Nulla evidenzia in modo più evidente “la scarsa esperienza digitale dei dipendenti ” quanto il fatto che il proprio datore di lavoro sia vittima di un attacco informatico andato a buon fine. Improvvisamente, la reputazione dell’azienda in materia di “ ” è andata in frantumi, il prezzo delle sue azioni è crollato e i Suoi dati personali sono in vendita sul dark web.
Per evitare scenari catastrofici come questo è necessario che tutti siano allineati dal punto di vista della sicurezza. E questo inizia con , che illustra i concetti di sicurezza in modo comprensibile anche per i vostri colleghi che non si occupano di informatica. In una fase iniziale dello sviluppo delle tecnologie dell’informazione, abbiamo sviluppato una vera e propria dipendenza dal gergo tecnico. Il settore ne è pieno, ed è facile dimenticare che anche alcuni dei termini più elementari, che i professionisti della sicurezza informatica danno per scontati, risultano incomprensibili ai colleghi di altri reparti e – cosa più importante – ai membri del consiglio di amministrazione.
Tradurre il gergo informatico in un linguaggio quotidiano è fondamentale per far capire il proprio punto di vista, per non parlare dell’approvazione dei bilanci. Si tratta inoltre di un fattore determinante per l’ l’impegno dei dipendenti.
Partire dalla terminologia corretta è anche un ottimo modo per avviare una discussione più ampia sulle minacce più gravi per l’azienda e su ciò che occorrerà per ridurle al minimo o mitigarle, afferma Malcolm Harkins, responsabile della sicurezza e della fiducia presso l’azienda di sicurezza AI HiddenLayer.
Ecco una breve guida per non addetti ai lavori ai 15 concetti chiave della sicurezza informatica, dall’APT allo ZTA. Lo utilizzi come guida alla traduzione oppure lo condivida con altri dirigenti aziendali prima della vostra prossima riunione per l’approvazione del bilancio.
1. APT
Acronimo di “ ” (minaccia persistente avanzata) ovvero, più specificatamente, un aggressore che si annida nella vostra rete per lunghi periodi, sottraendo informazioni in modo discreto. Immaginate che uno sconosciuto si nasconda nella vostra soffitta per mesi, origliando di nascosto le vostre conversazioni e collegandosi di nascosto al vostro Wi-Fi. Si tratta di un APT. Tra i gruppi di hacker più noti per questa attività figurano quelli con sede in Russia APT28 (noti anche come Fancy Bear) e quelli con sede in Iran APT34, oltre a molti altri.
Da tenere a mente: Anziché definirli “APT”, è opportuno considerarli come “intrusi radicati” o “spie digitali”.
“Immaginate che uno sconosciuto si nasconda nella vostra soffitta per mesi, origliando di nascosto le vostre conversazioni e collegandosi di nascosto al vostro Wi-Fi. Si tratta di un attacco APT.”
2. Cappelli neri
Hacker che violano i sistemi e rubano dati per i propri scopi illeciti o per conto dei propri clienti. Sono l’opposto dei “white hat”, che penetrano nei sistemi per individuare le vulnerabilità in modo che possano essere corrette prima che i malintenzionati colpiscano (talvolta vengono anche definiti “hacker etici”). I "gray hat" si collocano a metà strada tra le due categorie, agendo talvolta per il bene e talvolta no. Esistono inoltre i “red hat” (vigilanti che sferrano contrattacchi contro i “black hat”), i “blue hat” (hacker che cercano vendetta contro un obiettivo specifico) e i “green hat” (principianti che aspirano a diventare uno degli altri colori).
Da ricordare: Prima di consentire a chiunque l’accesso alla vostra rete, assicuratevi di sapere quale ruolo ricopre.
3. CIA
No, non l’agenzia di spionaggio. Questo acronimo sta per “ ” (sicurezza delle informazioni), ovvero riservatezza, integrità e disponibilità, meglio nota come la triade della sicurezza informatica. Garantire la CIA è la priorità assoluta per i professionisti della sicurezza, ma non possono farlo senza disporre dei processi, delle politiche e delle persone adeguate, osserva Sue Bergamo , autrice del libro **, da lungo tempo Chief Information Officer e Chief Information Security Officer (CIO/CISO) nonché consulente esecutivo.
Da tenere a mente: Se ritenete che la tecnologia da sola possa garantire la CIA, probabilmente siete già stati vittime di una violazione.
4. Deepfake
Immagini, audio o video “ ” generati dall’intelligenza artificiale, progettati per indurLa a credere di avere a che fare con una persona reale – come nel caso del deepfake audio che ha indotto un dipendente di una società di servizi finanziari di Hong Kong a effettuare un bonifico di 25 milioni di dollari a un truffatore telefonico, credendo che si trattasse del proprio direttore finanziario. Un deepfake può rientrare in un attacco di ingegneria sociale (vedi sotto) volto a conquistare la fiducia dei dipendenti e a indurli a rivelare informazioni sensibili.
