In questi ultimi anni, il passaggio al lavoro a distanza causato dal Covid-19 e accompagnato dalla trasformazione digitale ha fatto da sponda per nuove opportunità di cybercrimine. Ecco perché è essenziale che ogni azienda, grande o piccola, conosca le principali minacce per la sicurezza informatica e i problemi di sicurezza dei siti Web, in modo da adottare le adeguate contromisure. Continua a leggere per scoprire ulteriori dettagli.
Rischio per la sicurezza informatica aziendale n. 1: il ransomware
Si stima che l'80% delle aziende di tutto il mondo ha subito una qualche forma di attacco ransomware nel 2021. Il ransomware è un software che impedisce agli utenti di accedere ai propri computer o che limita l'accesso ai dati tramite criptaggio. L'utente deve inserire un codice speciale per ripristinare l'accesso, fornito dall'hacker solo dietro pagamento di un riscatto. Il ransomware più dannoso cancella tutti i dati degli utenti, anche dopo il pagamento del riscatto.
Molti proprietari di piccole o medie aziende si considerano prede insignificanti rispetto a realtà corporate molto più appetibili per i criminali. Si sentono al sicuro leggendo di attacchi informatici di alto profilo a grandi realtà aziendali, ma bisogna anche considerare che le grandi aziende hanno imparato a proprie spese a rafforzare la protezione contro gli intrusi informatici e le difese contro gli attacchi futuri.
I criminali informatici possono quindi trovare più facile prendere di mira le PMI, che spesso attuano una protezione minima e non hanno le conoscenze per prevenire i furti di dati tramite computer. Le password sono alla mercé di tutti, così come i dettagli di conti correnti, indirizzi di residenza e codici fiscali. Se in possesso di queste informazioni, i ladri informatici possono sottrarre denaro, rubare identità e lanciare attacchi contro aziende e governi.
Come le aziende possono proteggersi dal ransomware
Misure di sicurezza stratificate: per ridurre il rischio di ransomware, adotta un approccio alla sicurezza informatica a più livelli. In altre parole, combina diversi strumenti di sicurezza. Utilizza ad esempio un anti-virus di buona qualità su ogni dispositivo e tienilo aggiornato, installa un firewall e utilizza filtri anti-spam e sistemi cloud per la prevenzione delle perdite di dati. Combinare più strumenti fa sì che, se uno non funziona, gli altri faranno da backup.
Esegui il backup dei dati: assicurati che l'azienda disponga di un backup offline completo del sistema, aggiornato e separato dalla rete principale. Questo ti consentirà di accedere ai dati anche qualora la tua attività fosse tenuta in ostaggio. Testa regolarmente il backup per assicurarti che funzioni al momento del bisogno.
Riesamina la policy BYOD: con il passaggio al lavoro a distanza, i dipendenti utilizzano anche i propri laptop o dispositivi mobili per lavorare e accedere alla rete aziendale. Questo comporta dei rischi poiché in tali dispositivi potrebbero non essere stati installati adeguati programmi anti-virus o altri software di sicurezza. Il personale che lavora in mobilità potrebbe accedere a reti Wi-Fi pubbliche non sicure. Per rispondere a queste vulnerabilità, puoi limitare l'accesso alla rete solo ai dispositivi forniti dall'azienda e richiedere ai dipendenti di accedere alla rete tramite VPN, cioè una rete privata virtuale.
Rischio per la sicurezza informatica aziendale n. 2: il phishing
Il phishing è un'altra notevole minaccia informatica per le aziende. Si tratta di tentativi di ottenere informazioni sensibili come nomi utente, password e carte di credito tramite e-mail fasulle scritte in modo da sembrare autentiche, e talvolta anche tramite siti Web falsi. In passato le truffe di phishing venivano effettuate tramite e-mail. Negli ultimi anni, però, sono state messe in atto truffe di phishing tramite SMS (note come smishing) e telefonate (note come vishing).
Il termine spear phishing viene utilizzato per indicare tentativi di phishing mirati a una specifica persona o azienda. I criminali informatici utilizzano tecniche di ingegneria sociale per adattare i messaggi ai loro obiettivi, facendoli apparire legittime comunicazioni provenienti da contatti noti. Si basano su varie fonti di informazioni online, come i social media o siti Web aziendali, per creare un profilo delle loro vittime. Possono ad esempio telefonare a un'azienda fingendosi un cliente per ottenere i dettagli bancari.
