Cyber security: come proteggere la propria azienda

La rivoluzione digitale e la facilità con cui informazioni di carattere personale e aziendale vengono trasferite attraverso la rete hanno creato nuovi canali di azione per i criminali. Secondo l’ultimo rapporto di Clusit (l’associazione italiana per la sicurezza informatica), i danni prodotti dal cybercrime nel mondo ammontano a 500 miliardi di dollari e il fenomeno è in crescita esponenziale: si moltiplicano gli attacchi gravi e aumentano le conseguenze negative per chi li subisce.

A essere colpite sono in primo luogo le aziende, esposte a numerosi rischi legati alla sicurezza: dalla perdita di informazioni critiche (personale dipendente, fornitori, utenti, dati delle applicazioni), all’interruzione dei processi di business (danneggiamento di sistemi web aziendali, di sistemi e dispositivi mobili in dotazione ai collaboratori), fino ai danni all’immagine e alla reputazione.

Nonostante si parli molto di smart factory e di Industria 4.0, in Italia e soprattutto nelle PMI manca però ancora una cultura orientata a proteggere il valore dei dati. Il rapporto di Clusit evidenzia infatti “la cronica (e drammatica) insufficienza degli investimenti in cyber security nel nostro Paese, che ci pone sostanzialmente ultimi tra i paesi avanzati e rischia di condizionare seriamente lo sviluppo dell’Italia ed il benessere dei suoi cittadini nei prossimi anni”.

UNA STRATEGIA PER LA CYBER SECURITY

Per le imprese è dunque urgente adottare un approccio che metta al centro il tema della sicurezza informatica. In che modo? Innanzitutto, avendo ben presente che la cyber security e le eventuali situazioni di crisi non devono essere affrontate a livello individuale, ma richiedono un protocollo standard di riferimento. In secondo luogo, avviando un corretto processo di formazione di tutto il personale e di gestione del rischio cyber basato su best practice internazionalmente riconosciute e approvate almeno a livello nazionale. In terzo luogo, prestando attenzione particolare a cosa entra in azienda in termini di hardware e software: solo un sistema di certificazione può dare la garanzia di un livello di sicurezza adeguato.

15 CONTROLLI ESSENZIALI DI CYBER SECURITY

Per gestire al meglio la sicurezza informatica della nostra azienda, un utile punto di partenza può essere il vademecum stilato dal CIS (Research Center of Cyber Intelligence and Information Security) dell’Università La Sapienza di Roma e dal Laboratorio Nazionale di Cybersecurity del CINI (Consorzio Interuniversitario Nazionale per l’Informatica), che ha individuato 15 controlli essenziali di cyber security. Eccoli:

• Creare e mantenere aggiornato l’inventario riguardante sistemi, dispositivi, software, servizi e applicazioni informatiche in uso nell’azienda.
• Limitare allo stretto necessario i servizi web di terze parti (social network, cloud, e-mail)
• Individuare con assoluta necessità le informazioni, i dati e i sistemi critici dell’azienda per proteggerli da eventuali attacchi.
• Nominare un referente responsabile per il coordinamento delle attività di gestione e protezione delle informazioni e dei sistemi informatici.
• Conoscere e rispettare le leggi e/o i regolamenti rilevanti in tema di cybersecurity applicabili per l’azienda.
• Su ogni dispositivo aziendale che lo consenta è necessario installare, e tenere aggiornato, un software di protezione, come antivirus o anti-malware.
• Prestare molta attenzione alle password, ogni account interno all’azienda deve averne una diversa dall’altra. Vanno scelte con una difficoltà adeguata e soprattutto è necessario utilizzare l’autenticazione a due fattori.
• Il personale autorizzato all’accesso, remoto o locale, ai servizi informatici dispone di utenze personali non condivise con altri. L’accesso è opportunamente protetto e i vecchi account non più utilizzati sono disattivati.
• Ogni utente può accedere solo alle informazioni e ai sistemi di cui necessita e/o di sua competenza.
• Il personale deve essere adeguatamente sensibilizzato e formato sui rischi di cybersecurity e sulle pratiche da adottare per l’impiego sicuro degli strumenti aziendali (es. riconoscere allegati e-mail, usare solo software autorizzato, ecc.).
• La configurazione iniziale di tutti i sistemi e dispositivi deve essere svolta da personale esperto. Le credenziali di accesso di default sono sempre sostituite.
• Periodicamente vanno eseguiti backup dei dati e delle informazioni critiche dell’azienda. I backup vanno poi conservati in modo sicuro e monitorati con costanza.
• Le reti e i sistemi devono essere protetti da accessi non autorizzati attraverso strumenti specifici (es: Firewall e altri dispositivi/software anti-intrusione).
• In caso di incidente (es. venga rilevato un attacco o un malware) devono essere informati i responsabili della sicurezza e i sistemi messi in salvo da personale esperto.
• Tutti i software in uso (inclusi i firmware) devono essere aggiornati all’ultima versione consigliata dal produttore. I dispositivi o i software obsoleti e non più aggiornabili devono essere dismessi.