I tecnici radiologi si trovavano di fronte a un problema. Ogni volta che uno di loro desiderava accedere alle cartelle cliniche presenti nel sistema informatico condiviso del proprio ospedale, doveva effettuare l’accesso individualmente. Il sistema e il software dell’
e erano talmente obsoleti che la procedura di accesso poteva richiedere d
i a cinque minuti.
La loro soluzione: chiunque fosse arrivato per primo al turno avrebbe effettuato l’accesso con il proprio ID. E chiunque fosse l'ultimo a uscire, avrebbe effettuato il logout.
«Non avevano alcuna intenzione di causare danni», afferma Clay Posey, che, in qualità di responsabile scientifico presso la società di consulenza informatica Beyond Layer 7 , ha intervistato il team in merito alle loro abitudini di sicurezza informatica nell’ambito dell’iniziativa “”. «Non stavano cercando di
provocare una violazione della riservatezza.» Ma le loro azioni hanno creato le condizioni affinché ciò potesse accadere.
Da dipendente a minaccia interna
Una minaccia interna di questo tipo è nota come “inadempienza non dolosa”. Si tratta di una delle modalità più comuni con cui i dipendenti violano le politiche in materia di sicurezza informatica. «Sapevano che ciò che stavano facendo era contrario alle linee guida», afferma Posey, che è anche professore associato di sistemi informativi presso la Marriott School of Business della Brigham Young University. «Tuttavia, le norme di sicurezza ritenute valide hanno ostacolato la produttività e il flusso di lavoro. «Pertanto, questo gruppo ha semplicemente trovato una soluzione alternativa.»
In un’altra epoca, tale ingegnosità sarebbe stata forse applaudita. Ma non oggi, quando i criminali informatici e gli hacker al soldo di Stati nazionali sondano costantemente gli endpoint e le vulnerabilità di rete, alla ricerca di credenziali di accesso,
per accedere a dati sensibili e di modi per sferrare redditizi attacchi ransomware
contro le vittime.
Infatti, le minacce interne come quella verificatasi in ospedale sono spesso il risultato dell’ e, dello stress, della necessità di portare a termine il proprio lavoro e persino di un altruismo mal riposto. È quanto emerge da uno studio intitolato “ ” (giugno 2020 ) , condotto da Posey e colleghi e pubblicato dalla National Science Foundation, in cui il suo team ha analizzato il comportamento online dei lavoratori che hanno recentemente iniziato a lavorare da remoto. Hanno riscontrato che il lavoro da remoto (che continua a rappresentare la modalità lavorativa predefinita per milioni di persone) ha creato maggiori opportunità per tali violazioni della sicurezza.
Scott Shackelford, presidente del programma di gestione della sicurezza informatica Risk dell’Università dell’Indiana a Bloomington, che non ha partecipato allo studio, afferma: «In generale, tali problemi sono dovuti a una mancanza di comprensione, di attenzione, oppure a stress e fretta». E questo equivale a un invito a porte aperte per i malintenzionati. «Non è raro, ad esempio, che i truffatori contattino i dipendenti nel tardo pomeriggio di venerdì o durante le festività, quando sanno che l’attenzione dei lavoratori sarà altrove», afferma.
Si tratta di un rischio fondamentale per la sicurezza informatica che non può essere risolto con la tecnologia. Il problema può essere risolto solo intervenendo sulle persone che fanno parte del sistema. I team IT possono progettare trappole per topi più efficaci, ma se lo fanno in modo isolato — senza tenere conto del lavoratore alla tastiera, che ora fa parte di un ecosistema di rete distribuito al di fuori del perimetro protettivo aziendale — il risultato sarà inevitabilmente la perdita del formaggio.
Come i lavoratori da remoto si rapportano realmente ai protocolli di sicurezza informatica
Lo studio condotto da Posey su oltre 330 lavoratori da remoto provenienti da un’ampia gamma di settori ha rilevato che i reparti IT hanno spesso una comprensione limitata di come le loro regole possano interferire con i flussi di lavoro dei dipendenti o creare nuove fonti di stress. Lo studio, basato su autodichiarazioni raccolte nell’arco di due settimane, ha rilevato che il 18% delle violazioni delle politiche di sicurezza informatica era motivato dal desiderio di uno o più dipendenti di aiutarsi a vicenda. Nel complesso, il 67% dichiara di non aver rispettato le politiche di sicurezza informatica almeno una volta, con un tasso medio di non conformità pari a una volta ogni 20 attività lavorative.
