accedere solo alle informazioni e alle reti aziendali su dispositivi e reti che sono aggiornati e sicuri.
La formazione sulla sensibilizzazione alla sicurezza è fondamentale per garantire che gli utenti finali sappiano come mantenere la sicurezza. È meglio suddividere la formazione in piccoli moduli, poiché questo assicura che gli utenti non siano sommersi da troppe informazioni. La formazione dovrebbe anche svolgersi regolarmente - una volta al mese, come minimo - per garantire che l'apprendimento venga mantenuto, e che gli utenti non si dimentichino della sicurezza non appena arriva il prossimo progetto di lavoro che sconvolge la lista delle priorità. Infine, è importante testare gli utenti finali. Questo non è per giudicare o penalizzare gli utenti che hanno difficoltà con la loro formazione, ma piuttosto per identificare le principali lacune di sicurezza nel personale, e affrontarle prima che possano essere sfruttate dai cyber criminali.
La formazione sulla sensibilizzazione alla sicurezza non è tutta uguale. Il modo in cui la formazione viene eseguita, strutturata e presentata avrà un effetto importante sulla sua efficacia nel migliorare realmente i risultati della sicurezza nella vostra azienda. In questa sezione, daremo un'occhiata a quale sia esattamente il modo migliore per eseguire la formazione sulla sensibilizzazione alla sicurezza per i vostri utenti finali.
L'istruzione sulla sensibilizzazione alla sicurezza un tempo significava far assistere gli utenti finali a una sessione annuale che consisteva in ore di conferenze e presentazioni. L'idea era che gli utenti avrebbero ricordato qualcosa di ciò che avevano visto e sentito - e nel peggiore dei casi almeno l'azienda poteva dichiarare di aver "istruito gli utenti".
Ci sono diverse ragioni per cui questo tipo di formazione annuale basata su lezioni non è efficace. Il primo di questi è che in una sessione di formazione annuale, ci saranno semplicemente troppe informazioni in una volta per qualsiasi dipendente da ricordare. Anche se agli utenti viene dato materiale di apprendimento da portare con sé o vengono inviati promemoria occasionali, è probabile che la maggior parte del materiale della sessione di formazione entri da un orecchio ed esca dall'altro - dimenticato in pochi istanti.
Le lezioni e le presentazioni non sono formati coinvolgenti per l'apprendimento degli utenti finali.
Le lezioni e le presentazioni non sono formati coinvolgenti per l'apprendimento degli utenti finali. Non riescono a suscitare l'interesse dei dipendenti come fanno i video e i contenuti interattivi, e troppo spesso sono pieni di informazioni inutili che non sono rilevanti per ogni utente finale. Le diapositive piene fino all'orlo di testo piccolo faranno addormentare qualsiasi dipendente a metà sessione.
L'ultima, grande ragione per cui la formazione tradizionale non è efficace è che non fa uso dell'apprendimento attraverso la ripetizione. Se passa un anno tra le sessioni di apprendimento, gli utenti semplicemente non ricorderanno ciò che hanno imparato - e la sensibilizzazione ai problemi di sicurezza in generale crollerà nei giorni e nelle settimane successive alla formazione. La sicurezza non può essere una cosa occasionale, ma deve essere rinforzata tutto l'anno per essere efficace.
La sensibilizzazione alla sicurezza si è sempre più spostata verso soluzioni software-as-a-service online. La formazione basata sul cloud offre alcuni vantaggi immediati rispetto ai metodi tradizionali, ma non è necessariamente la risposta definitiva alla sensibilizzazione alla sicurezza, a meno che non fornisca risultati in alcune aree che sono essenziali per migliorare veramente i risultati della sicurezza.
