Con gli eventi mondiali che raggiungono il culmine, è facile capire come si possa aver perso di vista il Mese della sensibilizzazione sulla sicurezza informatica dell’ .
Non si preoccupi: ci pensiamo noi.
Quest’anno ricorre la ventesima edizione della campagna annuale promossa dal governo e dalle imprese private per sensibilizzare l’opinione pubblica sul tema della sicurezza digitale e incoraggiare tutti, dai dirigenti aziendali ai semplici cittadini, a proteggere i propri dati dai criminali informatici. L’Agenzia per la sicurezza informatica e delle infrastrutture (CISA) ha puntato tutto quest’anno, realizzando il suo primo annuncio di pubblica utilità in occasione della Giornata della sicurezza informatica ( ), che andrà in onda in TV e online, mettendo in evidenza quattro aspetti della sicurezza informatica che la CISA spera di valorizzare.
«Le aziende… hanno un ruolo da svolgere per garantire la sicurezza del nostro mondo digitale», ha spiegato Jen Easterly, direttrice della CISA, in un video online che ha dato il via alla campagna. «La CISA chiede alle aziende tecnologiche e agli sviluppatori di software di tutelare le nostre imprese e i nostri clienti privati, garantendo che i loro prodotti siano sicuri fin dalla progettazione. “In questo modo, la tecnologia è sicura fin dal primo utilizzo e gli americani sono meglio protetti.”
Ma non sono solo le grandi aziende tecnologiche a poter fare la differenza. I dirigenti aziendali e i responsabili della sicurezza di organizzazioni di ogni dimensione, in tutti i settori, possono rafforzare notevolmente le proprie difese approfondendo la conoscenza di questi quattro principi fondamentali della sicurezza informatica.
«Le aziende hanno un ruolo da svolgere per garantire la sicurezza del nostro mondo digitale.»Jen Easterly, direttrice del CISA
Abbiamo semplificato le cose. Di seguito sono riportati i quattro temi chiave del Mese della sensibilizzazione sulla sicurezza informatica di quest’anno, un consiglio di Easterly (tra virgolette e in corsivo) sul motivo per cui ciascuno di essi è importante e un link alle informazioni più recenti tratte dalla nostra copertura di tali argomenti nell’ultimo anno.
1. Utilizzi password complesse | “Ovvero lunghe, casuali e uniche”
Le password continuano a rappresentare uno degli anelli più deboli della rete informatica di qualsiasi azienda. Il rapporto “ 2023 Weak Password Report” redatto da Specops, un’azienda specializzata in software per la gestione delle password con sede a Stoccolma, ha analizzato oltre 800 milioni di password compromesse – si tratta quindi di un campione di dimensioni davvero notevoli – valutandole in base a cinque standard normativi, tra cui l’ NIST.
La cattiva notizia? Un numero sconcertante di password compromesse – il 83% – soddisfaceva i requisiti di lunghezza e complessità previsti da tali standard.
La buona notizia è che sono state individuate alcune debolezze piuttosto comuni e facilmente risolvibili, tra cui la lunghezza (il 88% delle password utilizzate negli attacchi informatici era composto da 12 caratteri o meno – pertanto, vi consigliamo di crearne di più lunghe), lo stile (evitate di utilizzare solo lettere minuscole) e la scelta delle parole: I termini legati al calcio, compresi i nomi dei giocatori preferiti come Lato, Pele e Messi, sono estremamente popolari e (mi dispiace per i tifosi dei Mondiali) gli hacker lo sanno; e, sì, “password” è ancora una delle parole di base più comuni che si trovano nelle password violate, quindi mettiamo da parte questa questione, d’accordo?
[Leggi anche: Riepilogo CTI – Quanto è debole la Sua password?]
2. Attivare l’autenticazione a più fattori (MFA) | “Per i vostri account più importanti, una semplice password non è sufficiente”
Ecco un punto fondamentale: sebbene le password complesse siano importanti, le password da sole (per quanto complesse possano essere) non sono sufficienti. Ecco perché la CISA sta inoltre incoraggiando le organizzazioni a investire in un sistema di autenticazione multifattoriale (MFA) di tipo “ ”, che richiede un nome utente e una password, oltre a un codice o una chiave temporanea inviata al dispositivo dell’utente.
Dati allarmanti sulle password: secondo Verizon, gli hacker sferrano ogni giorno in media 50 milioni di attacchi alle password – ovvero 580 al secondo – e circa il 60% delle violazioni dei dati è attribuibile a credenziali compromesse.
Inoltre, la reimpostazione delle password incide pesantemente sul bilancio: secondo le stime di Forrester, rappresenta uno dei motivi principali per cui i dipendenti contattano i servizi di assistenza IT, con un costo per le aziende che può arrivare fino a 70 dollari per chiamata, mentre, secondo , per le grandi organizzazioni il costo annuale supera il milione di dollari .
«Le organizzazioni non abbandoneranno le password da un giorno all’altro» – da qui la regola n. 1 sopra citata – «perché farlo è complesso», ha spiegato Frank Dickson, vicepresidente del programma nell’ambito della divisione di ricerca sulla sicurezza informatica e la fiducia di IDC, in un articolo sulle tendenze relative all’uso senza password pubblicato su che abbiamo pubblicato lo scorso autunno. «Ma molti hanno intrapreso quella strada», ha affermato.
