Lunedì 26 Ottobre 2020
MacroambienteBest practice di cybersecurity personale e aziendale

Best practice di cybersecurity personale e aziendale

Una serie di best practice di cybersecurity per tutelare i propri dati e le proprie finanze dagli attacchi informatici.


Angela Rita Laganà
A cura di: Angela Rita Laganà Segreteria Redazione
Best practice di cybersecurity personale e aziendale

Quando si parla di best practice di cybersecurity il riferimento è a tutti quei comportamenti che è sempre meglio adottare nell’uso personale e aziendale di un dispositivo collegato alla rete. Che si tratti di scarsa conoscenza delle minacce informatiche o dei metodi per contrastarle, esistono delle best practice di cybersecurity che è possibile applicare sia nell’uso quotidiano e personale della rete che in contesti aziendali per tutelare i propri dati e le proprie finanze.

Best practice di cybersecurity personale

Nel caso della cybersecurity personale, nel mese di ottobre, dedicato alla sicurezza informatica, Cisco ha pubblicato un vademecum dei comportamenti da adottare per ridurre al minimo il rischio di attacco informatico invitando a condividere le conoscenze sulla sicurezza informatica con famiglia, amici e colleghi, poiché la cyberhygiene è un vantaggio per tutti.

Mantenere private le informazioni personali

Le informazioni di identificazione personale, conosciute anche come PII (acronimo di “personally identifiable information”), sono dei dati identificativi che combinati ad altre informazioni possono essere tra le cause di furto di identità. Rientrano in questa categoria, secondo la definizione riconosciuta dall’Istituto nazionale degli standard e della tecnologia (NIST), nome e cognome, indirizzo di casa e di posta elettronica, luogo e data di nascita, identificativo dei principali documenti e numero di telefono. La falsificazione personale è un reato da sempre esistito, ma con l’avvento dell’era digitale e le mutevoli rappresentazioni di identità digitale di ogni individuo ha anche assunto la forma dei “fake profile” sui social network e sulle piattaforme per i servizi di sharing. A volte la diffusione di alcune informazioni è inconsapevole, basti solo pensare a quelle attività sui social che invitano ad associare la propria data di nascita a una lista di nomi per poi condividerla nei commenti e allo stesso tempo richiedono informazioni che vagamente ricordano le domande di emergenza per il recupero degli account.

Prestare attenzione alle Email ricevute

Il filtro spam della casella di posta elettronica non basta a proteggere gli utenti dalle email che quotidianamente si ricevono. Se si pensa alla quantità di email che ogni giorno viene scambiata è facile capire come questo strumento sia tra i preferiti dagli hacker per gli attacchi phishing . Il trucco per difendersi da un attacco phishing è semplice: è fondamentale prestare sempre attenzione alle email ricevute anche quando sembra che provengano da una persona conosciuta o da un’azienda di cui ci fidiamo. Anche se layout e logo sembrano familiari, è bene rivolgere l’attenzione a errori grammaticali o richieste poco formali. L’obiettivo della truffa informatica è quello di sottrarre i dati di autenticazione facendoli inserire all’inconsapevole utente all’interno della copia quasi perfetta della pagina web di un servizio che il destinatario dell’email usa realmente. Importante è anche utilizzare un’autenticazione multifattore ogni volta che è possibile e fare attenzione ai link sospetti e agli allegati con estensioni particolari. Casi di phishing possono avvenire anche tramite SMS: in questo caso l’attacco prende il nome di smishing e si riferisce all’invio di messaggi di testo con un tono urgente e richiesta di informazioni riservate all’utente.

Aggiornare i software, modificare le password e controllare le app

Secondo lo studio “Proteggere il presente e il futuro”, realizzato da Cisco nell’ambito delle iniziative per la cybersecurity nel 2020, i criminali informatici sono costantemente alla ricerca di un software senza patch: l’utilizzo di software aggiornati è infatti uno dei modi più efficaci per evitare un attacco. Il 30% delle aziende presenti all’interno del campione esaminato ha subito un incidente causato da una vulnerabilità senza patch e una conseguente perdita che si attesta su valori superiori ai 10mila record di dati. L’applicazione delle patch può causare dei disagi poiché non sempre gli aggiornamenti vanno a buon fine, ma l’implementazione di una policy minima per le patch più recenti garantisce un ritorno sicuro dell’investimento.

