Valutazione del rischio: 5 quesiti per fare l’autoanalisi del livello di sicurezza aziendale

La “superficie di attacco” oggi è molto ampia, si pensi alla sola connettività a internet e alla rete degli uffici delle aziende, che apre le porta all’esterno facilitandoci nel lavoro ma rendendoci anche soggetti ad attacchi di vario tipo.

Nel caso di attacchi DoS per esempio le risorse online dell’azienda vengono rese non disponibili e bloccate a e le attività aziendali si interrompono, creando un forte danno economico. Oppure i furti dei  furto di documenti o di informazioni riservate dell’azienda tramite malware…

Per maggiori informazioni sui tupi di attacchi

Procediamo quindi nella autoanalisi per capire il livello di sicurezza della tua organizzazione:

5 quesiti per fare l’autoanalisi del livello di sicurezza aziendale

1. Stiamo utilizzando “cloud non autorizzati”

Dropbox, Google Drive, MediaFire, Egnyte. … ottimi strumenti per i privati, ma una minaccia per le aziende. Anche se la tua società non li supporta, è probabile che il team responsabile della sicurezza abbia riscontrato l’uso di uno o più di questi cloud privati all’interno di un’organizzazione. La sincronizzazione degli account e la condivisione di file privati non è supportata e quindi non protette dall’infrastruttura IT.

Questi atteggiamenti generano il diffuso fenomeno delle “shadow IT“, le zone d’ombra che sfuggono al controllo dell’amministrazione e che quindi possono esporre a rischi interi asset aziendali. Il 40% delle organizzazioni che ha avuto esperienze con cloud non autorizzati ha riscontrato l’esposizione di dati riservati. [Studio a cura di Symantec: Avoiding the Hidden Costs of the Cloud]

Si rivela quindi necessario valutare l’implementazione di servizi cloud sicuri e professionali dismettendo l’uso dei cloud non autorizzati.Scegliendo una soluzione di livello aziendale come Microsoft OneDrive for Business, i dipendenti possono salvare e condividere documenti e collaborare ai contenuti senza compromettere la sicurezza dei dati.

2. Le “minacce interne”

Ok, abbiamo disposto l’utilizzo di un sistema cloud professionale, efficiente e sicuro posto ad evitare “cloud non autorizzati”. Ma come gestiamo l’utilizzo dello stesso e dunque come questo viene usato dalle persone, quindi dai nostri collaboratori?

Le minacce interne sono generalmente ritenute le più complesse da cui difendersi. Se consideriamo poi, l’uso sempre maggiore di collaboratori occasionali, freelance e dipendenti temporanei in un’organizzazione, la capacità di difendersi da potenziali minacce interne è praticamente impossibile. È possibile però, perlomeno monitorare il lavoro dei nostri collaboratori evitando disfunzioni compromettenti la sicurezza.

Con le soluzioni integrate in Office 365 e quindi in SharePoint Online, Exchange Online e Microsoft Office, è possibile impostare le autorizzazioni di accesso ai file dei diversi autori. Gli amministratori ricevono notifiche ogni volta che vengono scambiate informazioni riservate e possono scegliere se revocare dati e accesso a determinati dipendenti. Così come possono esaminare i dati degli incidenti e generare report per individuare con precisione i casi in cui può essersi verificata una perdita delle informazioni.

Inoltre, le soluzioni di prevenzione della perdita dei dati sempre integrate in questi ultimi, consentono agli amministratori IT di prevenire problemi legati a minacce interne. Tutto questo è possibile senza estendere i budget per la conformità: con Office 365 la compliance è inclusa nel pacchetto!

3. Attivare una “task force” per la sicurezza informatica

Può sembrare assurdo: secondo il Financial Executives Research Foundation: The CFO’s Role in Cybersecurity – L’84% delle organizzazioni non ha in piedi una task force per la sicurezza informatica!

