Imprese: utenti finali sempre più nel mirino del cybercrime, servono policy e cultura

“Le persone possono costituire l’anello debole o il punto di forza nella catena della sicurezza: il fattore determinante deriva proprio dall’educazione e dalla consapevolezza. Questo era vero 20 anni fa, quando lavoravo per l’applicazione della legge nell’investigazione dei crimini informatici, e rimane attuale ancora oggi.” A parlare è Neil Campbell, Group General Manager, Security di Dimension Data a commento dei nuovi dati che l’azienda ha rilasciato sul tema cybercrime, utenti e Byod.

Gli utenti costituiscono il nuovo perimetro, come già evidenziato nel Global Threat Intelligence Report 2015 di NTT che mostrava che 7 su 10 vulnerabilità sono da attribuirsi agli utenti – in special modo a coloro che hanno accesso ai sistemi e ai dati sensibili – attraverso dispositivi che spesso non vengono gestiti completamente dalle aziende. “Stiamo assistendo ad una crescita del numero di utenti finali che diventano facile bersaglio. Per questo, oggi, le organizzazioni non devono preoccuparsi solo degli end point tradizionali. La portata delle minacce informatiche si è estesa ai dispositivi mobili e alle piattaforme social” commenta Jason Harris, Managing Principal Consultant Security and End-user Computing di Dimension Data.

Harris sostiene che i criminali informatici sono consapevoli che, raggiungendo gli utenti, possono avere delle possibilità per accedere ai dati o ai profili degli utenti o controllare i loro dispositivi. “Questo è un trend preoccupante. Stiamo notando alcuni gap sostanziali nella gestione di dipendenti, processi e policy, soprattutto per quello che riguarda le iniziative di Bring Your Own Device e di end user computing. La maggior parte delle organizzazioni possiedono alcune forme di governance e controllo in essere ma, oggi, le precauzioni standard sono spesso inadeguate per proteggere dalle minacce di ultima generazione.”

Harris sottolinea anche che la risposta agli incidenti rimane una delle principali lacune nella difesa delle organizzazioni. Attualmente, il 74% delle aziende non ha un piano ufficiale di risposta agli incidenti. “E’ difficile mitigare l’impatto se il dispositivo di un utente viene compromesso e non esiste un processo di risposta agli incidenti che consenta di rilevare le violazioni e metta in atto misure immediate per proteggere i dati critici.” 

Peculiarità locali

Ma la maturità della sicurezza informatica differisce da regione a regione ed è influenzata da interessanti fattori culturali:

• In Australia, Nuova Zelanda, US e UK, le organizzazioni ricorrono a un approccio gestito globale che include la gestione di PC così come di tablet e dispositivi mobili.
• Un approccio sempre più comune negli Stati Uniti è costituito dalle policy di Choose Your Own Device. Gli utenti possono scegliere il proprio dispositivo preferito tra una lista di dispositivi fornita dall’organizzazione che gestisce il dispositivo ma che offre anche un certo livello di flessibilità, per esempio, consentendo agli utenti di caricare le applicazioni personali.
• In Asia, la consumerizzazione dell’IT sta accelerando. Le aziende sono sempre più orientate verso una strategia mobile e stanno introducendo dispositivi mobili più velocemente rispetto ai dispositivi gestiti. Questo significa che la portata degli attacchi verso gli utenti è maggiore, spiega l’analisi. Inoltre, in Asia, le strategie di bring your own device si stanno trasformando in quella che viene chiamata strategia COPE, per la quale COPE denota corporate-owned, personally-enabled, ovvero la scelta da parte dell’organizzazione dei dispositivi da acquistare e gestire.

Per minimizzare uno scenario potenzialmente esplosivo, servono almeno tre elementi, osservano gli esperti. Le policy devono essere una priorità: impongono alcune condotte dei dipendenti che sono allineate con gli obiettivi globali di business e, allo stesso tempo, instillano un comportamento che è sensibile al patrimonio aziendale più prezioso: l’informazione. Risposta agli incidenti: le organizzazioni devono sviluppare un approccio alla sicurezza data-centric, che includa controlli e monitoraggio avanzati. Questo approccio garantisce alle aziende che gli utenti, anche se autorizzati ad accedere a determinati dati o sistemi attraverso determinati dispositivi, non facciano nulla che sia completamente fuori dall’ordinario. Infine consapevolezza e cultura degli utenti: la consapevolezza e l’educazione degli utenti deve andare di pari passo per minimizzare i rischi. E’ importante, per le organizzazioni, incoraggiare i dipendenti a comportarsi in modo coerente, secondo processi e procedure comunicate formalmente e sviluppate e controllate centralmente che si applicano a tutti i dispositivi in uso.

Sono tutte accortezze che probabilmente non eviteranno il verificarsi di tentativi di attacchi ma contribuiranno certamente a rendere le aziende più sicure.