La Cybersecurity Awareness

Essere consapevoli dell’esistenza di un pericolo e delle conseguenze che questo comporta, rappresenta il primo strumento di difesa.

La cybersecurity awareness trasforma i dipendenti nella prima linea di difesa contro il cyber crime, sensibilizzandoli, rendendoli consapevoli circa le tipologie, i metodi e gli impatti degli attacchi cyber ai danni di computer, server, reti, dispositivi mobili e dati aziendali.

Il fine è elevare il livello di sicurezza dell’intera organizzazione, trasformando i comportamenti e migliorando la security posture.

Cos’è la cybersecurity awareness

La traduzione letterale dell’espressione “security awareness” rimanda al concetto di consapevolezza: essa va acquisita attraverso un processo di formazione puntuale e costante destinato a tutti gli utenti di dispositivi connessi e, più in particolare, ai dipendenti considerati figure centrali nel tradurre in pratica quotidiana quanto contenuto nelle policy di security aziendale.

Per semplice disattenzione, dimenticanza o scarsa conoscenza relativa alle misure di sicurezza da adottare, accade che il dipendente si trovi ad abilitare un accesso illecito alla rete aziendale.

Le cause possono essere diverse, dal cliccare banalmente su un link contenuto in un messaggio di posta elettronica sospetto, all’aprire un allegato proveniente da un mittente sconosciuto e, magari, scaricando del contenuto non sicuro.

Tuttavia, la security awareness in un’organizzazione non riguarda solo i dipendenti, bensì tutto il personale, compresi il management e le figure direzionali.

Pensare il contrario, equivale a una visione limitata della sicurezza, che non tiene conto di tutte le sue dinamiche e di tutti i suoi attori, inclusi coloro i quali, proprio per l’alta carica che ricoprono e per l’elevato livello di responsabilità, fanno ampio uso di dispositivi mobili contenenti una vasta mole di informazioni sensibili dell’azienda, del suo business o dei suoi clienti.

Inoltre, il management è soggetto a frequenti spostamenti il che li espone ad ulteriori rischi, in quanto spesso si avvalgono (senza conoscerne il livello di protezione) di infrastrutture pubbliche per l’accesso wireless a Internet, col rischio di incorrere in attacchi esterni volti al furto di dati.

Dunque, tutti in azienda devono essere consapevoli delle diverse tipologie di minacce, dei loro impatti sull’operatività dell’azienda, sulla continuità dei servizi erogati, sul business, sulla privacy e la riservatezza dei dati, ed è fondamentale essere a conoscenza del ruolo che la componente umana ricopre come prima misura di difesa.

Tipologie ed obiettivi della cybersecurity awareness

A seconda del tipo di azienda e delle sue peculiarità sotto il profilo organizzativo, l’informazione e la formazione possono seguire canali differenti, che vanno dalla didattica in aula a cura di formatori interni o esterni all’azienda, passando per programmi di e-learning specificatamente sviluppati in base al livello generale di preparazione del personale fino a tecniche di gamification o alla messa a punto di materiale informativo specifico erogato per mezzo di newsletter o mediante la Intranet aziendale.

I contenuti dovranno innanzitutto partire dalle basi, spiegando quali sono i cyber attack più comuni, come poterli identificare e come vanno protetti computer e dispositivi mobili, come vanno rese inviolabili le proprie credenziali di accesso e le informazioni personali.

Successivamente, ci si potrà focalizzare su tematiche più complesse, che concernono, ad esempio, le concrete soluzioni di controllo e prevenzione, nonché di risposta efficace agli attacchi.

L’obiettivo principe è quello di far sì che tutti, in azienda, indipendentemente dai singoli ruoli e dalle singole mansioni, si impossessino delle competenze e dei metodi di base della sicurezza informatica, atti a fare prevenzione e, in caso di criticità, a difendersi. Ma non solo.

A un livello più profondo, lo scopo della security awareness è portare la cultura della cybersecurity nelle aziende, rendendo gli utenti più responsabili sul tema, motivandoli a un atteggiamento più attivo nei confronti delle possibili minacce alle quali essi stessi, in quanto parte del “sistema azienda”, sono esposti.

Le minacce dalle quali difendersi

Conoscere il male per potersi difendere: questo il principio cardine della security awareness.

