Lo scorso marzo, gli hacker del gruppo di estorsione Lapsus$ , facente parte dell’ , hanno sferrato una serie di attacchi contro il colosso delle telecomunicazioni T-Mobile. Dopo aver acquistato credenziali rubate e essersi introdotti con l’inganno negli account dei dipendenti, la banda Lapsus$ è riuscita ad accedere agli strumenti interni di T-Mobile, come ad esempio il sistema di gestione dei clienti. Da lì, gli hacker hanno sottratto alcuni dei dati più sensibili dell’organizzazione: oltre 30.000 repository di codice sorgente. Sono inoltre riusciti a impossessarsi dei numeri di cellulare dei clienti e a intercettare i codici di autenticazione a più fattori .
T-Mobile non è stata tuttavia l’unica grande organizzazione a dover affrontare un grave incidente di sicurezza. Nel mese successivo, ulteriori attacchi informatici hanno minacciato la divulgazione di ingenti quantità di dati altamente sensibili e riservati presso organizzazioni quali Coca-Cola, Nestlé, Epic Games e Scripps Health.
La quantità complessiva di dati a cui gli hacker possono ora accedere è sbalorditiva: circa 8 miliardi di file sono esposti nelle cartelle di archiviazione cloud, secondo lo strumento di ricerca “ ” di Grayhat Warfare (), e almeno 7,2 milioni di database sono esposti online, secondo un’analisi condotta per conto di ProPublica ( ) ().
Meno voluminosi, ma di gran lunga più importanti, sono i dati più sensibili e preziosi di un’organizzazione: i suoi “gioielli della corona”. Tali file possono includere, ad esempio, il codice sorgente dei prodotti principali di un’azienda, le chiavi di crittografia o le strategie di sicurezza riservate.
«Le aziende devono sapere quali sono i loro dati più importanti, dove si trovano e in che modo sono protetti», afferma Paul Perry, responsabile del settore sicurezza, rischi e controlli presso lo studio contabile Warren Averett e membro del gruppo di lavoro sulle tendenze emergenti dell’ISACA.
“«Se questi dati venissero sottratti da hacker, le conseguenze potrebbero essere disastrose».
Secondo gli esperti, proteggere i beni più preziosi è fondamentale, ma mettere in atto le misure di protezione adeguate non è sempre semplice. Di seguito sono riportate cinque strategie che le organizzazioni dovrebbero adottare per proteggere i propri dati più preziosi.
Individuate i dati più critici della vostra organizzazione
Individuare dove si trovano i dati più critici è un primo passo indispensabile per proteggerli — e forse anche il più difficile, afferma Jenu Jose, ingegnere delle soluzioni tecniche presso Tanium.
«Le aziende devono sapere quali sono i loro dati più importanti, dove si trovano e come vengono protetti.»Paul Perry, responsabile del settore sicurezza, rischi e controlli presso Warren Averett
I dati più critici sono raramente ben definiti all’interno delle organizzazioni, afferma. È possibile che alcune aziende abbiano elaborato una politica in materia di protezione dei dati o un sistema di classificazione che preveda diverse categorie per i dati sensibili e riservati. «Ma molte aziende non hanno intrapreso un’analisi per fare chiarezza su questo aspetto, poiché si tratta di un processo troppo complesso», afferma Jose. «Non è un progetto facile da affrontare.»
Anche il compito di individuare dati di grande valore può rivelarsi complesso: «Non basta effettuare una ricerca veloce per raccogliere tutti quei dati», afferma. “Il cloud computing rende molto difficile individuare i file, poiché potrebbero trovarsi nell’OneDrive di qualcuno, su Azure o in qualsiasi altro luogo nel cloud.” È necessario effettuare ricerche su più piattaforme per farsi un'idea precisa di dove si trovino i dati sensibili e quali risorse richiedano i livelli più elevati di protezione.
Valutare l’impatto di una potenziale fuga di dati
Una volta individuati i propri beni più preziosi, le organizzazioni dovrebbero poi valutare il grado di criticità di ciascuna risorsa, afferma Jose. Dovrebbero chiedersi: se una determinata risorsa o un’ endpoint e venisse compromessa, quale sarebbe il possibile impatto?
«Asset , la valutazione della criticità consiste nel comprendere le proprie applicazioni, i propri server e i propri endpoint, attribuendo loro un peso diverso in termini di rischio potenziale di fuga di dati», afferma. Tale ponderazione può influire sul sistema complessivo di valutazione del rischio informatico di un’azienda.
Una volta che le organizzazioni hanno determinato il grado di criticità delle proprie risorse, dovrebbero effettuare una valutazione dei rischi per individuare le vulnerabilità e valutare i controlli esistenti messi in atto per proteggerle, afferma Perry della Warren Averett. I potenziali punti deboli dovrebbero essere discussi con tutti i membri dell’organizzazione, afferma. È possibile che il reparto contabilità sia a conoscenza di rischi di cui il reparto informatico non è a conoscenza.
«È necessario sedersi e comprendere i propri rischi e quali misure si stanno adottando per affrontarli; ma, cosa ancora più importante, discutere di ciò che non si sta facendo al riguardo e delle misure di controllo che non sono state messe in atto», afferma Perry. «Le Risk valutazioni dovrebbero essere continue poiché, nel corso del tempo, i rischi cambiano, il contesto cambia e il personale cambia.»