Avere un programma di formazione sulla sensibilizzazione alla sicurezza veramente efficace è possibile - ma ci sono alcuni criteri importanti da seguire per coinvolgere veramente i vostri utenti
7 step da seguire per una formazione di successo: |
|
Assicurarsi che il materiale didattico sia interessante per gli utenti finali è essenziale per assicurarsi che rimangano coinvolti. Quando un utente finale viene presentato con informazioni che non ritiene pertinenti per lui, inizierà a perdere interesse e a prestare meno attenzione. Il materiale didattico deve non solo evitare il gergo e i termini tecnici, ma deve relazionarsi con situazioni di vita reali che l'utente finale potrebbe effettivamente affrontare nella sua vita lavorativa. Per esempio, la maggior parte dei dipendenti non ha bisogno di conoscere le specifiche delle normative o degli attacchi malware, ma semplicemente come comportarsi in modo da ridurre questi rischi - e come segnalare in modo appropriato i rischi che possono incontrare.
Va benissimo insegnare ai dipendenti quali sono i rischi là fuori e come possono essere contrastati - ma ciò che è essenziale è che i dipendenti escano dalla formazione con delle strategie che possono utilizzare da subito nelle loro attività lavorative quotidiane. Dare ai dipendenti la possibilità di mettere subito alla prova la loro formazione aiuta anche a memorizzare quello che hanno imparato.
Non tutti i contenuti sono uguali. I testi spesso diventano noiosi per gli utenti, e dovrebbero essere usati solo se integrati con contenuti visivi e più coinvolgenti. I video sono ottimi per intrattenere gli utenti, a patto che siano di alta qualità e piacevoli da guardare. La comicità può essere usata con grande effetto per rendere i video di sensibilizzazione sulla sicurezza più piacevoli per gli utenti finali. Anche il contenuto interattivo è ottimo per coinvolgere gli utenti. Molte persone imparano facendo - rispondendo alle domande o partecipando in altro modo al loro apprendimento - e il contenuto interattivo può anche dare agli utenti un senso di realizzazione per aver superato un corso.
È essenziale che, una volta terminato il corso, gli utenti siano messi alla prova su ciò che hanno imparato. Questo vi aiuterà a sapere che gli utenti hanno imparato i concetti chiave - ma aiuta anche il processo di apprendimento degli utenti poiché dovranno ricordare le informazioni che hanno appena imparato.
La parte più importante di un programma di formazione sulla sensibilizzazione alla sicurezza, tuttavia, ha tanto a che fare con fattori esterni alla formazione quanto la formazione stessa. Affinché la formazione sia efficace, l'azienda deve assicurarsi di creare un ambiente dove la sicurezza informatica viene sempre tenuta in considerazione e dove gli utenti sono incoraggiati a fare domande. Un buon programma di sensibilizzazione alla sicurezza contribuisce a questo obbiettivo - ma è essenziale che anche le aziende sostengano questo sforzo al di fuori della formazione.
Accedi ora: La guida completa sulla sensibilizzazione alla sicurezza 2021 [eBook gratuito] →
La formazione sulla sensibilizzazione alla sicurezza non sarà efficace se non è accompagnata da un cambiamento culturale. Una formazione completa insegnerà agli utenti finali come riconoscere le situazioni in cui la sicurezza è a rischio e come affrontarle in modo appropriato - ma questa conoscenza non sarà messa in pratica se l'utente non ritiene quest'ultima importante abbastanza.
La formazione sulla sensibilizzazione alla sicurezza non sarà efficace se non è accompagnata da un cambiamento culturale.
Con il crescente numero di minacce presenti, così come la crescente complessità dei servizi aziendali e l'accesso ai dati e ai sistemi dai dispositivi mobili, è impossibile sapere dove potrebbe apparire la prossima minaccia per la vostra azienda. Questo è il motivo per cui la sicurezza non dovrebbe solo consistere nell'assicurarsi che i vostri utenti finali scelgano password forti o seguano altri passi specifici - ma piuttosto nel metterli in grado di essere custodi attivi della vostra azienda, dei suoi sistemi, dispositivi e dati.
Quando parliamo di cultura, ci riferiamo ai valori di una persona o azienda. Affinché i dipendenti si preoccupino della sicurezza, questa deve essere considerata un valore. Ciò significa assicurarsi che la sicurezza non sia vista come una responsabilità del team informatico, ma come una responsabilità condivisa da tutti i dipendenti.