Le e-mail di spoofing spesso sono direttamente indirizzate al gestore degli account di un'azienda con la richiesta di erogare fondi sul conto corrente di un cliente. L'e-mail fornisce le informazioni sul conto e i dettagli per il trasferimento di fondi. In passato importi che vanno da migliaia a milioni di dollari sono stati erogati da ignari manager sui conti di criminali informatici.
Come le aziende possono proteggersi dal phishing
Concentrati sulla tua impronta digitale: pensa alle informazioni che l'azienda rende pubblicamente disponibili online, la cosiddetta impronta digitale, e a come potrebbero esporre il personale a questo tipo di reato. Ad esempio, l'esistenza di un elenco di tutto il personale manageriale con collegamenti ai rispettivi profili LinkedIn e indirizzi e-mail e numeri di telefono aumenta il rischio di diventare bersaglio di phishing. Altre informazioni sui problemi di privacy di LinkedIn sono disponibili qui.
Usa filtri e-mail: di per sé, un filtro e-mail non garantisce che non riceverai e-mail di phishing, ma aumenta la protezione. I provider di posta elettronica offrono vari filtri anti-spam, quindi è opportuno informarsi sui prodotti disponibili sul mercato.
Usa un anti-virus: avere un anti-virus completo e aggiornato su ogni dispositivo aiuterà a proteggere l'azienda dagli attacchi di phishing e da numerose altre minacce informatiche. Un programma anti-virus dotato di funzioni anti-phishing eseguirà la scansione degli allegati delle e-mail per verificare se sono rischiosi.
Rimani in allerta: fai attenzione agli indicatori del phishing. Ad esempio, è improbabile che un'e-mail della tua banca contenente la richiesta di aggiornare i tuoi dati personali contenga errori di ortografia e grammatica. Se un'e-mail cerca di evocare un senso di urgenza, ad esempio dicendoti che il tuo account è stato violato e deve essere ripristinato immediatamente, potrebbe trattarsi di una truffa. Se un messaggio contiene un URL, passaci sopra il mouse per verificare che conduca alla pagina corretta. È anche importante che l'URL sia accompagnato da un certificato SSL e inizi con HTTPS. In generale, se ricevi un'e-mail da un mittente sconosciuto, non aprire gli eventuali allegati.
Rischio per la sicurezza informatica aziendale n. 3: password vulnerabili
Un altro rischio significativo per la sicurezza IT aziendale è rappresentato dall'utilizzo di password vulnerabili e facilmente indovinabili da parte dei dipendenti. L'uso di password vulnerabili o facilmente indovinabili, o l'uso di una stessa password per più account, può portare alla compromissione di dati sensibili o informazioni finanziarie. Le piccole imprese possono essere messe particolarmente a rischio da dipendenti che utilizzano password vulnerabili a causa della loro scarsa consapevolezza dei rischi. Una media del 19% dei professionisti aziendali utilizza password facilmente indovinabili o riutilizza la stessa password per più account.
Gli hacker scrivono programmi che applicano dizionari di milioni di password per ottenere l'accesso forzato ai sistemi IT di individui e aziende. Questa tecnica viene chiamata attacco di forza bruta e ha un'alta percentuale di successo. Una volta che un hacker trova la password di una data applicazione software, la probabilità di accedere ad altri account con la stessa password è alta.
Come le aziende possono proteggersi da password vulnerabili
Introduci un criterio tecnico di complessità delle password: una password complessa è composta da almeno 15 caratteri, incluso un mix di lettere minuscole e maiuscole, numeri e caratteri speciali. Gli utenti dovrebbero evitare semplici sequenze numeriche come "12345" o nomi di coniugi, figli o animali domestici poiché un hacker può facilmente ottenere queste informazioni dai social media. Alcune aziende richiedono ai dipendenti di modificare le proprie password di accesso almeno ogni 90 giorni.
Usa un gestore di password: i dipendenti dovrebbero prendere in considerazione l'utilizzo di un gestore di password per generare e mantenere password lunghe e complesse da incollare nelle pagine di accesso delle varie applicazioni.
Abilita l'autenticazione a più fattori: l'autenticazione a più fattori, o MFA, obbliga gli utenti a seguire ulteriori passaggi oltre al semplice uso di una password per accedere agli account aziendali. Questi ulteriori passaggi di verifica comportano ad esempio l'invio di un passcode a un dispositivo mobile. Un livello di sicurezza di questo tipo consente di impedire agli aggressori di accedere agli account aziendali, anche qualora indovinassero la password.
