Credere che la propria azienda sia immune da possibili attacchi informatici è un’ingenuità molto pericolosa nei confronti della sicurezza dei partner, fornitori, dipendenti e clienti. Ma vediamo insieme cosa succede quando la nostra azienda cade vittima di un attacco di questo tipo.
Le tre istanze del dato informatico
Partiamo con la comprensione delle proprietà del dato informatico; questo per essere “sicuro” ha bisogno di rispondere positivamente a tre istanze:
- Integrità: si tratta di un dato inviolato? Ovvero, bisogna valutare se il dato che possediamo sia mantenuto nella sua forma e con le sue caratteristiche iniziali e questo è possibile solo se possiamo controllare i permessi per una sua eventuale modifica.
- Accessibilità: per ogni informazione ci sono delle persone che possiedono l’autorizzazione a fruirne, quando a queste persone viene tolta, in maniera coatta e illecita, questa possibilità allora abbiamo un problema.
- Riservatezza: prevede la verifica della riservatezza del dato. Basta chiedersi se le nostre informazioni siano giustamente riservate solo a coloro abbiano il permesso.
Quando uno di questi punti viene messo in discussione da un’attività esterna, allora abbiamo subìto un attacco informatico.
Alcune tipologie di attacco informatico
Chiaramente non si può immaginare il panorama completo delle infinite truffe che si possono inventare, ma basandoci soprattutto sulle metodologie standard degli attacchi è possibile mantenere un controllo capillare sulle possibili “vie di accesso” dei criminali.
Phishing, attacchi Ddos e data breach
Il phishing è forse la tecnica più utilizzata e si basa sull’appropriazione indebita dell’identità digitale di qualcuno all’interno dell’azienda. I criminali riescono ad appropriarsi delle credenziali di qualcuno attraverso delle mail ingannevoli che inducono gli utenti a fornire le loro credenziali, ad esempio facendoli accedere ad un sito che simula un sistema aziendale, o fingendosi un collega che ha un’urgenza, attivando così un processo di escalation che li porta a ottenere numeri di carte di credito e accessi a conti bancari.
Può anche capitare che il mal intenzionato riesca in qualche modo a servirsi delle vulnerabilità di un software per penetrare nei repository in cui sono custodite le informazioni. A quel punto sarà sufficiente prendere in ostaggio questi dati e impedirne l’accesso all’azienda in cambio di un copioso riscatto che, anche a fronte di un pagamento, non garantirebbe il reintegro dei dati. Si tratterebbe infatti di dati che potrebbero essere stati manomessi o peggio, copiati.
Esistono anche gli attacchi Ddos (Distributed denial of service) che consistono nel rendere indisponibile uno o più servizi IT, bloccando di fatto l’esecuzione dei processi. Un qualsiasi malintenzionato piuttosto capace potrebbe entrare nel nostro sistema grazie all’utilizzo di spyware e malware per violare l’integrità del nostro dato. A quel punto siamo in presenza di quel che si chiama, tecnicamente: data breach.
Per valutare la situazione attuale e il rischio di data breach all’interno della propria azienda alpenite mette a disposizione un panorama di soluzioni possibili per innalzare i muri di protezione necessari.
Cyber risk assessment
In questa fase i nostri esperti di sicurezza faranno un controllo per vedere quali dati sono più a rischio e in che modo potrebbe impattare una violazione. In poche parole, viene considerata l’ipotesi che alcuni dati – chiaramente i più esposti – vengano attaccati e si valuta una lista concreta di possibili conseguenze. Da questo si inizia quindi a pensare a eventuali contromisure.
Penetration test
In questa fase, invece, si fa letteralmente il lavoro degli hacker provando a manomettere il sistema in tutti i modi possibili e immaginabili per evidenziare eventuali falle o debolezze. Questo passaggio prevede sette momenti:
Raccolta informazioni
Scansione della rete
Enumerazione delle vulnerabilità
Analisi delle vulnerabilità
Accesso al sistema
Mantenimento dell’accesso al sistema
Reportistica
Analisi della user awareness
A questo punto è importante sondare la consapevolezza degli utenti, per capire quanto questi siano attenti e sensibili al problema e quanto conoscano eventuali tecniche di prevenzione. Questa fase è possibile gestirla attraverso questionari, campagne di spam fittizio per valutarne le reazioni, ma anche attraverso la gamification (un approccio leggero, ludico e interattivo).
Formazione aziendale
E in fine viene fornita all’azienda l’arma più potente in assoluto contro i data breach: l’informazione. Il personale viene coinvolto in una serie di workshop dove conoscerà da vicino i pericoli correlati alla violazione di dati e gli verranno fornite le competenze necessarie per contenere eventuali comportamenti a rischio.