Da tenere a mente: Se sembra troppo bello/strano/scioccante per essere vero, probabilmente si tratta di intelligenza artificiale.
5. IOC
Gli “indicatori di compromissione” ( ) sono un termine tecnico che indica i segnali che il vostro dispositivo o la vostra rete sono stati violati, quali attività insolite sull’account, modifiche ai file di sistema o richieste di privilegi di accesso più elevati. Trovare un IOC è come tornare a casa e scoprire che la finestra d’ingresso è stata sfondata e che la televisione è scomparsa. Non vi consentirà di recuperare i vostri oggetti, ma potrà fornirvi informazioni sufficienti per limitare future effrazioni e mettere in guardia gli altri.
Da tenere a mente: . Il sito IOC sostiene che sia giunto il momento di installare delle sbarre alle finestre e di prendere un cane.
“Quell’ IOC [indicatore di compromissione] suggerisce che sia giunto il momento di installare delle sbarre alle finestre e di prendere un cane.”
6. LOLBins
Va bene, dobbiamo analizzare la questione. LOL è in realtà l’abbreviazione di LOTL, ovvero “living off the land”, che si riferisce a un tipo di attacco informatico in cui gli hacker si avvalgono di strumenti e sistemi già installati su una rete. Bins = file binari. While non-tech civilians may be familiar with “binary code” – all the 1s and 0s that make up the fundamental language computers use – they may be (make that are likely) less aware that the word also refers to files and libraries of this code.
Pertanto, i file binari “ ” di tipo “living-off-the-land” sono librerie di codice legittime integrate nel Suo ambiente operativo che gli aggressori possono utilizzare contro di Lei. Ad esempio, un malintenzionato potrebbe utilizzare il linguaggio di script Windows' PowerShell per estrarre le credenziali di accesso di un amministratore di sistema. Questi attacchi sono noti anche come attacchi “senza file”, poiché non installano malware, riuscendo così a eludere la maggior parte dei software antivirus. I software di sicurezza che rilevano attività anomale del sistema , oltre alle firme dei malware, possono aiutare a identificare i LOLBin.
Da tenere a mente: Avere un APT che si diverte a fare scherzi sulla propria rete non è affatto una cosa da ridere.
«Se una violazione dei dati Le tiene sveglio la notte, probabilmente si tratta di un evento rilevante.»
7. Violazione sostanziale
Qualsiasi fuga di dati o attacco che imponga a una società quotata in borsa di renderlo noto nei propri documenti depositati presso la SEC, ai sensi delle nuove norme dell’agenzia relative alla legge “ ” ( ), entrate in vigore a dicembre. Se la violazione comporta una perdita significativa di ricavi, un danno alla reputazione o un calo del prezzo delle azioni della società, essa può essere considerata “rilevante”. Ma cosa ciò significhi in termini pratici dipende da voi (e dal responsabile legale della vostra azienda).
Da tenere a mente: Se una violazione dei dati Le tiene sveglio la notte, probabilmente si tratta di un evento rilevante.
8. MFA
L'autenticazione a più fattori è quella fastidiosa ma necessaria procedura aggiuntiva richiesta all'utente per accedere a una rete o a un dispositivo, che solitamente prevede l'utilizzo di un codice inviato tramite SMS o tramite un' App mobile, e che aggiunge un ulteriore livello di protezione alla propria password (probabilmente debole e facilmente violabile). E, no, per l’ennesima volta, “ “12345”, “password” e il nome del vostro calciatore preferito dei Mondiali non sono password sicure (sebbene queste tre rimangano incredibilmente popolari).
Da tenere presente: I sistemi di autenticazione a più fattori (MFA) sono comunque meno fastidiosi degli hacker che rubano le vostre credenziali di accesso e vi impediscono di accedere ai vostri account.
9. Applicazione delle patch
Aggiornare regolarmente il software per correggere le vulnerabilità appena individuate, solitamente come soluzione temporanea in attesa del rilascio di una versione più sicura del software. Ciò non è privo di rischi; l’applicazione di una patch a un’applicazione potrebbe compromettere il funzionamento di un’altra App che dipende da essa, oppure potrebbe introdurre nuove vulnerabilità, osserva Harkins.
Da tenere presente: Quando le app impiegano troppo tempo tra un rilascio completo e l’altro, possono finire per assomigliare a una trapunta a rombi.