Il cambiamento culturale e i valori dell'azienda devono venire dall'alto. Il senior management ha un ruolo importante nel sottolineare il ruolo della sicurezza nell'azienda e dando il buon esempio. Dovranno incoraggiare i dipendenti ad assumere un ruolo attivo, chiedendo loro di esprimere i propri dubbi e spingendoli a fare domande e ad impegnarsi nelle questioni di sicurezza.
In questo modo, gli utenti si sentono coinvolti nel processo di sicurezza e inizieranno ad incorporare questo nuovo comportamento nei loro ruoli. Un manager o un responsabile informatico potrebbe non conoscere tutti i processi del lavoro di un dipendente - ecco perché è essenziale che gli utenti stessi capiscano che devono prendere provvedimenti per garantire la sicurezza dei dati e dei sistemi.
Il senior management ha un ruolo importante nello stabilire le priorità per l'azienda. Chiunque lavori per una compagnia aerea vi dirà che la sicurezza è sempre, senza alcuna eccezione, la massima priorità. Tutto il resto viene dopo. Nonostante nella maggior parte delle altre aziende la sicurezza non sia una questione di vita o di morte, è importante ricordare quanto possa essere grave una violazione dei dati per un'azienda.
Se i clienti non si sentono più in grado di fidarsi di una azienda con le loro informazioni personali o con i loro affari, potrebbe essere la sua fine. Dovrebbe essere chiaro a tutti i dipendenti che la sicurezza viene sempre al primo posto - e che è sempre meglio chiedere e assicurarsi sulle procedure da seguire che pentirsi dopo.
Per un ambiente aziendale sicuro, attuare il minimo privilegio farà si che le risorse, i dati e i sistemi aziendali siano protetti. Mentre il principio del minimo privilegio è spesso visto come una misura tecnica - limitando ogni utente solo ai privilegi di cui ha bisogno per i suoi compiti specifici - dovrebbe anche essere incorporato direttamente nella cultura aziendale. Questo significa incoraggiare gli utenti a segnalare attivamente quando hanno accesso a più dati o sistemi di quanto hanno bisogno - aiutando a limitare le possibilità di violazioni dei dati.
In termini di misure fisiche, oggetti come i poster possono essere utili per sviluppare una cultura della sicurezza, e contengono anche utili promemoria su argomenti come la forza delle password. È importante ricordare però che attaccare semplicemente un poster su un muro non otterrà nulla da solo, ma dovrebbe essere usato come spunto per dibattiti, o come supporto al materiale di formazione.
Infine, è importante assicurarsi che gli impiegati sentano che il loro contributo alla sicurezza è apprezzato. Quando i dipendenti fanno domande, si dovrebbe sempre dare loro tempo e considerazione, e ci si dovrebbe assicurare che capiscano completamente la risposta e perché è importante per la sicurezza. Quando gli utenti segnalano problemi di sicurezza, dovrebbero sempre essere ricompensati per aver prestato attenzione e aver lavorato per aiutare a mantenere il business al sicuro.
Non è solo il formato della didattica che conta, ma anche ciò che vi si include. La formazione dovrebbe coprire tutti gli argomenti principali, senza essere eccessiva per gli utenti. Mentre ogni organizzazione e ogni ruolo lavorativo avrà requisiti diversi, ci sono alcune aree essenziali sulle quali vale la pena assicurarsi che ogni utente finale sia informato.
gli argomenti scelti da usecure: |
|
Qui a usecure non crediamo che i vostri utenti finali sono l'anello più debole della catena, ma la vostra arma migliore.
usecure offre una formazione di sensibilizzazione alla sicurezza di dimensioni ridotte, progettata per tenere i vostri utenti coinvolti e interessati. Video divertenti e contenuti interattivi assicurano che gli utenti finali siano sempre in attesa del prossimo modulo di formazione - mentre l'automazione intelligente mantiene il tempo di amministrazione al minimo.
Accedi ora: La guida completa sulla sensibilizzazione alla sicurezza 2021 [eBook gratuito] →