Per Sean Zadig, responsabile della sicurezza informatica presso Verizon Media, il COVID-19 ha reso necessarie numerose attività urgenti in materia di sicurezza informatica, dalla difesa delle reti aziendali contro il crescente numero di attacchi hacker alla formazione del personale, che opera in gran parte da remoto, in merito alle truffe di phishing legate all’ .
L’azienda, che gestisce marchi quali Yahoo, Engadget e TechCrunch, ha constatato che, per indurre i propri dipendenti, dislocati in luoghi molto distanti tra loro, a prestare maggiore attenzione alla sicurezza, era necessario ricorrere a strumenti più efficaci rispetto ai consueti webinar e alle FAQ sulle pratiche di sicurezza. Pertanto, il personale addetto alla sicurezza, noto internamente come “I Paranoici”, ha dato vita a una competizione a livello aziendale sulle migliori pratiche in materia di sicurezza.
Il gruppo ha creato un pannello di controllo che i responsabili potevano utilizzare per monitorare l’utilizzo del software di gestione delle password da parte dei dipendenti e per confrontare le proprie prestazioni con quelle dei gruppi di altri responsabili. L'interesse per la competizione era talmente elevato che alcuni dirigenti hanno reclutato personale addetto alla sicurezza per aiutare i membri dei team ad aumentare il loro utilizzo. Tale attenzione in più è stata «inaspettata», afferma Zadig.
Per molte aziende, affrontare la pandemia ha portato alcuni benefici inaspettati in termini di sicurezza informatica. La sicurezza dei sistemi digitali è sempre stata considerata importante, ma in molte organizzazioni rappresenta solo una priorità tra tante — e non sempre una delle più rilevanti. I team addetti alla sicurezza informatica continuano a lottare per ottenere risorse e l’attenzione dei vertici aziendali, mentre i reparti informatici e quelli aziendali hanno spesso considerato la sicurezza come un ostacolo al regolare e efficiente svolgimento delle attività.
Urgenza generale in materia di sicurezza informatica
Oggi, con il personale che lavora da remoto e gli hacker che intensificano gli attacchi, le aziende stanno affrontando le questioni relative alla sicurezza con maggiore serietà, sia a livello organizzativo che culturale. I vertici aziendali stanno dedicando maggiore attenzione a garantire che le iniziative di sicurezza relative all’ vengano portate avanti con priorità, mentre i team di sicurezza stanno individuando nuove opportunità di collaborazione con altri reparti.
Il COVID ha persino avuto il vantaggio inaspettato di contribuire a colmare alcune delle differenze istituzionali tra i team IT e quelli di sicurezza. In un sondaggio intitolato “ luglio 2020 ” () condotto dall’Information Systems Security Association (ISSA), un terzo delle aziende ha dichiarato di aver registrato un miglioramento significativo nel coordinamento tra i responsabili della sicurezza, il reparto IT e altri dirigenti aziendali a seguito della pandemia.
«Le aziende stanno iniziando a comprendere che la sicurezza è una questione di gestione del rischio a livello aziendale.»Larry Clinton, presidente dell’Internet Security Alliance
«Storicamente, la sicurezza informatica è stata considerata un problema tecnico: c’è qualcosa che non va in una componente del sistema», afferma Larry Clinton, presidente dell’ Internet Security Alliance, un’associazione di categoria con sede a Washington, D.C. «Le aziende stanno cominciando a rendersi conto che si tratta di qualcosa di molto più ampio. «Si tratta di una questione di gestione del rischio a livello aziendale».
La pandemia ha inoltre indotto alcune aziende a concedere ai CISO un maggiore accesso ai vertici aziendali. In una grande compagnia assicurativa, secondo quanto riferito da Keri Pearlson , autrice di “” e direttrice esecutiva di un consorzio per la sicurezza informatica presso la MIT Sloan School of Management, il CISO ha smesso di riferire al responsabile delle tecnologie dell’informazione per passare a riferire al direttore operativo. Ciò ha consentito al responsabile della sicurezza di collaborare più strettamente con i responsabili delle risorse umane al fine di promuovere in modo più capillare la sensibilizzazione in materia di sicurezza informatica tra i dipendenti. Ciò ha inoltre consentito al CISO di collaborare con il personale operativo e di rafforzare le misure di sicurezza con i numerosi fornitori dell’azienda.
[Leggi anche: Sicurezza della catena di approvvigionamento: come dovrebbe essere.]
Presso la banca digitale brasiliana C6, in rapida espansione, il CISO ha recentemente ottenuto l’accesso diretto all’ CEO e e non fa più riferimento al Chief Technology Officer dell’azienda, Nelson Novaes. Secondo Novaes, tale cambiamento ha consentito al CISO di garantire che il vertice aziendale desse l’esempio adottando buone pratiche, come l’utilizzo della biometria facciale per accedere ai sistemi aziendali.