Grazie alla crescente fiducia riposta nel modello di sicurezza informatica “zero trust” , le organizzazioni stanno adottando sempre più spesso approcci senza password, quali l’autenticazione a più fattori (MFA), la biometria e gli strumenti di Single Sign-On (SSO).
Non vorrei che rimaneste di stucco, ma è anche vero che l’autenticazione MFA (almeno in alcune delle sue forme) può essere aggirata dagli hacker. Rimane comunque uno dei metodi di verifica più efficaci attualmente disponibili, ma alcune forme più recenti di autenticazione a più fattori (MFA) risultano più efficaci di altre. Legga qui di seguito il nostro articolo pubblicato questa primavera, che illustra come gli hacker stiano cercando di aggirare l’autenticazione a più fattori (MFA) e presenta tre strategie per neutralizzare tali attacchi.
3. Individuare e segnalare i tentativi di phishing | “Riflettete prima di cliccare”
«Per Alex, che lavorava al servizio clienti, era iniziato come un normale venerdì. «Nulla di insolito…»
Inizia così un racconto audio della durata di 18 minuti su un attacco informatico fittizio – ma molto tipico – che sfrutta il phishing e l’intelligenza artificiale generativa (GenAI) , , prodotto da Dell e disponibile sul suo sito web insieme ad altre risorse e strumenti legati al Mese della sensibilizzazione sulla sicurezza informatica. (Per ascoltarlo, clicchi qui su “ ” all’indirizzo e scorra verso il basso fino al link “Audio story: A Modern Cyber Attack”.) Svolgendosi come un radiodramma, la storia mette in luce i modi in cui la GenAI sta rendendo le e-mail di phishing e i messaggi di testo – quei messaggi pericolosi inviati ai lavoratori per indurli a cliccare su link e a rivelare dati sensibili – sempre più difficili da individuare.
Solo un anno fa, i messaggi di phishing erano noti per la formulazione goffa e altri errori ortografici che ne tradivano la natura fraudolenta. Tuttavia, grazie ai chatbot basati sulla GenAI, come ChatGPT, tali messaggi risultano sempre più realistici e sono persino in grado di imitare lo stile comunicativo di un superiore, fino alle sfumature più sottili, quali le espressioni che usa frequentemente o le parole che solitamente abbrevia o scrive in modo errato, ingannando così i dipendenti.
E non finisce qui. Anche il phishing vocale, noto anche come “vishing”, in cui i truffatori vi chiamano, è in aumento (con un incremento del 625%, passando da 2021 a 2022, secondo un recente rapporto).
«Il voice phishing può rivelarsi più efficace perché le persone tendono ad abbassare la guardia quando parlano con qualcuno», ha spiegato Roger Grimes, evangelista di KnowBe4 Defense, in un articolo pubblicato lo scorso autunno sulla rivista * * Focal Point . Legga l’articolo riportato di seguito, in cui viene descritto in dettaglio come il nostro autore sia stato egli stesso vittima di una truffa di vishing e come i dirigenti aziendali possano formare al meglio i propri dipendenti affinché mantengano la massima vigilanza.
[Legga anche: Per proteggersi dal “vishing”, agisca con accortezza]
4. Aggiornamento del software | “Abilita gli aggiornamenti automatici”
Troppo spesso, gli utenti di tecnologia considerano gli aggiornamenti software come facoltativi, ovvero semplicemente l’ultima versione di un prodotto o di uno strumento dotata di qualche nuova funzionalità aggiuntiva. È necessario ricordare ai dipendenti che gli aggiornamenti software riguardano anche la sicurezza, in quanto risolvono le vulnerabilità che devono essere corrette per garantire una maggiore sicurezza online.
Attivare gli aggiornamenti automatici nelle impostazioni di sicurezza di un dispositivo o di un’applicazione è un modo pratico per ricevere gli aggiornamenti e uno dei modi più semplici per rafforzare le nostre difese informatiche. (Un consiglio per i responsabili: potrebbe essere utile segnalare al proprio personale il webinar gratuito della CISA sul mantenimento aggiornato del software, che si terrà martedì 24 ottobre, dalle 12 alle12:30 (ora della costa orientale). Per registrarsi, clicchi qui su “ ” ().
Per i dirigenti aziendali e i responsabili della sicurezza, i vantaggi dell’automazione dell’ non si limitano a questo. L’automazione di attività chiave relative alla sicurezza, quali la gestione delle patch, la gestione delle vulnerabilità e la risposta agli incidenti , può comportare enormi vantaggi. I feed di intelligence sulle minacce e gli avvisi di sicurezza possono attivare automaticamente determinati playbook di risposta agli incidenti di , a seconda di ciò che viene rilevato.
Nella misura in cui le organizzazioni riescono ad automatizzare determinati protocolli di sicurezza fondamentali, «possono ridurre in modo sostanziale la propria superficie di attacco», ha dichiarato Kenneth Swick, consulente senior per la sicurezza presso NCC Group, al Focal Point di . L’articolo riportato di seguito illustra in che modo gli strumenti e i processi automatizzati possano supportare i team di sicurezza, i “threat hunter” e coloro che si occupano della realizzazione di centri operativi di sicurezza .
[Read also: A security automation playbook for 2023]
METTA ALLA PROVA LE SUE COMPETENZE INFORMATICHE!
Rispondete a questo quiz del Pew Research Center e scoprite quanto siete bravi a individuare quale password sia la più sicura e a definire i termini tecnici (botnet? rootkit? (DDoS?), e scoprire la verità sulla “navigazione privata” (che non è così privata come si potrebbe pensare).
