Sicurezza: violazione dei dati personali, future tendenze e cosa fare adesso

Allo SMAU di Milano il prossimo 24 ottobre il workshop a cura di digiTree

Milano, 17 ott – (Adriana Franca, country manager di digiTree) Per decenni, le imprese si sono focalizzate sulla protezione di dati e processi, erigendo barriere per tenere alla larga i cattivi. Tuttavia, nonostante i sempre maggiori investimenti in tecnologie di sicurezza, i data breach (violazione dei dati personali) continuano a proliferare. Il panorama delle minacce inoltre si complica ulteriormente, dal momento che i perimetri stanno di fatto sparendo a causa del sempre maggiore ricorso a sistemi (cloud, mobile) sui quali un’azienda ha scarso o nullo controllo.

È giunto il tempo, per i produttori come per i professionisti della sicurezza, di effettuare un cambio di paradigma – da un approccio “outside-in” guidato dalle tecnologie ad uno “inside-out” incentrato sulle persone, per affrontare al meglio la nuova era di mobilità e cloud.

È richiesto un cambio di strategia. Gli incidenti di sicurezza, pressoché raddoppiati tra il 2015 ed il 2016, hanno avuto un aumento vertiginoso nel 2017. Questi numeri sono ancora più preoccupanti quando si considera l’attuale enorme aumento nella spesa per tecnologie di sicurezza che Gartner – la multinazionale leader mondiale nella nel campo dell’Information Technology – prevede raggiungerà i 113 miliardi di dollari nel 2020 a livello mondiale. Maggiori investimenti in sicurezza dovrebbero ridurre gli incidenti: perché questo non accade?

Ci piace a questo punto citare Kevin Mitnick, ex-hacker ed ora security consultant di successo che collabora con KnowBe4 come Chief Hacking Officer:

«Le aziende spendono milioni di dollari in firewall, crittografia, dispositivi di accesso protetto. Ed è denaro sprecato perché nessuna di queste misure affronta l’anello più debole della catena di sicurezza: le persone che utilizzano, gestiscono, ed operano su sistemi informatici che contengono informazioni riservate».

L’aspetto più preoccupante della sicurezza informatica è infatti dato dal fatto che circa il 90-95% degli attacchi informatici che hanno successo ha inizio con un’email di phishing.

Ogni giorno pare ne vengano inviate circa 156 milioni, che 16 milioni oltrepassino i filtri di sicurezza, 800.000 vengano aperte e i loro link cliccati, con il risultato che circa il 10% dei “cliccatori” condividono informazioni confidenziali – proprie o aziendali – con i cyber-criminali. Oltre a ciò, ogni tre mesi vengono identificate circa 250.000 nuove URL di phishing.

Sebbene vengano effettuate campagne email massive di phishing, le iniziative di maggior successo sono quelle fatte su misura per un individuo o un’azienda, ossia il cosiddetto spear phishing, in cui viene recapitata ad un ignaro destinatario un’email proveniente da una fonte apparentemente affidabile, che lo indirizza a un sito Web contraffatto pieno di malware dove gli vengono sottratte informazioni riservate come brevetti, dati finanziari, segreti commerciali o militari. Una variante recente è costituita dalla CEO fraud, ossia una email truffaldina che sembra provenire dal capo o da un dirigente, ed induce i destinatari inconsapevoli a versare dei fondi nel conto corrente degli attaccanti. L’FBI ha stimato che queste frodi sono costate alle aziende più 2.3 miliardi di dollari di perdita negli ultimi tre anni.

Sopravvivere ad un attacco massivo di phishing costituisce una svolta fondamentale nel livello di consapevolezza dei rischi informatici da parte di un individuo o di un’azienda. Come nell’apprendimento di una nuova lingua, quando improvvisamente la sua struttura acquista un significato ed ogni cosa dal quel momento in poi diventa facile da apprendere, similmente, nel phishing la svolta avviene quando si diventa chiaramente consapevoli dei segnali di allarme – le cosiddette red flags – e ci si accorge delle nuove tecniche messe in atto. Riuscendo a giungere a questo punto di svolta, l’individuo sarà portato sistematicamente a non cliccare sui link di phishing per un lungo periodo di tempo.

Nel workshop “Security Awareness & Training – Best Practices, Future Tendenze, e Cosa fare ADESSO“, che avrà luogo allo SMAU 2017 il 24 ottobre, verranno date alcune indicazioni operative su come impostare al meglio un programma di formazione alla consapevolezza dei rischi informatici ed incidere profondamente sulla cultura aziendale.

Verrà data particolare attenzione alle strategie migliori per far accettare all’azienda nel suo complesso una formazione che non si riduca soltanto al “veicolamento di informazioni”, ma vada ad incidere profondamente sui comportamenti degli utenti.

Per raggiungere questo scopo si dimostrerà come non sia sufficiente un approccio tradizionale, spesso promosso meramente per ragioni di compliance, ma sia necessario adottare una strategia basata su formazione multi-canale (moduli formativi, video, poster, gamification) integrata alla simulazione di attacchi di phishing per rendere i comportamenti di sicurezza degli automatismi, analogamente o quasi alla nostra memoria muscolare, e far sì che la risposta “riflessa” degli utenti sia quella corretta.

Si accennerà poi a quelli che sono gli sviluppi verso cui si sta rivolgendo l’industria della sicurezza in questo settore, come il ricorso all’Intelligenza Artificiale ed al Machine Learning, e la maggiore integrazione con i tradizionali sistemi di rilevazione delle minacce (es. SIEM).

digiTree è una security company fondata a Trieste nell’agosto 2016 come subsidiary di una compagnia australiana, attiva nel settore dell’Information Technology/Information Security da oltre vent’anni.

digiTree si propone sul mercato italiano come distributore a valore aggiunto di soluzioni tecnologiche di alto livello, semplici da usare, e adatte a qualunque tipo di organizzazione – dalla piccole/medie imprese alle grandi corporate.

Sommario
Sicurezza: violazione dei dati personali, future tendenze e cosa fare adesso
Article Name
Sicurezza: violazione dei dati personali, future tendenze e cosa fare adesso
Descrizione
Allo SMAU di Milano il prossimo 24 ottobre il workshop a cura di digiTree. Relatore: Adriana Franca, country manager
Author
Publisher Name
GrNet.it
Publisher Logo
Flipboard

Lascia una risposta

L'indirizzo email non verrà pubblicato.