Modifica le password predefinite: un errore comune è quello di non modificare le password predefinite dei produttori di smartphone, laptop e altri tipi dispositivi IT. Modifica tutte le password predefinite prima di distribuire i dispositivi al personale. Controlla regolarmente i dispositivi e il software per rilevare password predefinite invariate.
Rischio per la sicurezza informatica aziendale n. 4: dispositivi mobili
Le aziende spesso forniscono smartphone, laptop e tablet al proprio personale per consentire il lavoro flessibile e a distanza. Pertanto, un numero sempre maggiore di dati viene archiviato su tablet e smartphone. Questi dispositivi sono potenti quanto i computer desktop e, poiché sono mobili e quindi escono dal perimetro di sicurezza dell'ufficio o di casa, necessitano di una protezione maggiore. Tuttavia, in molte aziende la maggior parte degli endpoint mobili non è ancora protetta da minacce come phishing, malware ed exploit su sistemi operativi mobili, un fattore che li rende uno dei principali rischi per la sicurezza informatica.
Come le aziende possono proteggere i dispositivi mobili
Attiva la protezione tramite password: utilizza PIN o password complessi per impedire al criminale medio di accedere al dispositivo mobile. Molti prodotti ora includono l'impronta digitale o il riconoscimento facciale per bloccare il dispositivo, riducendo la necessità di ricorrere alle password. Queste funzionalità non sono sempre abilitate per impostazione predefinita, quindi controlla che siano state attivate dall'utente.
Assicurati che i dispositivi smarriti o rubati possano essere rintracciati, bloccati o cancellati: se un dispositivo viene smarrito o rubato, dovresti essere in grado non solo di rintracciarlo ma anche di eliminare da remoto tutto il suo contenuto. I passcode possono scoraggiare i ladri nel breve periodo, ma poter cancellare tutte le informazioni preziose dal dispositivo prima che i malintenzionati abbiano la possibilità di accedervi elimina ogni rischio. Assicurati sempre che questa funzione sia abilitata su ogni dispositivo mobile utilizzato dai dipendenti.
Esegui il backup dei dati: così come si esegue regolarmente il backup dei dati del computer, è buona norma eseguire il backup dei dati nei dispositivi mobili dell'azienda. Se un dispositivo viene smarrito o rubato, è rassicurante sapere che i dati sono al sicuro altrove e possono essere ripristinati.
Mantieni aggiornati dispositivi e app: assicurati di disporre delle ultime versioni di software e app per beneficiare delle ultime patch di sicurezza.
Crea un criterio di sicurezza mobile: prima che un dipendente inizi a lavorare da un dispositivo mobile, definisci un criterio di utilizzo accettabile in linea con le normative legali. Avere una guida su cosa fare in caso di smarrimento o furto di un dispositivo consentirà al personale di reagire tempestivamente. Chiedi ai dipendenti di leggere e firmare una copia del criterio prima che inizino a utilizzare un dispositivo mobile a scopi lavorativi per confermare di essere consapevoli dei rischi e delle modalità di protezione.
Cripta sempre i dati: è essenziale abilitare il criptaggio sui telefoni cellulari aziendali. Il criptaggio dei dispositivi mobili funziona convertendo i dati contenuti nel telefono in un formato illeggibile. Analogamente alla protezione tramite password per i telefoni, gli utenti devono immettere il PIN o la password di criptaggio per decriptare i dati. Gli smartphone moderni in genere sono dotati di un livello di protezione e criptaggio con password, sebbene alcuni siano più sicuri di altri. Ad esempio, su Android, quando crei il passcode ti viene proposto di attivare anche il criptaggio. Abilita il criptaggio su tutti i dispositivi fisici e supportalo con software di criptaggio dei dati, ove necessario.
Rischio per la sicurezza informatica aziendale n. 5: l'errore umano
Secondo uno studio del 2021 di IBM, l'errore umano rappresenta il 95% delle violazioni della sicurezza informatica. In altre parole, le azioni non intenzionali, o il mancato intervento, lasciano spazio alle violazioni. Spesso si tratta di semplici errori, come fare clic su allegati sospetti, visitare siti Web ingannevoli o utilizzare password vulnerabili o la stessa password per più account. È quindi evidente la sovrapposizione con altri rischi delineati in questo articolo, in cui l'errore umano è spesso il filo conduttore. In sostanza, i criminali informatici fanno leva sulla debolezza umana.
