Una delle principali preoccupazioni delle aziende è la protezione dalle minacce digitali. E anche adottando una serie di misure, applicazioni e soluzioni innovative per prevenire intrusioni e furti di dati, la questione non dipende solo dalle tecnologie avanzate, ma anche dal comportamento umano. Lo afferma l'esperto di sicurezza informatica Leonardo Baiardi di dataRain, che sottolinea come il 74% degli attacchi informatici sia causato da fattori umani. Il dirigente sottolinea come un'adeguata formazione dei dipendenti possa essere essenziale per una strategia di sicurezza efficace.
Baiardi ritiene che l'essere umano sia l'anello debole nella gestione dei rischi informatici in ambito aziendale. "Tutti in azienda devono comprendere di essere responsabili della sicurezza dei dati, e questo si ottiene solo attraverso la formazione, la responsabilizzazione e la comunicazione tra i reparti. Tutti devono essere consapevoli dei rischi a cui sono esposti".
Il parere dell'esperto integra quanto emerso dal Rapporto sui Fattori Umani 2023 di Proofpoint, che evidenzia il ruolo significativo dei fattori umani nelle vulnerabilità di sicurezza. Lo studio rivela un aumento di dodici volte del volume degli attacchi di social engineering tramite dispositivi mobili, un tipo di attacco che inizia con messaggi apparentemente innocui, generando relazioni. Questo accade, secondo Baiardi, perché il comportamento umano può essere manipolato. "Come ha affermato il leggendario hacker Kevin Mitnick, la mente umana è la risorsa più facile da hackerare. Dopotutto, gli esseri umani possiedono uno strato emotivo altamente suscettibile alle influenze esterne, che può portare ad azioni avventate come cliccare su link dannosi o condividere informazioni sensibili", afferma.
Tra le minacce più frequentemente registrate nel rapporto rientrano anche i kit di phishing progettati per eludere l'autenticazione a più fattori (MFA) e gli attacchi basati sul cloud, che colpiscono ogni mese circa il 94% degli utenti.
Errori più comuni
Tra gli errori più comuni che portano a violazioni della sicurezza, Baiardi elenca: non verificare l'autenticità delle e-mail; lasciare i computer sbloccati; utilizzare reti Wi-Fi pubbliche per accedere alle informazioni aziendali; e ritardare gli aggiornamenti software.
"Questi comportamenti possono aprire le porte a intrusioni e compromissione dei dati", spiega. Per evitare di cadere nella trappola, l'esperto raccomanda di evitare di cliccare su link sospetti. Pertanto, suggerisce di controllare il mittente, il dominio dell'email e l'urgenza del messaggio. "Se persistono dubbi, un consiglio è quello di lasciare il puntatore del mouse sul link senza cliccarci sopra, in modo da visualizzare l'URL completo. Se sembra sospetto, probabilmente è dannoso", consiglia.
Phishing
Il phishing è una delle più grandi minacce informatiche e utilizza la posta elettronica aziendale come vettore di attacco. Per proteggersi, Baiardi suggerisce un approccio a più livelli: sensibilizzazione e formazione dei dipendenti, oltre a solide misure tecniche.
Mantenere aggiornati software e sistemi operativi è fondamentale per ridurre le vulnerabilità. "Nuove vulnerabilità emergono ogni giorno. Il modo più semplice per ridurre i rischi è mantenere i sistemi aggiornati. Negli ambienti mission-critical, dove non sono possibili aggiornamenti costanti, è necessaria una strategia più solida".
Fornisce un esempio concreto di come una formazione efficace contribuisca a prevenire gli attacchi. "Dopo aver implementato simulazioni e formazione sul phishing, abbiamo osservato un aumento significativo delle segnalazioni di tentativi di phishing da parte dei dipendenti, a dimostrazione di un senso critico più affinato di fronte alle minacce".
Per misurare l'efficacia della formazione, Baiardi suggerisce di definire un ambito chiaro e di condurre simulazioni periodiche con parametri predefiniti. "È necessario misurare la quantità e la qualità delle risposte dei dipendenti alle potenziali minacce".
Il dirigente cita un rapporto della società di formazione sulla sicurezza informatica Knowbe4, che mostra come il Brasile sia rimasto indietro rispetto a paesi come Colombia, Cile, Ecuador e Perù. L'indagine del 2024 evidenzia il problema della scarsa comprensione da parte dei dipendenti dell'importanza della sicurezza informatica, ma non del funzionamento e dell'operatività delle minacce. Pertanto, sottolinea l'importanza della cultura organizzativa nella promozione di pratiche sicure: "Senza un programma di cultura della sicurezza informatica ben implementato, è impossibile misurare il livello di maturità di un'azienda in questo ambito".
Lo specialista è anche responsabile della gestione delle offerte di sicurezza informatica promosse da dataRain, che fornisce soluzioni solide e di rapida implementazione come sicurezza della posta elettronica, valutazioni di conformità e vulnerabilità, sicurezza degli endpoint e governance del cloud. "La sicurezza informatica è una sfida continua e le persone sono fondamentali per garantire la protezione delle informazioni e l'integrità dei sistemi. Investire in formazione e consapevolezza significa investire nella sicurezza dell'intera organizzazione. E tutte le nostre soluzioni sono accompagnate dal trasferimento di conoscenze, che ci consente di aumentare la consapevolezza del cliente sulle minacce", conclude.
