hacker-cyber security month

Sicurezza informatica: dieci consigli di ENISA nel mese europeo della cyber security

 

Ottobre è il mese europeo della cyber security, “Think Before U Click” è il motto della campagna UE 2020 per la sensibilizzazione di cittadini e imprese sulle minacce informatiche. Il rischio cyber è infatti in continua crescita, tanto che l'Agenzia dell'UE per la sicurezza informatica (ENISA - European Union Agency for Cybersecurity) ha ritenuto utile pubblicare dieci consigli per alzare il livello di guardia in azienda. Nel frattempo, uno studio del Ponemon Institute fa il conto dei danni subiti a seguito di attacchi cyber nel 2019.

“Pensa prima di cliccare”: è ottobre il mese europeo per la cyber security 2020

Il mese europeo della cyber sicurezza è una campagna di sensibilizzazione coordinata annualmente dall'Agenzia europea per la sicurezza delle reti e dell'informazione (ENISA) e dalla Commissione europea, con il sostegno degli Stati membri e di oltre 300 partner di tutti i settori industriali. Ogni anno, lo slogan "La cyber sicurezza è una responsabilità condivisa" unisce centinaia di eventi, seminari e sessioni di formazione in tutta Europa per aggiornare la collettività riguardo alla sicurezza digitale e condividere alcune buone pratiche.

La campagna dell’ottobre 2020 affronta le questioni di sicurezza legate alla digitalizzazione della vita quotidiana, che ha subìto un'accelerazione con la pandemia di Covid-19. Le iniziative di quest’anno aiutano gli utenti a riconoscere e affrontare le minacce informatiche, “Prima di cliccare, pensaci (Think Before U Click) è lo slogan di questa ottava edizione.

L’emergenza sanitaria Covid-19, infatti, ha messo le imprese di fronte a difficoltà di varia natura: oltre alla sicurezza dei lavoratori, si è temuto per la continuità operativa, la disponibilità dei fornitori e la sicurezza delle infrastrutture informatiche. In particolare il rischio di violazione dei dati e dei sistemi informativi è aumentato in modo esponenziale: i cyber criminali hanno approfittato dell’apertura delle reti aziendali all’esterno dei confini di protezione dovuta all’improvvisa necessità dello smart working e il momento di confusione e urgenza ha incoraggiato attacchi di phishing e ransomware. Queste violazioni rubano informazioni sensibili, generano danni ingenti alle aziende e le espongono a sanzioni.

I dieci consigli di ENISA per la cyber security

ENISA, l’Agenzia UE per la sicurezza informatica, ha quindi sentito l’esigenza di elencare dieci principali ambiti di cyber security che le PMI devono assolutamente tenere in considerazione. L’outsourcing di queste verifiche assicura una professionalità spesso difficile da garantire con risorse aziendali interne. Di seguito, i temi di sicurezza informatica da non tralasciare:

  1. Commitment del management. Come prima cosa, è fondamentale che i vertici aziendali comprendano l'importanza della sicurezza informatica per l'organizzazione e siano regolarmente informati.
  2. Analisi del rischio (Risk Assessment). La valutazione preliminare dello stato di sicurezza in azienda identifica e stabilisce le priorità: quali risorse proteggere prima di altre e da quali minacce?
  3. Policy di sicurezza informatica. Disporre delle necessarie linee operative per gestire la sicurezza informatica e nominare un Information Security Officer (ISO), responsabile della sicurezza e della supervisione dell'attuazione delle misure di protezione delle reti informative.
  4. Consapevolezza del rischio. I dipendenti devono comprendere i rischi ed essere formati riguardo ai corretti comportamenti da tenere online. Creare e mantenere viva una cultura del rischio è essenziale per limitare i danni all’impresa, soprattutto in ambito cyber.
  5. Aggiornamento dei sistemi. Effettuare sempre tutti gli aggiornamenti consigliati in ogni server, workstation, smartphone, magari tramite processi automatizzati e di test.
  6. Backup. Prima di eseguire questi aggiornamenti, è fondamentale disporre di buoni backup. Eseguire spesso il backup dei dati più importanti mette l’azienda al riparo dai costi di ripristino che potrebbero seguire ad un attacco ransomware. Si consiglia di conservare dei backup offline, controllare periodicamente il loro stato e duplicarli per una maggiore sicurezza.
  7. Gestione degli accessi. Definire regole e politiche per la gestione degli accessi e applicarle. Occorre fare in modo che le password predefinite siano cambiate spesso e che non vengano condivise.
  8. Protezione endpoint. Proteggere gli endpoint, prima di tutto installando un software antivirus.
  9. Accesso remoto sicuro. Limitare il più possibile l'accesso da remoto che, come si è visto durante il periodo di lockdown, apre molto più facilmente la strada agli hacker. Dove assolutamente necessario, abilitarlo con le corrette misure di prevenzione del rischio cyber.
  10. Piano di Recovery. Predisporre un piano dettagliato su come gestire un incidente quando si verifica. Quali scenari potrebbero verificarsi e quali soggetti contattare?

