I più comuni errori di sicurezza commessi sul posto di lavoro

People having a meeting in the office with a hacker infiltrated

La tecnologia è trasformativa. Negli ultimi 50 anni abbiamo assistito a cambiamenti enormi e senza precedenti nel nostro modo di lavorare e vivere. Ma come ogni cosa, anche la tecnologia ha i suoi lati negativi – e la sicurezza è uno di questi. Il report di Thales del 2019 sulla cybersicurezza mostra che i problemi di sicurezza informatica sono tutt’altro che in via di miglioramento. È emerso che quasi tutte le aziende (il 97%) utilizzano dati con tecnologie trasformative, e il 61% di esse nel corso della propria vita è destinato a subire una violazione informatica.

La questione è che molte delle minacce e degli incidenti di sicurezza hanno luogo a causa di errori banali ed evitabili. Ecco perché in questo articolo presentiamo alcuni errori di sicurezza facili da commettere e anche facili da prevenire.

Errori di sicurezza e come prevenirli

Hacker Black HatQuando pensiamo alle minacce alla sicurezza informatica, spesso ci immaginiamo misteriosi hacker che lavorano al computer nell’oscurità. Tuttavia, una ricerca di IBM ha dimostrato che circa il 60% degli incidenti di sicurezza sono causati dal personale aziendale. Si tratta di una “minaccia interna” quindi. A sostegno di questi dati ci sono le scoperte di Netwrix, secondo cui il 58% circa delle organizzazioni attribuisce la responsabilità degli incidenti di sicurezza al personale interno. La ricerca di Kaspersky mostra risultati simili: il 52% delle aziende afferma che il personale è il principale rischio per la sicurezza IT. In breve, si può dire che il vero pericolo per la nostra sicurezza online non è necessariamente un hacker malintenzionato che cerca di mettere le mani sui nostri documenti privati (sebbene anche questo sia molto fastidioso), ma la gente che lavora e vive con noi.

Generalmente chi lavora nelle aziende non ha un intento negativo. CA Technologies ha riscontrato che il 51% delle minacce interne è accidentale, causata da un comportamento negligente o imprudente. Se non altro ciò dimostra che la conoscenza equivale alla sicurezza. Una volta che si sa a cosa prestare attenzione, la sicurezza è già molto maggiore. Quindi quali sono le aree che causano incidenti di sicurezza? Qui condivideremo quattro errori comuni commessi da chi lavora nelle aziende.

Condivisione di password e privilegi di accesso

Qual è il problema? Il controllo degli accessi è al centro di molti incidenti di sicurezza e violazioni dei dati. Secondo Centrify, il 74% delle violazioni di dati è riconducibile all’abuso dei privilegi di accesso. Può derivare dalla semplice condivisione di una password con un collega, o essere causato da un attacco di spear phishing, cioè una truffa tramite email, che si concentra su un obiettivo specifico con privilegi di accesso di alto livello. Una volta ottenuto, l’accesso permette a chi ne abusa di rubare dati, far trapelare informazioni riservate, infettare le reti e in generale causare il caos.

Qual è la soluzione? Esistono diversi modi per bloccare i privilegi e controllare l’accesso in modo più rigoroso:

  1. Usa sempre l’autenticazione a due fattori (2FA) se è prevista questa opzione.
  2. Possibilmente usa un approccio basato sul livello di rischio per controllare gli accessi. Ad esempio, applica controlli più severi se qualcuno tenta l’accesso da una connessione Wi-Fi esterna.
  3. Offri un’adeguata formazione sulla sicurezza per assicurarti che i dipendenti sappiano che non devono condividere la loro password.

Banconote sottratte con il phishingQual è il problema? Il phishing è ancora il primo modo in cui il malware infetta le reti. Inoltre, sta diventando sempre più difficile individuare le email di phishing e i siti web fraudolenti. Secondo Proofpoint, nel 2018 gli attacchi di phishing sono aumentati del 76%. E l’83% dei professionisti della sicurezza segnala di aver subito questi attacchi nella propria azienda. Inoltre le email di phishing che portano a siti web fraudolenti per infettare i dispositivi o rubare i dati riescono sempre più spesso a ingannare le vittime facendole sentire al sicuro. Ormai, più della metà dei siti fraudolenti di phishing utilizza il protocollo HTTPS per sembrare “sicuro”.