«Non è raro che i truffatori contattino i dipendenti nel tardo pomeriggio di un venerdì o durante le festività, quando sanno che [i lavoratori] saranno distratti.»”Scott Shackelford, presidente del Programma di gestione della sicurezza informatica e dell’ Risk , IU-Bloomington
Le motivazioni addotte per tali violazioni sono eloquenti. Tra le prime tre risposte figuravano: “per svolgere al meglio i compiti legati al mio lavoro”, “per procurarmi qualcosa di cui avevo bisogno” e “per aiutare gli altri a portare a termine il loro lavoro”. Nel loro insieme, hanno rappresentato il 85% delle violazioni intenzionali delle norme di sicurezza segnalate.
In effetti, il lavoro da remoto sembra aumentare il rischio di inadempienze non dolose da parte dei dipendenti. Ciò può andare dal fatto che i dipendenti scarichino software non autorizzato sul proprio computer portatile aziendale fino al consentire ai propri familiari di utilizzare le attrezzature aziendali. Inoltre, quando lavorano da casa, le persone accedono con maggiore frequenza a dati sensibili dai propri dispositivi mobili.
Di conseguenza, le organizzazioni si trovano in difficoltà nel cercare di rafforzare la conformità in materia di sicurezza informatica.
Comprendere il peso psicologico della sicurezza nel lavoro da casa
Tra i problemi di sicurezza informatica più gravi che le organizzazioni devono affrontare con l’attuale forza lavoro in remoto figurano le truffe via e-mail e quelle di phishing , note anche come “” e “business email compromise” (BEC). Ecco come può avvenire: un malintenzionato, spacciandosi per un superiore o un collega stretto, invia via e-mail a un dipendente una richiesta urgente di trasferimento di fondi. La pressione dei tempi e il desiderio di aiutare possono spingere gli operatori a non rispettare il protocollo ed effettuare tali trasferimenti senza verificare la richiesta.
Proteggere un’organizzazione dagli attacchi informatici significa non solo adottare una politica di verifica per le transazioni di importo elevato, ma anche sensibilizzare i dipendenti sull’importanza dei protocolli di sicurezza, ridurre al minimo gli ostacoli che questi comportano per lo svolgimento delle attività quotidiane e fornire indicazioni su come comportarsi qualora tali protocolli entrino in conflitto con l’esecuzione del lavoro.
Mentre il lavoro da remoto prosegue per milioni di lavoratori, gli esperti di sicurezza informatica sostengono che i dirigenti dovrebbero prestare attenzione al potenziale carico psicologico che i dipendenti devono affrontare lavorando con sistemi che li monitorano. I sistemi di sorveglianza, come gli strumenti di tracciamento
e il monitoraggio dei tasti digitati, potrebbero risultare particolarmente invadenti in ambito domestico. Anche se non vi fossero conseguenze dirette, le ricerche indicano che lo stress aggiuntivo potrebbe indurre indirettamente le persone a violare più facilmente i protocolli di sicurezza.
[Leggi anche: Il lavoro da remoto accresce le preoccupazioni relative alla privacy dei dati]
I dirigenti del mondo degli affari e della tecnologia dovrebbero assicurarsi di coinvolgere i propri dipendenti nella definizione, nella valutazione e nell’attuazione di nuove misure di sicurezza. Posey sostiene che i team IT debbano trovare un equilibrio tra ciò che egli definisce «mentalità evitante e tolleranza». Anziché ricorrere a misure disciplinari in caso di violazione delle norme di sicurezza, i dirigenti dovrebbero accettare il fatto che i lavoratori possano commettere errori.
«Si verificheranno degli eventi, e i dirigenti dovrebbero impegnarsi in modo concertato per comprenderne la causa principale», afferma.
Adottare un approccio basato maggiormente sulla "carota" e meno sul "bastone" nella formazione in materia di sicurezza informatica per i lavoratori
Infatti, i team IT e di sicurezza possono trarre vantaggio da collaboratori che sono naturalmente curiosi e desiderano comprendere le ragioni alla base delle loro complesse politiche di sicurezza, afferma Posey. I team dovrebbero comprendere che — a differenza degli attacchi dolosi e delle vulnerabilità impreviste della catena di fornitura — molte violazioni causate dai dipendenti derivano dal tentativo di trovare un equilibrio tra sicurezza e produttività e spesso sono il risultato di comportamenti umani del tutto prevedibili.
I team addetti alla sicurezza devono informare i lavoratori sulla diffusione delle violazioni non dolose. Ma non è necessario (né opportuno) che la cosa si fermi qui. Comprendere cosa motiva i dipendenti e coinvolgerli nel processo di elaborazione e verifica pratica delle politiche di sicurezza può contribuire in modo significativo a stimolarli a dare il proprio contributo. E, cosa più importante, i leader del mondo degli affari e della tecnologia devono adoperarsi per garantire che i protocolli di sicurezza informatica non ostacolino la produttività dei dipendenti.
«La maggior parte delle persone desidera semplicemente portare a termine il proprio lavoro», afferma Posey. «Non vanno al lavoro ogni giorno dicendo: “Ehi, come posso combinare un pasticcio?”»