Vulnerabilità senza patch Best practice si cybersecurity

Quanto è importante applicare le patch per
la difesa dalle violazioni? Fonte: Cisco

Allo stesso modo risulta importante modificare spesso le password e nel crearne di nuove utilizzare combinazioni di lettere, numeri e simboli facendo in modo di raggiungere almeno i 12 caratteri. Per quanto invece riguarda l’utilizzo delle app è sempre meglio controllare con regolarità le informazioni a cui hanno accesso e prima di scaricarne una nuova verificare i permessi richiesti. Prestare attenzione alle impostazioni della privacy e della sicurezza è un modo per limitare l’accesso alle proprie informazioni personali e inoltre è importante condividere solo ciò che è realmente necessario.

Ridurre al minimo l’utilizzo di reti pubbliche

Qual è il prezzo di una connessione gratuita? Può sembrare un ossimoro, ma in realtà il prezzo che si paga per l’utilizzo delle reti Wi-Fi pubbliche ha a che fare con la sicurezza dei propri dati. Gli hacker le preferiscono per la loro vulnerabilità e proprio per questo motivo è sempre meglio utilizzare il proprio smartphone ed evitare di collegarsi a siti che utilizzano e conservano i propri dati come nel caso dei social e delle app di home banking. Allo stesso modo è sempre bene non salvare mai le password in computer pubblici e condivisi, effettuare il logout dai propri account e cancellare da questi cookie e cronologia della navigazione.

Best practice di cybersecurity aziendale: quali sono i possibili danni causati da un attacco informatico?

L’ascesa delle nuove tecnologie digitali ha incrementato la possibilità di attacchi informatici coinvolgendo aziende appartenenti a ogni settore di business: gli attacchi sono sempre più eterogenei e capaci di colpire non solo i sistemi informatici ma anche le persone e le infrastrutture fisiche. Come conseguenza di ciò, le organizzazioni sono chiamate a implementare sistemi di sicurezza e difesa real time e a mettere in campo procedure di pianificazione e gestione del rischio. Sempre all’interno del report realizzato da Cisco e integrando i dati con lo studio “La sicurezza è grande anche nelle piccole imprese” realizzato focalizzandosi sulla cybersecurity delle PMI, è possibile identificare i parametri in base ai quali i danni di un attacco informatico possono essere valutati. Questi parametri sono: il tempo di inattività dei sistema aziendali a seguito di un attacco grave; il numero di dati persi; l’impatto sulle diverse aree di business.

I dati più rilevanti emersi da queste analisi:

  • il 26% delle aziende italiane necessita tra le cinque e le otto ore per ripristinare il normale funzionamento dei propri sistemi dopo aver subito un attacco grave. La differenza di durata delle interruzioni subite dalle PMI rispetto alle organizzazioni più grandi è minima e la scelta di investire in automazione anche in questo campo può facilitare la riduzione di interruzioni e aiutare le aziende in momenti di difficoltà;
  • la perdita tra i 10mila e i 100mila dati a seguito di un attacco informatico grave da parte del 33% delle aziende italiane intervistate. Alcuni malware, come quelli di tipo wiper, hanno lo scopo di distruggere o mettere fuori uso sistemi e/o dati. A differenza dei ransomware che trattengono i dati per ottenere un riscatto, gli hacker che utilizzano i wiper non sono spinti da una motivazione economica diretta e questo per le imprese è l’attacco peggiore perché non offre speranze di recuperare i dati;
  • il danno alla brand reputation per le aziende italiane ha un maggior impatto rispetto allo stesso dato globale. Inoltre, la cybersecurity e i danni di immagine causati da attacchi hacker non riguardano soltanto le grandi aziende ma parimenti anche quelle più piccole. Nel 2019 il 59% delle PMI ha deciso di divulgare di propria iniziativa la violazione più significativa che ha subito come prova di serietà e impegno nei confronti di clienti e partner e il 61% degli intervistati ha scoperto che la propria credibilità aumenta proprio nel momento in cui rivela volontariamente una violazione grave.
Metriche best practices Cybersecurity aziendale

Metriche per mostrare l’efficacia di un piano di
sicurezza. Fonte: Cisco

Come difendersi dagli attacchi più comuni sui social network?

