Con gli attacchi informatici che provengono da ogni direzione — Stati-nazione, hacktivisti, organizzazioni criminali — le organizzazioni devono avvalersi di ogni strumento a loro disposizione per proteggersi a seguito dell’invasione russa dell’Ucraina. Ciò include il loro personale.
Le organizzazioni possono disporre di strumenti del valore di milioni di dollari, eppure basta che una sola persona, , clicchi su un link o utilizzi un dispositivo privo di patch per mandare tutto in tilt.
E così, in Arizona, abbiamo compiuto un grande cambiamento.
Il vecchio adagio è ancora valido: un’oncia di prevenzione vale una libbra di cura. Quando ho contribuito a definire la strategia di sicurezza informatica per lo Stato dell’Arizona, una delle prime modifiche normative apportate dallo Stato è stata quella di garantire a ogni singolo dipendente statale, ogni anno, una formazione in materia di sicurezza informatica che fornisse informazioni di base e promuovesse la consapevolezza.
Hanno appreso le nozioni fondamentali di una corretta igiene informatica . Sono stati istruiti a riflettere prima di cliccare su un link sconosciuto. Hanno appreso come evitare di diventare la prossima vittima di un attacco di phishing del tipo “ ” .
Grazie a questo tipo di preparazione, abbiamo ampliato il nostro team di sicurezza fino a comprendere tutti i 36.000 dipendenti statali. Facevano tutti parte del team informatico. Erano tutti incaricati di garantire la difesa dagli attacchi informatici.
Ampliare il concetto di sicurezza
In Arizona, la sicurezza permeava l’intera cultura dell’amministrazione statale . Non volevamo più che il team di sicurezza fosse quel gruppo così riservato che operava a porte chiuse. Volevamo che i dipendenti pubblici comprendessero che eravamo loro partner.
«La sicurezza permeava l’intera cultura amministrativa dello Stato. Non volevamo più che il team di sicurezza fosse un gruppo così riservato.”
Se avessero mai avuto un dubbio, volevamo essere il primo gruppo a cui i dipendenti pensassero di rivolgersi. Anche qualora non fossero certi se segnalare un incidente, esamineremmo qualsiasi elemento sospetto e ci assicureremmo che i lavoratori non mettessero a rischio l’intera rete.
L'Arizona non è l'unico Stato ad adottare questa misura. Sto constatando che anche altri Stati stanno iniziando a organizzare corsi di formazione informatica completi per l’intera forza lavoro.
La forza di un’organizzazione dipende dal suo anello più debole. Che si tratti di sviluppare un’applicazione, elaborare le buste paga o redigere un contratto
, è necessario riflettere sul motivo per cui si potrebbe diventare il bersaglio di un attacco
. Devono sapere in che modo i malintenzionati potrebbero cercare di sfruttarli.
La formazione dei dipendenti rende le organizzazioni più sicure
In Arizona, la formazione in materia di sicurezza informatica è diventata una pratica di routine, proprio come la formazione contro le molestie. Abbiamo inoltre verificato se i partecipanti avessero completato la formazione. E se non lo facessero, potrebbero essere disconnessi dalla rete. Ecco quanto era importante.
«[La questione] è arrivata fino al livello della direzione. Se le persone non seguissero la formazione, il loro accesso e i loro privilegi potrebbero essere revocati.”
E la questione è arrivata fino ai vertici dell’azienda. Anche se una persona fosse molto impegnata e importante, la sicurezza informatica era comunque di fondamentale importanza. Qualora i dipendenti non seguissero la formazione, il loro accesso e i loro privilegi potrebbero essere revocati
.
Anziché limitarci a un semplice evento formativo annuale, abbiamo anche preso in considerazione diversi modi per diffondere gli stessi messaggi. Ad esempio, abbiamo fornito brevi filmati che potevano essere riprodotti durante un evento di gruppo.
In definitiva, abbiamo appreso che la formazione in materia di sicurezza informatica deve essere qualcosa di più di una soluzione puntuale. Deve essere progettato in modo tale che la sicurezza sia sempre una priorità assoluta per tutti, in ogni momento.
