I grandi hack ottengono tutta l'attenzione. La scorsa estate, erano Barack Obama, Joe Biden, Elon Musk e Bill Gates. Gli hacker hanno preso il controllo dei loro account Twitter e hanno finito per ottenere più di $ 100.000 in una truffa, fingendo di essere questi personaggi pubblici e sollecitando denaro da altri utenti di Twitter .
Stacca i titoli di giornale su questa rapina high-tech e si scopre che si tratta di una truffa molto vecchia scuola. Uno degli hacker avrebbe usato l’ ingegneria sociale per ingannare un dipendente del dipartimento IT di Twitter nel consegnare le credenziali di accesso per accedere al portale principale del servizio clienti dell’azienda.
Tali attacchi di ingegneria sociale sfruttano la credulità umana. Come le scene di un film di Ocean, gli hacker chiedono aiuto a un numero sufficiente di ignari dipendenti, richiedendo loro di condividere informazioni aziendali sensibili. È un gioco di numeri. Le probabilità sono che qualcuno alla fine si adegui.
Questo è in parte il motivo per cui quasi il 55% dei leader aziendali in un recente sondaggio ha dichiarato di considerare i dipendenti come la loro più grande minaccia alla sicurezza, anche più degli hacker stessi (29%) e molto più degli insider malintenzionati (20%). Queste non sono statistiche banali. Le aziende sanno che i dipendenti possono essere negligenti, facilmente ingannati e talvolta ostili. È un problema sempre più difficile, soprattutto nell’era del COVID-19, e molte organizzazioni, se non la maggior parte, non sanno come superarlo.
Con un terzo dei lavoratori statunitensi che ancora lavorano da remoto e con gli attacchi informatici e le indagini in forte aumento, gli esperti affermano che il modo più efficace per mantenere le organizzazioni al sicuro è affrontare il rischio dei dipendenti coinvolgendoli negli sforzi di sicurezza informatica, convertendoli in attivisti per la causa.
“Questo deve essere il punto di partenza”, afferma Lance Spitzner, direttore e formatore di sicurezza informatica per il SANS Institute di Chicago. “Determina quali comportamenti umani e quali rischi devi gestire, quindi individua quali dare priorità”.
Non sarà facile. Ci vuole un impegno culturale per creare cambiamento e incitare i dirigenti dalla sala del consiglio di amministrazione agli uffici sul campo a mostrare la loro volontà di partecipare. Sono necessari investimenti in strumenti e tecnologie per consentire ai dipendenti di fare meglio. Ci vuole un certo tipo di allenamento. Non il costante rullo di tamburi di lezioni sulla sicurezza o noiosi corsi di formazione a partecipazione forzata. Richiede una formazione sulla sicurezza gamificata che mantiene i lavoratori coinvolti e li include nel processo.
“Determina quali comportamenti umani e quali rischi devi gestire e poi individua quali dare priorità”.Lance Spitzner, direttore e formatore di cybersecurity per il SANS Institute
“Devi anche dedicare un manager a tempo pieno alla sensibilizzazione e alla formazione sulla sicurezza informatica”, afferma Spitzner. “Qualcuno che è un buon comunicatore e ama lavorare con le persone. Hai bisogno di una persona che possa rendere accessibile a tutti argomenti complicati”.
Dopo aver elaborato un piano solido e aver nominato un leader e un team forti per eseguirlo, gli esperti consigliano di concentrarsi su tre aree chiave: creare una cultura della sicurezza informatica; promuovere la formazione e la consapevolezza; e generare coinvolgimento dei dipendenti attraverso esperienze di sicurezza informatica migliori.
Creare campioni di sicurezza
Con una cultura della sicurezza informatica in atto, la riduzione del rischio umano tende a progredire in modo più naturale. In effetti, la consapevolezza e i comportamenti in materia di sicurezza diventano rapidamente una parte integrante delle operazioni quotidiane.