Come le aziende possono proteggersi dall'errore umano
Fornisci formazione: la maggior parte degli errori umani dipende dal fatto che i dipendenti non conoscono i rischi. Puoi ridurre l'errore umano con un'efficace formazione sulla consapevolezza della sicurezza informatica, inclusi i rischi dell'ingegneria sociale. L'obiettivo è aumentare la consapevolezza delle minacce per la sicurezza informatica aziendale in modo da instaurare comportamenti IT adeguati. La formazione del personale, una regolare newsletter via e-mail o intranet o i corsi di introduzione al lavoro sono tutti strumenti utili.
Riduci il carico di password: sebbene sia essenziale un solido criterio per le password, il modo migliore per ridurre l'errore umano è innanzitutto ridurre il numero delle password. Lo si può fare utilizzando i gestori di password, aggiungendo l'autenticazione a più fattori per aumentare la sicurezza, e passando a dispositivi con autenticazione biometrica come l'identificazione tramite impronta digitale.
Le piccole imprese possono essere particolarmente vulnerabili ai rischi per la sicurezza online
Le piccole e medie imprese possono essere particolarmente vulnerabili alle minacce per la sicurezza informatica. Ecco le motivazioni:
- Spesso ritengono di non poter essere prese di mira e quindi risultano impreparate.
- Potrebbero avere sistemi obsoleti o essere prive di protocolli di sicurezza e formazione, risultando quindi più esposte alle minacce.
- È meno probabile che dispongano di estesi team IT dedicati in grado di rimanere al passo con i rischi per la sicurezza IT e i problemi di sicurezza dei siti Web.
Valuta il rischio per la sicurezza informatica dell'azienda
Per valutare le principali minacce per la sicurezza informatica aziendale, inizia eseguendo una valutazione dei sistemi di sicurezza in uso. Crea un inventario delle risorse, incluso tutto il software e l'hardware. Genera un elenco dei siti di archiviazione dei dati e di chi vi ha accesso. Mantieni queste informazioni al sicuro e limita chi può visualizzarle. Esegui una valutazione degli attuali sistemi di sicurezza per scoprire dove potrebbero essere presenti vulnerabilità. Una valutazione del rischio aziendale ti aiuterà a proteggere l'azienda.
Oltre ai suggerimenti delineati in questo articolo, altre due pratiche di sicurezza informatica da seguire sono:
- Stila un piano di difesa: preparati alle emergenze. Per essere in grado di proteggere al meglio l'azienda, i dipendenti e i clienti in caso di attacco, metti in atto un piano che descriva nel dettaglio cosa farai nell'eventualità peggiore.
- Mantieniti informato sulle più recenti minacce informatiche per le aziende: conoscere le ultime minacce per la sicurezza informatica man mano che si evolvono ti aiuterà a rimanere sempre al passo e a proteggerti nel migliore dei modi.
Infine, la sicurezza degli endpoint è un aspetto cruciale della gestione delle minacce per la sicurezza informatica aziendale. Per endpoint si intende qualsiasi dispositivo connesso alla rete, inclusi laptop, desktop, smartphone, stampanti, server e così via. La sicurezza degli endpoint è il processo di protezione degli endpoint aziendali dalle minacce dei crimini informatici. Il software per la sicurezza degli endpoint basato sul cloud è ideale per le piccole e medie imprese poiché richiede meno risorse interne da gestire e un minore impegno iniziale, ma ha il vantaggio di garantire il monitoraggio continuo degli endpoint da qualsiasi luogo.
Leggi di più sulle soluzioni di sicurezza degli endpoint di Kaspersky qui.
Kaspersky Endpoint Security ha ricevuto tre premi AV-TEST per le migliori prestazioni, protezione e usabilità come prodotto per la sicurezza degli endpoint aziendali nel 2021. In tutti i test Kaspersky Endpoint Security ha mostrato prestazioni, protezione e usabilità eccezionali per le aziende.
Articoli e link correlati:
- Cosa sono l'IoT e la sicurezza IoT
- Threat intelligence
- Cos'è l'Advanced Persistent Threat, segnali di una APT
- Che cos'è la sicurezza per endpoint?
Prodotti correlati:
