Redazione
Le PMI sono più restie ad adottare misure di sicurezza informatica rispetto alle grandi società, esponendosi così a molti più rischi rispetto alle grandi aziende. Gli imprenditori sottovalutano i rischi del cybercrime per la loro azienda e perché spesso pensano che non accadrà a loro.
Purtroppo il criminale informatico prende facilmente in ostaggio proprio i computer delle aziende meno protette, ad esempio, bloccandoli totalmente tramite un attacco ransomware(1) e liberandoli solo dopo aver ricevuto del denaro in cambio (spesso in cryptovaluta). Oltre al danno economico immediato abbiamo anche quello reputazionale come nel caso in cui le informazioni aziendali sensibili, o peggio ancora i dati dei clienti aziendali, finiscano nelle mani dei criminali informatici.
È vero che le risorse delle PMI sono più limitate, ma fortunatamente, come vedremo qui di seguito, sono sufficienti alcuni semplici accorgimenti per ridurre significativamente i rischi da attacchi informatici.
QUAL È LO STATO ATTUALE DELLA SICUREZZA IN AZIENDA?
Questa è la prima domanda a cui occorre rispondere. E non sono necessarie costose analisi e valutazioni ufficiali dei rischi per avere un quadro di insieme della situazione.
Come si affrontano gli imprevisti in azienda? I dipendenti si sentono sicuri nel segnalare situazioni pericolose? Sono state prese le adeguate precauzioni?
Un semplice sondaggio presso i propri dipendenti può già dare una buona indicazione dello stato della sicurezza. Oltretutto coinvolgendo il personale si avrà un maggiore supporto per “fare le cose in modo diverso” contribuendo così più velocemente a migliorare la cultura aziendale in rispetto alla sicurezza informatica.
I BACKUP AZIENDALI SONO ESEGUITI CORRETTAMENTE?
Per comodità, presumiamo che i backup siano a posto, ma spesso per un imprenditore non è chiaro quali dati sono sottoposti a backup e quanto velocemente potranno essere ripristinati in caso di necessità (occorrono alcuni minuti, ore o addirittura alcuni giorni?).
È pertanto fondamentale eseguire regolarmente un backup completo su un disco rigido fisico da conservarsi in un altro luogo lontano dalla propria sede aziendale. Soprattutto è necessario testare le procedure di recupero dei dati: l’azienda è in grado di ripristinare interamente i propri sistemi da un backup?
Un backup completo e attuale, limiterà la perdita di dati e l’azienda sarà meno soggetta a ricatti da parte dei criminali informatici.
SOFTWARE E APPLICATIVI SONO AGGIORNATI?
Il software obsoleto comporta grandi rischi per la sicurezza. Gli hacker hanno un fiuto particolare per queste situazioni. Purtroppo per le piccole imprese è un grosso impegno mantenere il proprio software aggiornato e spesso attendono le release maggiori o peggio ancora l’aggiornamento viene eseguito solo quando l’applicazione è “a fine supporto”.
Eppure è molto più semplice e pratico eseguire piccoli aggiornamenti (patch) frequentemente. Molti problemi possono essere prevenuti installando rapidamente gli aggiornamenti al software.
E non dimentichiamo di cancellare i vecchi software non più utilizzati, proprio questi applicativi “dimenticati” sono una grande opportunità per gli hacker di penetrare nella rete aziendale(1).
LA POSTAZIONE DI LAVORO È SICURA?
Non solo il software può costituire un punto debole per i cyber attacchi, ma anche i luoghi di lavoro fisici possono fornire ai criminali informatici un facile accesso alla rete aziendale. A volte i dipendenti lasciano i laptop aperti o documenti in giro sulla scrivania quando non sono sul posto. Documenti contenenti dati tecnici o sensibili posso essere gettati nel cestino invece che in appositi contenitori sigillati ed adibiti allo smaltimento. Ed anche una stampante non adeguatamente protetta, può essere facilmente usata da un hacker per accedere alla rete aziendale.
Piccoli accorgimenti come il blocco dei laptop e una politica di “pulizia della scrivania” contribuiscono a mitigare i rischi da attacchi informatici.
I DATI SONO CODIFICATI E PROTETTI DA PASSWORD?
Messaggi email e chat non codificati o dati da siti web non protetti con HTTPS possono essere facilmente intercettati da malintenzionati. La crittografia dei dati sensibili è dunque consigliabile per proteggere i propri dati. Questo rende i dati crittografati illeggibili senza la chiave corretta d’accesso. Questa funzione è presente in molti software ma spesso non attivata. Ove non presente può essere usato un programma separato per criptare i dati.
La protezione dei dati crittografati richiede una password ed avendo ogni sistema una propria password questo rende il sistema vulnerabile in quanto gli impiegati sono portati a scegliere password semplici da ricordare e usare la stessa su più applicazioni. Un criminale informatico con un software abbastanza semplice può generare velocemente molte password e decifrare facilmente quelle facili. A questo si può ovviare con un programma digitale di gestione delle password che aiuta a generare password complesse e a memorizzarle in modo da non essere dimenticate.
Utilizzo di messaggi codificati, siti web che implementano il protocollo HTTPS, l’abitudine ad usare password complesse e cambiate regolarmente rendono la vita difficile agli hacker.
I DIPENDENTI SONO CONSAPEVOLI DEI RISCHI DA CRIMINALITÀ INFORMATICA?
La consapevolezza del rischio da parte dei dipendenti gioca un ruolo importante per prevenire i cyber attacchi. D’altronde l’hacker è consapevole che questo rappresenta un punto debole. Un dipendente che apre un allegato o clicca su un link contenuto in una email fraudolenta(2) apre inconsapevolmente una porta ai criminali informatici.
È quindi importante:
- sensibilizzare i dipendenti ma soprattutto
- addestrarli a gestire con attenzione i dati e
- insegnargli a riconoscere e-mail sospette.
Cosi come regolarmente si eseguono prove di evacuazione per imparare a gestire le emergenze (ad esempio in caso di incendio) cosi occorre eseguire simulazioni di attacchi informatici per capire come il personale risponde ad un attacco informatico imparando cosi a prevenirlo e adottando da questa esperienza le contromisure appropriate.
Un consiglio è di isolare i sistemi che comunicano con l’esterno usando, ad esempio, una caselle di email speciale per l’esterno non direttamente collegata alla rete aziendale. Se un hacker riesce ad entrare tramite email fraudolente, il danno sarà limitato.
Un altro accorgimento è di stabilire regole chiare, come quella di contattare sempre per telefono il mittente di una richiesta di pagamento tramite posta elettronica quando l’importo supera una certa soglia. Ciò impedisce che grandi somme siano trasferite inavvertitamente a criminali informatici che, ad esempio, fingono di essere altre persone usando la tecnica del Social Engineering(3).
CONCLUSIONI
Implementando questi piccoli accorgimenti anche le piccole e medie imprese possono ridurre notevolmente i rischi dovuti ad attacchi informatici criminali. Mettendo cosi al riparo la principale risorsa di cui ogni azienda nel nuovo millennio non può più fare a meno: i propri dati.
Per approfondimenti e normative, consultare i seguenti link e/o riferimenti:
(1) Malware Basics, Tips & Tricks – EUROPOOL
(2) Phishing, Smishing, Vishing. How does it work? What can you do? – EUROPOL