Spitzner afferma che una delle abitudini più importanti, ma meno praticate, che le organizzazioni devono adottare è quella di allenarsi costantemente e promuovere la consapevolezza. Dovrebbero cercare di raggiungere un costante ritmo di attività per promuovere una buona igiene della sicurezza informatica. Mescolare può aiutare: le organizzazioni più attive e di successo intersecano i programmi educativi con le campagne creative, dice.
Ad esempio, il team di formazione sulla sicurezza di un produttore multinazionale di bevande lavora con i responsabili delle comunicazioni regionali, del marketing e delle vendite dell’azienda per personalizzare le narrative sulla sicurezza informatica allineate alle esigenze locali. Questi includono pratiche culturali e incidenti di sicurezza informatica. Quindi, se una particolare regione ha avuto una serie di attacchi di phishing che cercavano di ingannare i dipendenti facendo clic su link relativi a una vacanza culturale in arrivo, il team di sensibilizzazione alla sicurezza potrebbe dedicare più tempo a fornire comunicazioni digitali per aiutare i dipendenti a riconoscere e prevenire tali attacchi.
Inoltre, l’azienda di bevande unge i “campioni” (o i sostenitori dei dipendenti) in ogni territorio per incoraggiare i suoi quasi 30.000 dipendenti globali a partecipare ai programmi di sicurezza informatica. I campioni, dicono gli esperti di sicurezza come Spitzner, tendono ad essere uno degli strumenti più convenienti nella cintura di un’azienda e detengono una notevole credibilità con i colleghi. Questi includono formazione sulla sicurezza e campagne di sensibilizzazione costruite attorno ad attività divertenti, come giochi virtuali e sfide in cui i dipendenti potrebbero partecipare a un quiz sulle migliori pratiche di sicurezza informatica per avere la possibilità di vincere un premio modesto. L'azienda di bevande ha scoperto che l'aggiunta di premi dei propri prodotti ha comportato un aumento esponenziale del numero di risposte al gioco.
Presso Zurich Insurance Group, la più grande compagnia assicurativa svizzera, Janet Roberts è responsabile globale del programma di formazione e sensibilizzazione sulla sicurezza dell’azienda. Offre inoltre ai suoi dipendenti una dieta costante di esercizi di gamification, apprendimento online, suggerimenti e brevi video interattivi. È stato un successo perché il team di Roberts non esagera. Servono informazioni in bocconcini veloci invece di costringere le persone a sopportare sessioni di allenamento di un'ora.
"Le persone sfogliano le informazioni; non sempre si prendono il tempo per leggerle completamente", dice Roberts. Questo è ancora più vero ora perché più persone lavorano da remoto e hanno bambini, cani e tutte queste altre distrazioni. Quindi devi capire che hai 30 secondi a un minuto per ottenere un concetto attraverso di loro. Non si può pensare che solo perché sono seduti a casa hanno tutti i tipi di tempo. Le tue informazioni devono essere rapide e facili da consumare”.
Quindi allena di nuovo
Troppe organizzazioni fanno il contrario: sovraccaricano i dipendenti con informazioni tecniche e irrilevanti. “Uno degli errori più comuni commessi dai professionisti della sicurezza è inondare i dipendenti di informazioni”, afferma Spitzner. “I lavoratori trovano già confusa, intimidatoria e spaventosa la sicurezza. Quindi a un certo punto, il dipendente si arrende, decide che non gli interessa o smette di ascoltare. La realtà del nostro lavoro è che dobbiamo rendere la sicurezza il più semplice possibile”.
Per fare ciò, suggerisce frammenti di informazioni focalizzati e digeribili su argomenti chiave e di impatto piuttosto che far bollire l’oceano. Un micro-video di formazione, ad esempio, su come contrastare la crescente minaccia del ransomware. Oppure un divertente quiz su come individuare un tentativo di phishing avanzato.