La cybersecurity trova una sua applicazione anche nel mondo dei social. «Il problema dei social è che le persone si fidano spontaneamente degli interlocutori anche quando sono degli sconosciuti. La prima applicazione della cybersecurity sui social – ha dichiarato Andrea Zapparoli Manzoni in un’intervista rilasciata ai nostri microfoni al termine del suo intervento a Social Media Marketing  + Digital Communication Days Italia 2018 – è come evitare frodi, furti di identità, attività di phishing, infezioni con dei malware in un contesto in cui gli utenti cliccano felici, saltellano felici cliccando da un link all’altro, da un post all’altro. Come si fa cybersecurity sui social? Innanzitutto, monitorando quello che succede cercando tracce di attività anomale, criminali e illegali; secondo, ancora più importante, facendo formazione, insegnando alle persone a usare i social in modo sicuro e non in un modo, come spesso avviene purtroppo, un po’ superficiale, un po’ magari anche annoiato, ludico […] bisogna spiegare che è esattamente come nella vita reale, perché i social sono un pezzo della vita reale, non è che sei in un’altra dimensione e bisogna avere le stesse accortezze, perché ci sono gli stessi rischi, moltiplicati dalla “scala” del problema».

Tra le truffe più comuni sui social media troviamo:

  • offerte veicolate da banner che rimandano a landing page con form da compilare o prodotti da acquistare a prezzi stracciati. Le offerte strepitose si servono del “vantaggio economico” per riuscire a rubare informazioni come le coordinate bancarie utilizzabili per scopi fraudolenti. In casi come questo è sempre meglio verificare l’autenticità dell’offerta confrontandola con le offerte del sito ufficiale dei brand e usare sistemi di intermediazione come PayPal;
  • forme di catfishing, un raggiro basato su false identità o sock puppet che fa leva sulla possibilità di instaurare una relazione di fiducia tale da indurre il malcapitato a credere nelle difficoltà economiche del truffatore e a cedere a richieste di denaro. Il fenomeno è conosciuto anche come “romance scam” se la relazione di fiducia si è trasformata in relazione amorosa che ha portato ad una “sextortion“, la richiesta di denaro da parte di interlocutori online con i quali si è entrati in una sintonia tale da scambiare materiali compromettenti e che serve per scongiurare la pubblicazione online di questo materiale;
  • gli URL abbreviati e nascosti che su Twitter non permettono di identificare il link e verificarne la sua validità. In questi casi si tratta di collegamenti a siti web che contengono malware o che mascherano tentativi di phishing. Spesso si è inoltre rimandati a bot malevoli su Telegram o a canali in cui si pratica il “pump&dump” (acquisto massivo di criptovalute da rivendere una volta che hanno acquistato valore) o il “carding” (utilizzo di carte di credito clonate acquistate nel deep web );
  • casi di profile hijacking in cui viene letteralmente rubata l’identità digitale di un utente attraverso una copia quasi perfetta dell’account o il furto dell’account stesso. L’hacker può così truffare amici e contatti facendo leva sulla credibilità del malcapitato utente;
  • autorizzazioni ad app di terze parti che posso essere utilizzate a scopi malevoli soprattutto se dell’app in questione non sono state verificate le politiche sulla privacy e sull’utilizzo delle informazioni condivise.

Sulla base dello scenario emerso sembra chiaro che sia a livello personale che a livello aziendale è importante conoscere e individuare le principali minacce alla sicurezza dei sistemi informatici in rete e seguire alcune best practice di cybersecurity. Formazione e aggiornamento continuo si rivelano essenziali nella battaglia al cybercrime, ma anche il confronto tra utenti e la richiesta di informazioni su motori di ricerca e gruppi specializzati giocano il loro ruolo. Le aziende, nella misura disponibile per i loro budget , hanno compreso come la cybersecurity possa svolgere un ruolo cruciale. Le organizzazioni, comunque, sono costituite da persone e quindi accanto alla sicurezza delle infrastrutture policy e linee guida sull’argomento sono necessarie anche per rendere consapevoli i dipendenti. Gli attacchi non sono sempre frutto di tecniche sofisticate, ma fanno leva sulle debolezze del comportamento umano e in questi casi è solo necessario affidarsi alla conoscenza di possibili scenari di rischio e al buonsenso.

© RIPRODUZIONE RISERVATA E' vietata la ripubblicazione integrale dei contenuti

Resta aggiornato! Ricevi gratuitamente le ultime news e le offerte esclusive per corsi, eventi e libri in ambito marketing e comunicazione.

ISCRIVITI ai nostri canali:

Altre notizie

© Inside Marketing 2013 - 2020 è un marchio registrato ® P.iva 07142251219
×

Informativa

Questo sito o gli strumenti terzi da questo utilizzati si avvalgono di cookie necessari al funzionamento ed utili alle finalità illustrate nella cookie policy. Se vuoi saperne di più o negare il consenso a tutti o ad alcuni cookie, consulta la cookie policy.
Chiudendo questo banner, scorrendo questa pagina, cliccando su un link o proseguendo la navigazione in altra maniera, acconsenti all’uso dei cookie.

loading
MOSTRA ALTRI