Recuperare terreno in un momento di crisi
Nel corso degli anni, una mole considerevole di dati ha dimostrato l’aumento dei costi legati ai rischi di sicurezza informatica: secondo un rapporto di McAfee intitolato “ ” (), nel 2020 le perdite globali subite dalle aziende a causa dei crimini informatici hanno superato i 1.000 miliardi di dollari. Ecco la crudele ironia: la maggior parte di tali costi potrebbe essere ridotta drasticamente con semplici misure preventive, come ad esempio l’aggiornamento costante delle patch di sicurezza. Ad esempio, secondo un’indagine del Ponemon Institute intitolata “ ” (), quattro aziende su 10 che hanno subito una violazione nel 2019 erano già a conoscenza della vulnerabilità prima che si verificasse; il 60% disponeva già delle patch necessarie, ma non è riuscito a installarle in tempo.
Con la pandemia, tali pericoli si sono solo moltiplicati e questioni a lungo trascurate, quali la necessità di garantire che i lavoratori da remoto possano accedere in modo sicuro alle reti aziendali, sono diventate più difficili da rimandare.
Secondo un rapporto sulle minacce redatto da CrowdStrike, nei primi sei mesi del 2020 gli hacker hanno sferrato un numero di tentativi di intrusione nelle reti aziendali superiore a quello registrato nell’intero anno 2019. Inoltre, le minacce sono molto più diffuse rispetto al passato. Gli hacker hanno preso di mira sia i dipendenti che i partner della catena di fornitura di con sofisticate e-mail di phishing e attacchi malware legati al COVID. Tra questi figurano falsi elenchi di contagi nel quartiere di una persona, presumibilmente inviati dai Centri per il controllo e la prevenzione delle malattie, siti web contenenti malware che vendono false tessere di esenzione dall’obbligo di indossare la mascherina e richieste da parte del capo di aiutare qualcuno in difficoltà, solo per citarne alcuni.
«La sicurezza oggi abbraccia un numero molto maggiore di ambiti», afferma la Clinton. «Il vostro ufficio legale deve inserire nei contratti le giuste procedure di sicurezza per garantire che i vostri partner non siano esposti a rischi.» «I vostri revisori devono verificare con i loro revisori e così via.»
Pianificare il futuro
La pandemia ha inoltre contribuito ad accelerare l’introduzione di nuovi strumenti di sicurezza, quali sistemi “zero trust” che, in genere, richiedono ai dipendenti di utilizzare due tipi di autenticazione (ad esempio una password e un codice univoco generato sul cellulare) per accedere ai sistemi aziendali. Un rapporto di Forrester intitolato “ ” ( ), disponibile all’indirizzo ottobre 2020 , ha rilevato che il 75% dei responsabili delle decisioni in ambito IT prevedeva di accelerare o avviare il passaggio a un modello di sicurezza “zero trust” a causa della pandemia, mentre quasi il 40% ha dichiarato di aver avviato un progetto pilota “zero trust” nel 2020.
«Se un anno fa mi aveste chiesto: “Sarebbe in grado di implementare una rete zero-trust qualora scoppiasse una pandemia e l’azienda dovesse passare a tale soluzione nel giro di poche settimane?”» «Avrei risposto: “No, è impossibile”», afferma Kevin Curran, professore di sicurezza informatica presso l’Università dell’Ulster, nell’Irlanda del Nord.
Una più stretta collaborazione tra i team IT, aziendali e di sicurezza ha inoltre portato nel settore della sicurezza alcune figure professionali con competenze non tradizionali. Una grande società di servizi finanziari ha compiuto la scelta insolita di assumere un esperto di marketing privo di esperienza nel settore tecnologico per ricoprire il nuovo ruolo di “evangelista della sicurezza informatica”, afferma Pearlson del MIT Sloan. Il suo incarico: individuare modalità più efficaci per spiegare perché tutti dovrebbero prestare attenzione alla sicurezza informatica, soprattutto quando si lavora da casa durante una pandemia.
[Legga anche: Come trasformare i propri lavoratori da remoto in promotori della sicurezza]
Con una semplice modifica, la responsabile del marketing ha sostituito il termine “sicurezza informatica” con “protezione dei dati” nelle sue presentazioni, nei video e nelle e-mail, al fine di riproporlo come un concetto che trasmette un chiaro valore per l’azienda, e non solo come un concetto astratto.
«La pandemia ha messo in luce la necessità che tutti svolgano un ruolo nella sicurezza informatica e si sentano in grado di agire», afferma Pearlson. «Si tratta di cambiare i cuori e le menti.»