Qual è la soluzione? Il phishing è una forma di ingegneria sociale che induce le persone a compiere un’azione specifica, come cliccare su un link dannoso. Una delle migliori forme di protezione contro il phishing è la formazione. Affida a un’azienda il compito di addestrare i tuoi dipendenti a individuare i segnali del phishing, ad esempio con esercizi basati sulla simulazione del phishing. Inoltre tieni presente che un sito web dotato del protocollo HTTPS non è necessariamente un sito web legittimo.

Condivisione di dati sensibili nei portali di collaborazione in cloud

Qual è il problema? Molte organizzazioni ora usano abitualmente portali di collaborazione in cloud per condividere informazioni e lavorare sui progetti. Un numero crescente di fughe di dati, spesso di natura altamente sensibile, avviene tramite questi portali di collaborazione. Ad esempio, di recente è emerso che oltre 100.000 repository di GitHub avevano fatto trapelare chiavi di sicurezza o chiavi API. Un altro problema simile è stato riscontrato sul portale di collaborazione Slack. Slack è stato anche criticato per le vulnerabilità di sicurezza che permettevano agli hacker di derubare le chiavi di sessione e utilizzarle per accedere agli account utente, quindi a messaggi, file, ecc. Ora questa vulnerabilità è stata risolta, ma l’episodio dimostra la fragilità della collaborazione online che comporti l’uso di informazioni sensibili.

Qual è la soluzione? Presta molta attenzione ai dati che condividi sui portali di collaborazione online. Inoltre, valuta attentamente quali privilegi concedere agli utenti su questi portali. I dipendenti scontenti potrebbero utilizzare i privilegi per far trapelare informazioni sulla tua azienda, specialmente quando vanno via. Perciò dovresti sempre assicurarti di rimuovere tempestivamente l’accesso agli account del portale quando una persona lascia la tua organizzazione.

Fughe di informazioni via email

Icona di un virus email sullo schermo del desktopQual è il problema? Notoriamente le email possono far trapelare informazioni sensibili e persino imbarazzanti. Le fughe di informazioni via email sono a volte accidentali e altre volte dolose. Una fuga accidentale che ha fatto notizia è quella dovuta a una recente email del governo britannico sullo Schema del regolamento UE post-Brexit. L’email, sfortunatamente, ha utilizzato l’opzione CC anziché BCC e quindi ha reso noto agli altri destinatari chi stava facendo domanda per lo status previsto. Pur se accidentale, questa fuga di informazioni via email ha costituito un’enorme violazione della privacy.

Qual è la soluzione? Gli incidenti accadono, specialmente quando si va di fretta. Alla maggior parte di noi è probabilmente capitato di usare l’opzione CC al posto di BCC almeno una volta nella vita. La formazione sulla sicurezza può aiutare a rendere i dipendenti più consapevoli della possibilità di inviare accidentalmente informazioni sensibili via email. Tuttavia, è anche possibile utilizzare misure tecniche come la data leak prevention (DLP) o prevenzione delle fughe di dati. Questo tipo di soluzione utilizza regole specifiche per cercare parole chiave e frasi o cercare allegati specifici. Successivamente può metterli in quarantena o verificare che non contengano problemi di sicurezza.

Possiamo impedire completamente gli errori di sicurezza?

Un’interessante dichiarazione fatta da IBM nel 2018 riassume così il problema relativo a sicurezza online, errori e possibili violazioni:

“Hai più probabilità di subire una violazione dei dati (27,9%) avente ad oggetto almeno 10.000 record, che di prendere l’influenza quest’inverno.”

È quasi impossibile prevenire gli errori. In un posto di lavoro affollato, con i membri dello staff che collaborano tra loro attraverso piattaforme in cloud, mantenere i dati aziendali al sicuro non è facile. Possiamo, tuttavia, mitigare il rischio. Il tuo staff è potenzialmente un punto debole, ma può anche diventare la tua migliore protezione. Rendere consapevoli i dipendenti del modo in cui una semplice azione può causare un incidente di sicurezza è un buon punto di partenza. Sostenere tutto questo con tecnologie chiave come l’autenticazione a due fattori e la data leak prevention può aumentare l’effetto dei tuoi sforzi. Gli errori probabilmente continueranno sempre a verificarsi, ma puoi alleviare il loro impatto formando il personale aziendale e usando le risorse in modo intelligente.

International security coordinator
Marko has a Bachelor's degree in Computer and Information Sciences. He coordinates and manages VPNOverview.com's team of international VPN researchers and writers.