Rafforzate le vostre misure di sicurezza
Le difese aggiuntive possono assumere diverse forme, afferma Jose. Tra queste figurano la crittografia di determinati documenti, la cancellazione dei dati da posizioni vulnerabili, il blocco dei dispositivi in modo che le unità personali di tipo “ USB ” non possano essere utilizzate per copiare dati e la limitazione dell’accesso a determinate informazioni.
«Individuare chi ha accesso a determinati dati può risultare molto difficile.»Jenu Jose, ingegnere delle soluzioni tecniche presso Tanium
«Individuare chi ha accesso a determinati dati può risultare molto difficile», afferma Jose. “Potrebbe esserci una norma che stabilisce che qualsiasi informazione relativa alle carte di credito debba essere conservata internamente. «Ma poi si presenta un caso in cui qualcuno dovrà condividere tali dati con soggetti esterni: come si fa a proteggerli?»
Le organizzazioni consolidate possono tenere un elenco delle persone autorizzate ad accedere a determinati file, mentre altre aziende potrebbero consentire ai dipendenti di inviare via e-mail un documento esclusivamente a partner commerciali o fornitori. L'invio ad altri destinatari verrebbe automaticamente bloccato. Nel mettere in sicurezza le risorse, le organizzazioni devono riflettere in modo strategico su come trovare un equilibrio tra il costo della protezione e la propensione dei dirigenti ad accettare un determinato livello di rischio.
Monitorare costantemente i dati sensibili
Una volta che i “gioielli della corona” sono stati individuati, valutati e protetti, le organizzazioni dovrebbero provvedere al loro monitoraggio. “Gli strumenti di monitoraggio ‘’ sono gli occhi e le orecchie delle attività che si svolgono all’interno della vostra organizzazione dal punto di vista dei dati: chi accede a cosa, con quale frequenza vi accede e se ne ha effettivamente la possibilità”, afferma Perry.
“Se disponete di un nome utente e di una password e state accedendo a qualcosa, state già svolgendo una funzione informatica.”Perry
Il monitoraggio dei dati offre una visione più approfondita delle modalità di accesso e utilizzo dei file, il che può rivelarsi particolarmente importante nel contesto di e nel rispetto delle normative governative. «È necessario essere in grado di registrare ogni singola modifica apportata a un file specifico o a un insieme di file per garantire la conformità», afferma Jose di Tanium. Oppure può rivelarsi utile nelle questioni relative alle risorse umane. Ad esempio, nel caso di una questione aperta in materia di risorse umane che coinvolga un dipendente, l’azienda potrebbe voler monitorare l’accesso ai dati sensibili sui dispositivi di tale dipendente.
Nel scegliere uno strumento di monitoraggio, le organizzazioni dovrebbero valutarne la flessibilità nella creazione di definizioni personalizzate relative ai propri dati sensibili, incluse, ad esempio, parole chiave specifiche o nomi di progetti. Gli strumenti dovrebbero inoltre implementare le più recenti soluzioni di sicurezza basate sull’intelligenza artificiale (AI) di e strumenti dotati di funzionalità integrate di machine learning (ML) , al fine di migliorare costantemente la capacità di ridurre al minimo il numero di falsi positivi negli avvisi di sicurezza, che possono sovraccaricare il personale IT.
Fate della sicurezza un elemento fondamentale della vostra cultura aziendale
La cultura della sicurezza di un’organizzazione determina l’efficacia con cui essa protegge i propri dati più preziosi. Tuttavia, in alcune aziende, l’adozione di misure di sicurezza efficaci passa in secondo piano rispetto alla praticità.
«Molte organizzazioni non dispongono dei controlli necessari perché i dipendenti sostengono che misure come l’autenticazione a due fattori siano estremamente scomode per loro o per i loro clienti», afferma Perry. “Anche le organizzazioni sono ormai diventate insensibili alla questione della sicurezza informatica. «Quando si dispone di risorse molto limitate — sia umane che finanziarie — e occorre stabilire come proteggere al meglio i dati, le aziende possono trovarsi in difficoltà».
La creazione di una solida cultura della sicurezza informatica parte dai vertici, aggiunge Jose. Affinché un’organizzazione riesca a proteggere con successo i propri dati più importanti, i dirigenti devono sostenere pienamente l’approccio dell’azienda alla sicurezza informatica. «La protezione non funziona se non si ottiene il sostegno dei dirigenti e dell’azienda», afferma.
Disporre di misure di protezione e politiche adeguate — e rispettarle — costituisce inoltre una “responsabilità olistica” a livello aziendale, di cui tutti sono tenuti a farsi carico. «Cerco sempre di far capire che, al giorno d’oggi, tutti i dipendenti di un’azienda fanno parte del reparto IT», afferma Perry. «Se disponete di un nome utente e di una password e state accedendo a qualcosa, state già svolgendo, in una certa misura, una funzione informatica.»
Dopotutto, i membri del personale IT hanno le mani legate se i dipendenti aggirano sistematicamente l’autenticazione a più fattori oppure impostano password non sicure.
In definitiva, i dirigenti devono attuare una strategia solida volta a identificare, valutare, monitorare e proteggere i propri dati più preziosi, il tutto nell’ambito di una cultura della sicurezza. Senza la capacità di contrastare l’ondata di attacchi laser sferrati contro dati altamente sensibili, le aziende rischiano una perdita potenzialmente devastante della propria reputazione, dei propri clienti e dei propri beni più preziosi.