[Leggi anche: La guida essenziale alla “slow patching”: motivi, rischi e soluzioni]
10. Elevazione dei privilegi
Quando soggetti malintenzionati riescono a penetrare in una rete e utilizzano credenziali rubate o sfruttano vulnerabilità per risalire la catena di comando, ottenendo infine privilegi amministrativi. È come se qualcuno irrompesse nel ripostiglio del custode e rubasse le chiavi di tutte le altre stanze dell’edificio; non si fermerà finché non avrà raggiunto l’ultimo piano. Limitare il numero di persone dotate di poteri amministrativi e monitorare attentamente tali account rappresenta un buon primo passo per ridurre l’escalation .
Da tenere presente: l’iscrizione a “ ” può comportare alcuni privilegi, ma speriamo non tutti.
11. Squadra rossa/squadra blu
The red team actively attacks your network to identify points of vulnerability; think of them as white hat hackers with stock options and 401(k)s. La squadra blu si occupa della difesa, cercando di impedire che gli attacchi abbiano successo o di mitigare gli incidenti man mano che si verificano. Esistono inoltre “purple team” che combinano elementi di entrambi. Un solido approccio alla sicurezza dovrebbe prevedere esercitazioni periodiche di tipo “red/blue” (o “purple”).
Da ricordare: Se gestita correttamente, la sicurezza è sempre un lavoro di squadra.
12. Ingegneria sociale
Indurre le persone a cliccare su un link dannoso contenuto in un’e-mail di phishing , a rispondere a un SMS truffaldino (smishing) o a fornire informazioni sensibili al telefono (vishing). L’ingegneria sociale rappresenta dal 70 al 90% degli attacchi riusciti, osserva Roger Grimes, promotore della difesa basata sui dati per la società di formazione in materia di sicurezza KnowBe4, ed è particolarmente efficace quando il truffatore finge di essere una persona di cui vi fidate.
Da tenere a mente: Quella telefonata proveniente dall’ufficio dell’ CEO'e potrebbe in realtà non provenire dall’ CEOe.
13. Attacco alla catena di approvvigionamento
Quando un avversario riesce a violare le vostre difese compromettendo con successo uno dei vostri fornitori di fiducia. Ciò avviene solitamente quando infettano le proprie applicazioni con malware oppure installano microchip dannosi sui propri circuiti stampati, aprendo così una backdoor alla vostra rete. Valutare il rischio legato a terze parti attraverso un’attenta selezione dei potenziali fornitori – gli strumenti di valutazione automatizzata possono essere d’aiuto in tal senso – costituisce un passo fondamentale in qualsiasi rapporto con i fornitori.
Da ricordare: Tenetevi stretti gli amici, ancora più stretti i nemici e i fornitori terzi nella tasca posteriore dei vostri jeans più attillati.
«Il “zero trust” è più di un’architettura o di una tecnologia: è una cultura.»Malcolm Harkins, responsabile della sicurezza e della fiducia, HiddenLayer
14. Vulnerabilità zero-day
Una vulnerabilità in un sistema software o hardware di cui i malintenzionati sono a conoscenza, ma di cui Lei non è a conoscenza – il che significa che le sue vittime non hanno alcun tempo per prepararsi ad affrontarla. È improbabile che le attuali protezioni anti-malware riescano a Detect un attacco zero-day prima che questo sia stato sferrato, ammesso che ci riescano. Fortunatamente, la maggior parte degli attacchi zero-day sfrutta software non aggiornato e si avvale di tecniche di ingegneria sociale per penetrare nei sistemi; pertanto, l’ , l’applicazione regolare delle patch e la formazione sulla sicurezza possono limitare la vostra esposizione al rischio.
Da tenere a mente: Qualsiasi giorno è un brutto giorno per un “zero day”.
15. ZTA
L'architettura Zero Trust, o semplicemente zero trust, richiede che ogni utente e ogni dispositivo vengano verificati non solo al momento dell'accesso, ma anche prima di accedere a qualsiasi risorsa di rete. E si parte dal presupposto che non ci si debba fidare degli utenti e dei dispositivi fino a prova contraria. Ciò può prevenire problemi quali l’escalation dei privilegi (Voi potete consultare quel documento destinato esclusivamente all’uso interno, ma il Vostro stagista estivo non può farlo) e limitare i danni derivanti da attacchi di ingegneria sociale andati a buon fine.
"Il modello 'zero trust' è più di una semplice architettura o tecnologia: è una cultura", afferma Harkins. "E deve davvero diffondersi in ogni ambito, non solo nel vostro ambiente IT. "I dirigenti devono comprendere appieno la complessità di ciò che comporta l'approccio zero trust prima di decidere di implementarlo."
Da ricordare: Con l’approccio “zero trust”, anche vostra madre deve esibire un documento d’identità. E questa è una cosa positiva.
