Le violazioni dei dati causate da personale interno si sono aggravate notevolmente durante la pandemia, poiché quasi tutti lavoravano da casa in condizioni di minore sicurezza . Ora che l’economia in crisi sta provocando licenziamenti di massa, le organizzazioni potrebbero trovarsi ad affrontare una minaccia ancora più grave: ex dipendenti che conservano password sensibili e dati oppure — peggio ancora — che sferrano attacchi informatici contro i propri ex datori di lavoro.
I recenti licenziamenti, soprattutto nel settore dell’alta tecnologia, sono sbalorditivi: Alphabet, società madre di Google , ha tagliato 12.000 posti di lavoro; Amazon ne ha eliminati 18.000; Dell ne ha licenziati 6.650; IBM ne ha eliminati 3.900; Microsoft ne ha tagliati 10.000; e SAP ha consegnato la lettera di licenziamento a 2.800 persone.
«Non assistiamo a licenziamenti di tale entità da quando è terminata la Grande Recessione, intorno al 2009», afferma John Dooney, consulente esperto presso la Society for Human Resource Management (SHRM). «Sarà interessante vedere come i datori di lavoro affronteranno le minacce o i problemi derivanti da questi licenziamenti.»
Non è che ogni lavoratore licenziato sia talmente arrabbiato da conservare le password o i dati aziendali nell’ambito di un piano malevolo volto a vendicarsi in un secondo momento. In effetti, la maggior parte dei dipendenti licenziati riesce rapidamente e senza clamore a trovare un altro impiego. Per quanto riguarda il settore dell’alta tecnologia, quasi quattro su 10 sono riusciti a trovare un nuovo impiego entro un mese dall’inizio della ricerca, secondo un recente sondaggio condotto da ZipRecruiter.
Detto questo, le aziende possono andare incontro a gravi conseguenze in caso di licenziamento dei dipendenti se non hanno posto la sicurezza informatica al centro dei propri piani e delle proprie prassi relative all’inserimento e all’uscita del personale.
«Uno dei più gravi errori in materia di risorse umane (HR) che molte aziende commettono è quello di non considerare le implicazioni in termini di sicurezza informatica legate all’assunzione e al licenziamento del personale finché non è troppo tardi», sostiene Kyle Dewar, direttore della gestione tecnica dei clienti presso Tanium. «Molto spesso, i dipendenti si limitano a portare con sé documenti di poco rilievo, come modelli o presentazioni, che vorrebbero utilizzare nel loro prossimo impiego.» Ma basta un solo ladro che venda proprietà intellettuale [IP] o un ex dipendente scontento che violi la rete aziendale per danneggiare un’azienda. Purtroppo, con i licenziamenti di massa a cui abbiamo assistito negli ultimi tempi, ciò sta accadendo con sempre maggiore frequenza.”
Infatti, circa un terzo dei datori di lavoro con piani di offboarding inefficaci dichiara che, nell’ultimo anno, alcuni ex dipendenti abbiano sottratto dati riservati (29%), violato le loro reti (28%) o hackerato i sistemi di back-end dei loro siti web (32%), come emerge da un sondaggio condotto da Beyond Identity in collaborazione con l’ , intitolato “ ” (si apre in una nuova scheda) . Di conseguenza, un quarto di tali aziende ha subito un danno alla propria reputazione.
Per evitare tali difficoltà, gli esperti raccomandano di definire quali diritti di accesso avranno i dipendenti ai dati e alle risorse di rete durante il rapporto di lavoro, in che modo tali diritti saranno monitorati e garantiti, e quali saranno le conseguenze in caso di cessazione del rapporto di lavoro.