Oltre 500 organizzazioni attaccate nel 2019: vulnerabili 8,5 miliardi di dati

Il Ponemon Institute ha condotto 3.200 interviste ai responsabili della sicurezza di oltre 500 organizzazioni in tutto il mondo (di cui 21 italiane) che hanno subito una violazione di dati nel 2019, raccogliendo i risultati nel report Cost of a Data Breach 2020.

La ricerca rivela che nel 2019 sono risultati vulnerabili oltre 8,5 miliardi di dati e che i rischi più comuni, causa del 40% circa dei cyberattacchi, sono il furto e la compromissione delle credenziali, oltre alle configurazioni errate dei server cloud. In un caso su 5 gli hacker hanno sfruttato una protezione non adeguata di email e password per sferrare gli attacchi. La violazione più gravosa è quella che interessa i dati dei dipendenti e l'80% di questi attacchi ha portato all'esposizione di informazioni di identificazione personale (Personal Identifiable Information) dei clienti, causando alle aziende perdite economiche importanti. Ogni violazione, infatti, costa in media all’impresa 3,86 milioni di dollari a livello globale e 2,90 milioni di euro in Italia.

Piani di sicurezza informatica per evitare costi ingenti

Nonostante le organizzazioni cerchino di essere sempre più resilienti grazie a tecnologie forti e una buona gestione del rischio cyber, appaiono comunque molto più vulnerabili di un tempo: la maggiore interconnessione, il lavoro a distanza e il cloud che sostiene ormai molte operazioni commerciali, uniti ad una formazione scarsa del personale, rendono più facile l’accesso ai dati.

Scendendo nel dettaglio dello studio del Ponemon Institute, emerge che gli hacker hanno sfruttato proprio gli errori dei server cloud quasi nel 20% dei casi di violazione delle reti informative aziendali. Questi attacchi hanno generato un aumento dei costi di oltre mezzo milione di dollari, andando ad occupare la terza voce di spesa. Cresce anche lo scarto tra i danni economici delle violazioni di dati sostenuti dalle aziende che investono nelle tecnologie avanzate di sicurezza e quelli delle aziende che sottovalutano il bisogno di protezione: le prime registrano un risparmio di 3,58 milioni di dollari e la differenza di costo ha raggiunto i 2 milioni di dollari, rispetto allo scarto di 1,55 milioni registrato nel 2018.

Se prontezza e preparazione nella risposta agli incidenti (Incident Response) sono fondamentali quando si parla di cyber risk, l’adozione di tecnologie che automatizzino i processi di sicurezza abbassa notevolmente i tempi di risposta e quindi i danni di un eventuale attacco. Il report rileva che intelligenza artificiale e strumenti di machine learning e analytics consentono alle aziende di rispondere più velocemente del 27% rispetto alle altre realtà e che impiegano 74 giorni in più per identificare e contenere un attacco.

Inoltre, le aziende prive di un team di sicurezza dedicato e che non tentano i propri piani di risposta sono costrette a spendere una media di 5,29 milioni di dollari, mentre le aziende che effettuano esercitazioni e simulazioni per testare i propri piani, pagano 2 milioni di dollari in meno in caso di violazione.

COMPILA IL MODULO PER RICHIEDERE INFORMAZIONI