“Copriamo i computer ogni mese. Dobbiamo anche aggiornare le persone per mantenere aggiornati i loro interessi e le loro abitudini in materia di sicurezza informatica”.Lance Spitzner, direttore e formatore di cybersecurity per il SANS Institute
"La cosa fondamentale da ricordare è che vuoi fare queste cose continuamente durante tutto l'anno", dice. “Non insegnare loro una volta e dimenticarsene. Ogni mese eseguiamo le patch per i computer. Dobbiamo anche aggiornare le persone per mantenere aggiornati i loro interessi e le loro abitudini in materia di sicurezza informatica”.
Coinvolgere attraverso l’esperienza
Un altro modo per mantenere i dipendenti coinvolti nella sicurezza informatica è quello di renderla un’esperienza positiva, piuttosto che negativa. Frank Dickson, analista di sicurezza informatica di IDC, afferma che molte aziende adottano ancora un approccio autoritario alla sicurezza informatica. Stabiliscono la legge sulla politica e la procedura. Sottolineano che i trasgressori potrebbero essere puniti o addirittura licenziati. Ciò crea solo un rapporto conflittuale con i lavoratori che, in questi giorni, hanno abbastanza stress sui loro piatti.
“Alcune aziende colpiscono le persone con un bastone dove, se fanno qualcosa di sbagliato, potrebbero essere costrette a seguire un corso di formazione di due ore sul ransomware o ricevere avvisi di spam ogni giorno che ricordano loro di non ripetere tale comportamento”, dice Dickson. “La cosa che le aziende dovrebbero tenere a mente è che stanno creando relazioni conflittuali con persone che potrebbero essere lavoratori in prima linea e avere un impatto diretto sui ricavi. Spuntarli non è la strada da percorrere”.
Roberts è d'accordo. “Formiamo e formiamo per aumentare la consapevolezza, per aiutare i dipendenti a imparare in modo che si sentano sicuri di essere un ambasciatore per l’azienda e di essere campioni di sicurezza per noi”, afferma. Vogliamo che partecipino e non abbiano paura di quello che stiamo facendo”.
Un modo per incoraggiare la partecipazione, osserva Dickson, è quello di fornire ai dipendenti dispositivi che forniranno loro esperienze utente ricche, siano essi laptop, smartphone, tablet, PC o stampanti. Cercare di risparmiare $ 200 su un laptop fornito dall'azienda che è troppo piccolo per l'uso quotidiano incoraggia solo i dipendenti a utilizzare i loro dispositivi personali, bypassando le misure di sicurezza aziendali.
Tale attenzione all’esperienza dell’utente, afferma Dickson, non dovrebbe essere un ripensamento, come lo è in molte aziende. Se i datori di lavoro vogliono che i dipendenti svolgano il loro lavoro in modo sicuro, le aziende dovrebbero abilitarli in modo sicuro con dispositivi e app che li rendano anche più produttivi, afferma.
Allo stesso modo, le aziende possono fornire ai dipendenti un accesso facile e sicuro alle loro reti aziendali. Mentre i nomi utente e le password non sono stati meccanismi di sicurezza efficaci per anni, le aziende si aggrappano ancora a loro, richiedendo ai dipendenti di aggiornarli ogni 90 giorni. Nel frattempo, le reti private virtuali (VPN) continuano a confondere e frustrare i lavoratori. Sono il secondo motivo più frequente (dopo il recupero della password) per cui i dipendenti remoti cercano supporto IT, afferma Dickson.
Ci sono alternative migliori da considerare per rendere la sicurezza informatica meno invadente, osserva. Queste includono l’autenticazione a più fattori, il single sign-on, l’autenticazione biometrica senza password e le soluzioni di gestione degli endpoint .
“Se vuoi davvero coinvolgere i dipendenti e trasformarli nei tuoi sostenitori della sicurezza informatica, devi assicurarti che ne vedano i benefici”, afferma Dickson. “Il modo in cui lo fai è assicurandoti che abbiano sempre un’esperienza utente positiva in modo che vogliano partecipare”.