Una gestione sicura del fuoco inizia con un'assunzione oculata
Il primo passo consiste nel fatto che i responsabili delle risorse umane e dell’IT definiscano delle politiche di utilizzo accettabile (AUP) da includere tra tutti quei documenti di inserimento che i nuovi assunti firmano prima di iniziare a lavorare, consiglia Rajan Koo, Chief Customer Officer e responsabile del programma i3 presso DTEX Systems, un’azienda specializzata nella gestione delle minacce interne. Accettando formalmente le politiche di utilizzo accettabile (AUP), i dipendenti sono tenuti a rispettare le norme relative all’uso sicuro dei computer aziendali e delle risorse di rete. Riconoscono inoltre di essere consapevoli che il proprio datore di lavoro potrebbe monitorare in forma anonima la loro attività online durante l’orario di lavoro, nell’ambito delle misure volte a individuare comportamenti digitali sospetti o dolosi.
«Uno dei più gravi errori commessi dalle aziende in materia di risorse umane è quello di non considerare le implicazioni relative alla sicurezza informatica legate all’assunzione e al licenziamento del personale, finché non è troppo tardi.»Kyle Dewar, responsabile della gestione tecnica dei clienti, Tanium
Koo sostiene che nulla di tutto ciò debba essere comunicato in modo freddo o con mano pesante. I dirigenti dovrebbero piuttosto spiegare con sincerità che, pur riponendo fiducia nei propri dipendenti, l’azienda è comunque tenuta a fare tutto il possibile per proteggere i dati finanziari e le informazioni riservate relative ai clienti per motivi legali e normativi. Se trasmesso in modo adeguato, questo messaggio può favorire il rispetto delle regole e scoraggiare comportamenti scorretti, anche dopo un licenziamento, aggiunge Koo.
Le aziende non dovrebbero affermare di monitorare le attività se in realtà non lo fanno. I dipendenti non sono stupidi; prima o poi si renderanno conto che nessuno li sta controllando e potrebbero quindi sentirsi liberi di sottrarre dati aziendali senza autorizzazione, soprattutto se hanno intenzione di dimettersi o se intuiscono l’imminenza di licenziamenti.
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
Infatti, da un sondaggio condotto da Cyberhaven è emerso che i dipendenti sono il 68,7% più propensi a sottrarre dati o password prima di dare le dimissioni. Analogamente, l’indagine ha evidenziato che i lavoratori licenziati hanno una probabilità superiore del 23,1% di sottrarre dati il giorno prima del licenziamento e del 109,3% di sottrarre dati il giorno stesso del licenziamento.
Individuare i rischi legati alle informazioni privilegiate
Gli esperti sostengono che le organizzazioni dovrebbero diffidare di tali attività, poiché potrebbero indicare che un dipendente stia sottraendo segreti commerciali.
Un esempio calzante: Anthony Levandowski, ingegnere specializzato in veicoli autonomi, condannato (e graziato), il quale alcuni anni fa ha lasciato Google per fondare la propria azienda, Otto (successivamente acquisita da Uber), ed è stato accusato di aver portato con sé file riservati relativi alle auto a guida autonoma . Un comportamento digitale insolito potrebbe inoltre indicare che alcuni dipendenti scarichino le informazioni di contatto dei clienti per alimentare le proprie attività commerciali. Oppure potrebbe indicare che alcuni dipendenti disillusi stiano accumulando password per intercettare le comunicazioni interne, distruggere informazioni aziendali o sferrare attacchi informatici in futuro.
Sono disponibili numerosi strumenti di visibilità, controllo e correzione in tempo reale per aiutare le aziende a monitorare e contrastare tali attività digitali. Ad esempio, alcune soluzioni di sicurezza disponibili su endpoint sono in grado di proteggere le aziende dalle minacce provenienti dall’interno (o da chi sta per diventare un estraneo) e dagli attacchi zero-day. Possono inoltre individuare e colmare le lacune di sicurezza che altrimenti avrebbero potuto passare inosservate. Inoltre, alcuni di questi prodotti generano tracciati di controllo che consentono di risalire alla destinazione dei dati rubati, in particolare della proprietà intellettuale.
[Read also: The top cybersecurity trends for 2023]
«Questo è importante perché molte organizzazioni non si rendono conto di aver perso la proprietà intellettuale fino a molti anni dopo, quando questa viene incorporata nel prodotto di un concorrente come offerta commerciale», afferma Koo. «Una traccia di controllo consente di risalire nel tempo e verificare quali dati siano stati trasferiti, da dove provenissero, chi li abbia trattati e dove siano stati inviati.»