Il male, in questo caso, è dato dalle minacce alla sicurezza IT, tra cui – solo per citare alcuni esempi – la più comune è il malware.

Si tratta, in sostanza, di un software – in molti casi fatto circolare mediante allegati email o download apparentemente insospettabili – finalizzato alla messa fuori uso del computer della vittima.

Ne esistono di diversi tipi, tra i quali ricordiamo i virus e i trojan: programmi dal codice malevolo in grado di riprodursi ed infettare i file all’interno del sistema.

Gli spyware, invece, sono un’altra pericolosa tipologia di malware capaci di registrare – senza che l’utente se ne accorga – le azioni di quest’ultimo, riuscendo, ad esempio, a impossessarsi dei dati della sua carta di credito e di altre informazioni sensibili.

Mentre il ransomware è quel malware in grado di impedire alla vittima di accedere ai suoi file e ai suoi dati (spesso criptandoli), a meno che non paghi al criminale un riscatto in denaro.

Un altro genere di attacco, del quale occorre avere piena consapevolezza per poterlo prevenire e combattere, riguarda il phishing: in questo caso l’utente riceve una email non sospetta che, in realtà, cela lo scopo di estorcergli informazioni personali, tra cui le credenziali di accesso a siti (spesso relativi al settore bancario e social).

Sempre finalizzato alla sottrazione di dati è l’attacco Man in the Middle, che agisce intercettando le comunicazioni fra due utenti, mentre l’attacco DoS (Denial of Service) sovraccaricando le reti e i server, punta a rendere inutilizzabile il sistema informativo o l’applicazione esposta sul web.

Nelle aziende, tra le misure di difesa alle minacce citate figurano i protocolli per crittografare messaggi email, file e informazioni riservate, proteggendo, in questo modo, i dati in transito, i canali utilizzati e difendendosi da eventuali tentativi di furto.

Inoltre, ai protocolli di sicurezza si deve combinare un costante aggiornamento dei database delle minacce per abilitare la rilevazione in tempo reale dei malware e di quei virus che si “mimetizzano” cambiando codice o forma nel tempo.

E alcuni programmi consentono anche di isolare (nei cosiddetti sandbox) quei software ritenuti potenzialmente dannosi, per studiarli e arrivare a comprendere come poterli intercettare più rapidamente e con maggiore efficienza.

TelsySkills: la prima linea di difesa contro le vulnerabilità informatiche

Come si è mostrato, nella gran parte dei casi, il maggiore elemento di criticità nella gestione di una vulnerabilità informatica riguarda anzitutto le persone.

Infatti, sono proprio i dipendenti gli attori principali: che si tratti di scarsa attenzione alle policy di sicurezza, di eccessivo lassismo nella gestione e conservazione di dati e informazioni, di un settaggio malfatto di un software o di una componente infrastrutturale, o semplicemente di un attacco di phishing, secondo un report di Verizon è l’errore umano a rappresentare l’82% dei security incident.

Dunque, una corretta formazione del personale è essenziale per la sicurezza di tutta l’organizzazione.

Telsy propone la sua soluzione di security awareness TelsySkills, una piattaforma interattiva e completa che trasforma i dipendenti nella prima linea di difesa contro il cyber crime.

TelsySkills costituisce una proposta unica ed efficace per contrastare il cyber crime, puntando sul fattore umano come chiave di successo.

È una piattaforma di e-learning composta di 3 moduli specifici dedicati alla formazione del dipendente contro la maggior parte delle vulnerabilità in ambito IT, aumentando la consapevolezza dei dipendenti attraverso l’adozione delle più avanzate tecniche di apprendimento.

I moduli sono così composti:

• Awareness: un percorso di apprendimento dinamico, stimolante ed interattivo per rendere i dipendenti più consapevoli nell’utilizzo del web.
• Channel: composto da sessioni di videolezioni focalizzate sui rischi cyber con uno storytelling innovativo, coinvolgente ed immersivo.
• Phishing: addestramento esperienziale con campagne di simulazione phishing, smishing e vishing.

Perché scegliere TelsySkills?

• Aumenta la consapevolezza dei rischi informatici
• Approccio interattivo e pervasive gamification
• Completamente automatizzato e a basso impatto operativo per le funzioni HR, IT e Security
• Sessioni brevi e autoconsistenti

Scopri di più sulle soluzioni cyber di Telsy