Questo perché non si è abituati a prevenire, ma a curare. Ai professionisti della sicurezza informatica viene insegnato a ragionare sul quando (e non se) può verificarsi una violazione. La pianificazione di una violazione significa creare una task force in tutta l’organizzazione che stabilisca le persone coinvolte nella comunicazione dell’attacco ai clienti (responsabile marketing), i responsabili della protezione di una rete (responsabili della sicurezza e delle tecnologie) e chi dovrà gestire le implicazioni legali delle informazioni violate (responsabili dei reparti legale, del servizio clienti e HR). Benché la creazione di una task force per la sicurezza informatica all’interno di un’organizzazione sia considerata una procedura consigliata, nella maggior parte delle aziende tale task force non esiste del tutto.

4. Sicurezza della politica BYOD

Le politiche BYOD permettono ai dipendenti di accedere ai file della società dai propri dispositivi h24. Tali politiche negli ultimi cinque anni hanno visto una vera e propria esplosione, considerando l’aumento dello smart working. Tuttavia, secondo un report del 2014 a cura di Check Point, oltre metà dei dirigenti IT ha segnalato che gli incidenti di sicurezza causati dall’approccio BYOD, generando rischi e costi non indifferenti. È dunque necessario supportare le politiche BYOD in modo da trarne vantaggi, senza compromettere la sicurezza, né tanto meno violare il budget.

I servizi di Office 365 sono stati pensati proprio per dotare le imprese di strumenti capaci di supportare l’agilità del lavoro senza perdite in sicurezza e compliance, comprendendo funzionalità Single Sign-On e per la gestione self-service delle password. Inoltre, Strumenti di gestione della mobilità come Microsoft Enterprise Mobility Suite (EMS) possono mantenere i dipendenti connessi alle app di cui hanno bisogno, senza compromettere la sicurezza. Oggi, è necessario proteggere e gestire i dispositivi mobili e gli smartphone usati al di fuori della rete aziendale, insieme ai dati che contengono. Ciò è possibile proprio con EMS, in un unico pacchetto. Quest’ultimo, fra le altre cose, consente di cancellare da remoto i dati dai dispositivi smarriti.

Inoltre, la gestione di dispositivi mobili per Office 365 può contribuire alla protezione dei dispositivi aziendali da qualsiasi posizione. Il tuo team IT può gestire i criteri per i dispositivi mobili ed eseguire una cancellazione selettiva dei dati di Office 365 se un dipendente lascia l’organizzazione, evitando ai reparti HR, IT e della sicurezza perdite di tempo e difficoltà.

5.  Budget destinato alla sicurezza

Bisogna dirlo: ancora non si percepisce la sicurezza informatica come necessaria e fondamentale. Questo perché non si ha avvertenza della gravità dei rischi che si corrono come utente e come azienda soprattutto. Difatti, soltanto negli ultimi dieci anni questi discorsi hanno iniziato ad interessare utenti di ogni livello. La disavvertenza di questo problema, si traduce in scarsi investimenti relativi alla voce “sicurezza”. Inoltre, il più delle volte questa viene percepita come una spesa e non come un’investimento atto a prevenire disfunzioni, perdite di risorse, sprechi; capace di dare una nuova spinta alla produttività stessa di ogni livello, garantendo forza e stabilità dei vari asset.

Detto ciò, c’è quindi da domandarsi se i budget destinati alla voce “sicurezza” sono ragionevoli e commisurati al raggiungimento di tale scopo.  Che si tratti di individuare professionisti capaci di supportare la gestione dell’area sicurezza o potenziare il budget IT, è necessario scoprire ciò di cui ha bisogno il proprio team e introdurre le modifiche necessarie perché possa lavorare al meglio.

In questi casi, è possibile chiedere consulenza ai fornitori IT per meglio comprendere quali sono gli strumenti che meglio si adattano al proprio business. Infoservice, anche in qualità di partner Microsoft, offre prima di tutto questo. Una consulenza altamente specializzata a costo zero! Questo perché essa è prima di tutto tesa al raggiungimento di obiettivi comuni come l’implementazione di strumenti e servizi informatici, atti a sostenere e semplificare il lavoro quotidiano, affrontando insieme la Digital Trasformation.