Prepararsi per il “D-Day”
Secondo gli esperti, in una situazione ideale, nel momento in cui i dipendenti si dimettono o ricevono la lettera di licenziamento, disporre di processi di inserimento e di uscita ben strutturati dovrebbe aiutare le aziende a limitare la perdita di dati o gli attacchi informatici. Tuttavia, il giorno della partenza, ovvero il D-Day, occorre ancora adottare diverse misure per ridurre al minimo i rischi a lungo termine.
«Consentire ai dipendenti di portare con sé alcuni dei progetti a cui hanno lavorato può offrire loro un po’ di sollievo e consolazione al momento della loro partenza.»John Dooney, consulente in materia di conoscenze, Society for Human Resource Management
Una delle considerazioni più importanti — e più trascurate — è la seguente: la compassione conta. Si assicuri che i dipendenti vengano informati del proprio licenziamento innanzitutto da persone empatiche, anziché tramite una comunicazione elettronica, tramite la disattivazione del loro accesso alla rete senza alcuna spiegazione o lasciando che siano i media a informarli del loro destino. Un comportamento così spietato potrebbe spingere alcuni ex dipendenti offesi a sottrarre risorse digitali o a sferrare futuri attacchi informatici.
In un recente post sul blog, Catherine Marinis-Yaqub, dirigente presso Control Risks Crisis and Security Consulting, raccomanda alle aziende di adottare anche alcune altre precauzioni, tra cui:
- Blocco di ogni accesso alle risorse digitali aziendali, comprese le caselle di posta elettronica, le applicazioni, cloud, la rete aziendale e altre fonti di dati, nonché i dispositivi mobili di proprietà dell’azienda. Anche in questo caso, ciò dovrebbe coincidere con il momento in cui ai dipendenti viene comunicato il loro licenziamento, oppure avvenire subito dopo.
- Recupero di tutti i dispositivi, le attrezzature e i beni forniti dall’azienda e assegnati ai dipendenti, quali computer portatili, dischi rigidi, unità “ USB ”, telefoni cellulari, carte di credito aziendali, tesserini identificativi, tessere di accesso e permessi di parcheggio.
- Cancellazione dei dati aziendali dai dispositivi elettronici di proprietà dei dipendenti.
[Leggi anche: Ecco come ogni dipendente può — e deve — far parte del team di sicurezza informatica]
- Marinis-Yaqub suggerisce di condurre un colloquio di fine rapporto alla presenza di un responsabile della sicurezza o della gestione dei rischi al fine di «affrontare i rischi che potrebbero derivare dall’uscita del dipendente dall’organizzazione e ricordare ai dipendenti il loro obbligo di proteggere le informazioni riservate dell’azienda ( ) e le risorse critiche ( ), nonché di rispettare i propri accordi di non concorrenza». Se ciò non fosse possibile farlo di persona, afferma, le aziende dovrebbero affrontare questi punti chiave nelle comunicazioni scritte inviate ai dipendenti.
- Predisporre misure di sicurezza aggiuntive presso le sedi fisiche qualora si preveda che i dipendenti in uscita siano presenti in sede durante i loro ultimi giorni di lavoro e, se necessario, accompagnarli fuori dalla sede per prevenire danni a persone, dati o strutture.
A tal proposito, Dooney della SHRM afferma che i team delle risorse umane dovrebbero attenuare il trauma psicologico derivante dall’essere accompagnati fuori dalla struttura.
«I datori di lavoro possono essere d’aiuto e infondere serenità comunicando ai dipendenti che avranno il tempo di tornare a ritirare gli effetti personali e i documenti che l’azienda non ha nulla in contrario a che conservino», afferma. «Ovviamente, non si tratterà di informazioni di contatto dei clienti né di nulla di simile. «Tuttavia, consentire ai dipendenti di conservare alcuni dei progetti a cui hanno lavorato può offrire loro un po’ di sollievo e consolazione nel momento in cui lasciano l’azienda.»
