Sicurezza

Cyber Igiene

come mettere in ordine la tua "cyber-igiene"

Secondo uno studio, il 60% dei professionisti IT ha dichiarato che la propria organizzazione ha subito almeno una grave violazione della sicurezza negli ultimi due anni. Mentre quel numero è allarmante, non è sorprendente, considerando che le aziende sono sottoposte a un'infinita raffica di attacchi, con una media di circa un tentativo ogni 39 secondi. Sebbene la stragrande maggioranza non ce la faccia, quelli che lo fanno possono avere un costo eccezionalmente elevato, che dovrebbe superare in media $ 150 milioni e potrebbe costare alle aziende più di $ 2 trilioni cumulativamente solo quest'anno.

Trucchi di cyber-igiene

Ma tutte queste spese sono persino necessarie? Un nuovo studio mostra che le pratiche di cyber-igiene sono gravemente carenti in molte organizzazioni, il che significa che investire nell'ultimo e più grande prodotto o servizio di sicurezza potrebbe essere uno spreco di denaro completo.

Per quanto odio essere portatore di cattive notizie, ci sono buone probabilità che tu possa buttare i soldi nella fogna ignorando queste quattro aree critiche di cyber-igiene:

1. Addestramento: dal livello di conoscenza in giù

Il fattore umano è noto per essere l'anello più debole della sicurezza, con circa il 95% delle violazioni attribuibili all'errore umano, principalmente attraverso il phishing e l'ingegneria sociale. E, in un recente studio, "The Software Arms Race: The Struggle to Support the Modern Business", il 30% dei professionisti della sicurezza IT ha dichiarato che la mancanza di consapevolezza della sicurezza informatica a livello di conoscenza è la principale causa di violazioni. Piuttosto che trattare i tuoi dipendenti come una responsabilità, rendili la soluzione attraverso una solida formazione che li consenta di essere la tua prima linea di difesa.

2. Consapevolezza globale

Una cosa è dire alle persone cosa fare o cosa non fare. Il vero impatto si verifica quando puoi aiutarli a capire perché tali regole sono in atto. Ma, in molte organizzazioni, la confusione è un problema: oltre la metà degli intervistati nello studio "Ottenere la casa in ordine" ha affermato che la confusione dei dipendenti sui protocolli provoca violazioni della sicurezza. Abbracciare la sicurezza informatica come parte della cultura della tua azienda è un must assoluto. Non puoi semplicemente stabilire la legge e dire: "Fallo o verrai licenziato".

Aiutare i dipendenti a capire che fanno parte del team di sicurezza, un collegamento fondamentale nella difesa, possono renderli più investiti e più vigili e impedire loro di sentire che le regole di sicurezza sono un'impedenza per svolgere il proprio lavoro. Ad esempio, sapevi che i tuoi dipendenti potrebbero mettere a rischio la tua organizzazione attraverso il loro uso sui social media, anche se accade fuori dalla proprietà, nel loro tempo libero? Ciò è particolarmente vero con LinkedIn, in cui i tuoi addetti alla sicurezza indicano che fanno parte del team di sicurezza IT. Identificarsi come tali può renderli un obiettivo di alto valore per gli hacker, che possono tentare di connettersi in modo professionale e comportarsi come un "amico" in un hack di ingegneria sociale. Instillare la consapevolezza globale di questi rischi nascosti può amplificare sostanzialmente la sicurezza.

3. Aggiornamenti e patch di sicurezza

Lo studio ha anche scoperto che oltre la metà dei professionisti della sicurezza IT afferma che il software senza patch è la principale causa di violazioni all'interno delle proprie organizzazioni. E non sono soli. Le vulnerabilità note e senza patch sono state il punto di accesso per molti degli attacchi più recenti e più dannosi della storia. Mantenere aggiornato il sistema operativo e il software di terze parti su centinaia o migliaia di PC è un compito gigantesco, reso ancora più difficile nell'era odierna di portare il proprio dispositivo, lavoro remoto e frequenti viaggi del personale. Per non parlare del fatto che non è raro che i dipendenti scarichino e utilizzino il proprio software, di cui l'IT è completamente inconsapevole. L'intero scenario rende le patch e gli aggiornamenti estremamente difficili e dispendiosi in termini di tempo: ci vuole tempo per configurare, distribuire e testare ogni patch e ci sono molte patch da gestire. Ci sono due modi per combattere questo: 1) Assemblare un team dedicato la cui missione è occuparsi di patch e upgrade. Ciò consente loro di dedicare le risorse e il tempo necessari per le funzioni critiche, senza tuttavia allontanarsi da altre attività di sicurezza e / o operazioni. Potresti anche considerare di incentivare questi team a rispettare determinate metriche, come ad esempio il mantenimento di una percentuale specifica di macchine con patch o l'applicazione di patch entro un determinato periodo. 2) Offrire loro gli strumenti di cui hanno bisogno per portare a termine il lavoro. L'applicazione manuale di patch a migliaia di macchine sarebbe impossibile, anche per un team dedicato, e circa il 45% dei team Ops afferma che gli strumenti automatizzati migliorerebbero la loro capacità di supportare la sicurezza quando si tratta di patching. L'implementazione di soluzioni per automatizzare il monitoraggio del sistema, le query e l'implementazione delle patch può darti un enorme vantaggio nel respingere i criminali informatici e nel bloccare le vulnerabilità note.

4. Politica di "fiducia zero"

In passato, una volta che un dipendente aveva effettuato l'accesso al proprio sistema, egli poteva fidarsi di tutto. Sfortunatamente, nel panorama cyber dinamico di oggi quel fattore di fiducia non può più essere attendibile. Le credenziali possono essere trafugate in un istante. I laptop sono lasciati aperti e non garantiti. In effetti, la gestione delle identità è ampiamente riconosciuta come uno dei maggiori rischi per la sicurezza aziendale. Le aziende devono implementare requisiti di autenticazione obbligatori in tutta l'organizzazione e in ogni fase. Mentre questo potrebbe sembrare un ostacolo alla produttività per i dipendenti, l'alternativa è molto peggio. In caso di violazione, i tempi di inattività e la perdita di produttività rappresentano i maggiori costi per l'organizzazione. Semplicemente non puoi permetterti di non implementare solide procedure di autenticazione.

Mentre queste quattro aree tattiche sono fondamentali per rafforzare la cyber-igiene, l'implementazione di una strategia integrata che riunisce le operazioni IT e la sicurezza IT e che lavora verso gli stessi obiettivi deve essere parte della soluzione. In oltre un terzo delle organizzazioni, la mancanza di comprensione tra Ops e Security è una delle principali sfide per raggiungere gli obiettivi di sicurezza, secondo il sondaggio. Dobbiamo semplicemente far lavorare questi due verso gli stessi obiettivi per il bene più grande dell'organizzazione. Creando una relazione simbiotica, lavorando insieme in tandem per rafforzare la sicurezza fin dall'inizio, i team di sicurezza e operazioni IT possono evitare il puntamento del dito e "fermare e aspettare" che spesso ostacolano le implementazioni, i rimedi e una posizione di sicurezza coerente. Dopotutto, la tecnologia è forte solo quanto le persone dietro di essa. Attirare tutti a bordo può far sì che quegli investimenti in software e soluzioni generino un ROI molto più giustificabile.