Il rischio per la cybersecurity in azienda? Il fattore umano, secondo i CISO italiani

Proofpoint, azienda leader nella cybersecurity e nella compliance, ha presentato una ricerca dedicata al rapporto delle aziende italiane con la cybersecurity, focalizzata sulla protezione di persone e dati. Realizzata in collaborazione con The Cybersecurity Digital Club, la ricerca ha messo in mostra il significativo timore dei CISO relativamente al fattore umano, considerato dal 94% una delle principali preoccupazioni per la sicurezza aziendale.

Emiliano Massa, Area Vice President, Sales SEUR di Proofpoint ha aperto la presentazione con delle considerazioni interessanti sul tema della cybersicurezza. Dal 2020 in poi ci sono stati passaggi chiave che stanno influenzando il modo in cui si fa security. Pandemia, grandi dimissione e digitalizzazione hanno innescato il bisogno di proteggere i dati in uscita dall’azienda. È importante comprendere il contesto in cui si opera, perché il rischio è legato proprio ad esso.

Davide Gaieni, Information Technology Security Manager, ha invece sottolienato come la cybersecurity non sia un problema tecnico ma di business. Infatti, oltre al richiscio di subire furti o dover pagare riscatti, il danno aziendale di questi attacchi è prima di tutto reputazionale. Infatti, in alcuni casi, l’attaccante può usare la vittima come sorgente e origine di nuovi attacchi.

Così, negli ultimi anni, molti CISO hanno deciso di fornire formazione sulla cybersecurity in azienda, attraverso campagne di awarness. Risulta importante anche fare esercitazioni e analizzare tutti i fattori che possono impattare su un’azienda e spiegare il potenziale reazione in caso di incidente. Ma vediamo nel dettaglio i risultati della ricerca.

Dipendenti negligenti o malintenzionati, il rischio non cambia

Secondo i CISO, sono molti i modi in cui i dipendenti possono rendere più vulnerabile l’azienda, dalla tendenza a cliccare su link pericolosi (80%) all’ utilizzo in modo incontrollato di dispositivi USB (65%), scaricare allegati e file da fonti sconosciute (57%) e condividere informazioni personali con fonti esterne (57%).

Non c’è per forza dolo, in molti casi il rischio nasce dalla disattenzione, con il 47% dei dipendenti che condivide le credenziali del proprio account e il 39% permette l’utilizzo di dispositivi aziendali a familiari e amici. La scarsa attenzione alla sicurezza costringe le aziende a pagare un tributo importante. Infatti, tra le organizzazioni che ammettono di aver subito un cyberattacco, in due terzi dei casi la responsabilità è stata di insider negligenti o criminali.

L’impatto registrato dalle organizzazioni colpite rigurda diversi aspetti: dalla perdita finanziaria, al danno reputazionale fino alla perdita di dati critici per l’azienda.

Crescono le iniziative di formazione

I CISO italiani stanno studiando diverse strategie per arginare il rischio legato alle persone. In particolare, iniziative mirate a identificare minacce basate sull’email vengono intraprese dalla quasi totalità delle aziende (96%). Altre misure adottate includono formazione sulla gestione delle password (88%) e sulle best practice di sicurezza (80%). Solo il 4% dei CISO ammette di non avere un programma di formazione continua sulla sicurezza informatica.

In termini di sicurezza complessiva, il 65% dei CISO ha adottato tecnologie dedicate per controllare e gestire le minacce interne, mentre il 33% ha predisposto un piano di risposta al cosiddetto insider risk. Sebbene questi dati siano ampiamente positivi, un terzo delle organizzazioni italiane rimane senza strumenti specifici per le minacce interne e il 20% senza alcuna forma di protocollo specifico.

Anche la visibilità e l’accesso alle informazioni sensibili sono fonte di preoccupazione. Sebbene sia positivo che il 71% dei CISO dichiarino di compartimentare i dati e di limitarne l’accesso a determinati dipendenti, le buone notizie finiscono qui. Meno della metà dei CISO (43%) monitora regolarmente l’accesso ai dati da parte degli utenti, mentre circa un quarto non ha una buona visibilità dei luoghi in cui vengono archiviati.

Lavoro ibrido e piattaforme cloud impattano sulla sicurezza

La forte adozione del lavoro ibrido e il crescente utilizzo di piattaforme cloud, ha peggiorato la situazione a livello di sicurezza, riducendo la visibilità dei CISO su chi accede ai dati e da dove, secondo il 22% degli intervistati.

Il 90% degli attacchi informatici che richiede un’interazione umana per avere successo. Perciò i cybecriminali puntano sulle persone per attaccare l’azienda, con un clic o un download incauto. I CISO italiani ne sono consapevoli, identificando correttamente i rischi elevati per le persone e formando gli utenti sulle minacce più pericolose e prevalenti. La strada da percorrere è ancora lunga. 

Nonostante l’aumento del rischio di perdita di dati, il report  mostra che purtroppo solo il 43% dei CISO italiani dichiara di disporre di un agent specifico di Data Loss Prevention (DLP). Il 14% addirittura ammette di non avere alcun tipo di protocollo o tecnologia preventiva dalla perdita di dati.

“I dati non si perdono da soli, sono le persone a perderli. Vengono rubati da un aggressore esterno tramite credenziali compromesse, inoltrati a una terza parte non autorizzata da un utente disattento o rubati da un dipendente malintenzionato che spesso li passa a un concorrente.” Afferma Emiliano Massa, Area Vice President della regione Southern Europe di Proofpoint. “Sebbene i risultati della nostra indagine dimostrino che i CISO sono ben consapevoli di questo problema e stanno adottando misure per contrastarlo, oggi è più importante che mai difendere i dati aziendali, proteggendo le persone che li trattano regolarmente, con processi di formazione e misure tecniche adeguate.”

Metodologia

Lo studio, condotto dalla community Cybersecurity Digital Club – una community per fare sistema per conto di Proofpoint tra settembre e ottobre 2022, ha coinvolto 103 CISO di diversi settori industriali in Italia, esplorando aree quali: il ruolo del fattore umano nella cybersecurity aziendale, le cause e l’impatto delle violazioni di sicurezza sulle organizzazioni, la visibilità aziendale su dati e dipendenti, e le iniziative di formazione intraprese dalle aziende a propria tutela.

Cybersecurity Digital Club – una community per fare sistema nasce con un obiettivo chiaro e già dichiarato nel suo nome: condividere la conoscenza e il patrimonio di esperienze di ognuno di noi in modo che aumenti la consapevolezza e la cultura di tutto il mondo economico e istituzionale sulla crescente importanza e strategicità del nostro settore. La community è nata per organizzare veri scambi di valore che permettano un confronto continuo, la raccolta aggregata di KPI e una formazione itinerante strutturata e curata in ogni dettaglio volta ad unire il mondo aziendale e quello accademico, troppo spesso lontani tra loro.

Sebbene la consapevolezza dei rischi sia aumentata, si è ancora lontani da una situazione ideale di gestione della sicurezza, i CISO lo sanno. Bisogna puntare su formazione, infrastrutture e strategie di tutela dei dati a più livelli.