Gli attacchi hacker nelle aziende di varie dimensioni sono aumentati almeno del 50% negli ultimi cinque anni. Qual è il livello di cultura della cybersecurity nelle province del Nord Italia in cui lavorate?
Nelle piccole e medie aziende è molto basso e, anche per questo, la nostra Academy si adopera a diffondere e a promuovere la cultura della cybersecurity attraverso corsi di formazione e webinar per il personale, dai CEO ai manager e dagli impiegati agli operai. Purtroppo, molti piccoli imprenditori credono ancora che la cosa peggiore che possa succedere in caso di attacco hacker sia quella di prendersi un virus e dover riformattare un computer. Non si rendono conto che a correre i rischi maggiori sono proprio le PMI, che gli hacker scelgono come bersagli privilegiati perché sanno che, prima di tutto, spendono mediamente meno delle grandi aziende per l’aggiornamento di hardware e software, ed è noto che gli strumenti obsoleti sono molto più vulnerabili; poi sanno che le PMI spesso non dispongono di personale specializzato in questo campo, quindi non controllano periodicamente il livello di sicurezza dei loro sistemi informatici, non dispongono degli strumenti necessari per effettuare un’efficace verifica di sicurezza e raramente hanno sistemi di backup e di disaster recovery attivi; e questo le rende più vulnerabili ai ricatti.
Quali sono i rischi che corrono le aziende che non controllano la loro sicurezza informatica, ovvero che cosa può accadere a un’azienda vulnerabile agli attacchi?
Un hacker, oltre a venire a conoscenza di dati sensibili e di informazioni scambiate dall’azienda con clienti, fornitori e stakeholder, può, per esempio, modificare un Iban in una email diretta all’amministrazione per dirottare un pagamento sul proprio conto oppure può intercettare password di home banking o avere accesso ai sistemi di backup per cancellarli. O, ancora, può rendere inutilizzabile qualsiasi dispositivo connesso alla rete informatica aziendale: stampanti, termostati intelligenti, smartphone, sistemi di videoconferenza, persino citofoni digitali e dispositivi per il backup, se non sono ben protetti. Ma sono a rischio anche i macchinari e gli impianti di produzione, perché la maggior parte di essi utilizzano software e sistemi ben conosciuti e quindi “bucabili”, se non aggiornati. Un attacco informatico è in grado di bloccare completamente l’operatività e, una volta avvenuto, se l’azienda non ha fatto i backup secondo le linee guida del GDPR (Regolamento Generale sulla Protezione dei Dati, entrato in vigore nel 2018), l’unico modo per ripartire è pagare il riscatto in criptovaluta e sperare che l’hacker rispetti gli accordi. Cosa che accade soltanto quattro volte su dieci. Le altre sei continua a chiedere ulteriori somme, finché l’azienda non è più in grado di pagare. Non solo, trattandosi di criminali, una volta ottenuti i dati, possono metterli in vendita nel dark web. E, infine, siccome la legge impone di rendere pubblico ogni hackeraggio subito e di informare tutte le persone coinvolte, l’azienda ne riceve un danno d’immagine e può essere resa oggetto di potenziali cause per danni da parte dei clienti.
Nelle grandi aziende, invece, anche se la cultura della cybersecurity non è ancora ai livelli ottimali, in[1]cominciano a essere più sensibili, anche perché alcune di esse devono ottemperare a direttive come la NIS2 (Network and Information Security 2), che mira a rafforzare la sicurezza informatica degli Stati membri, innalzando il livello di resilienza digitale delle infrastrutture critiche e dei servizi essenziali. La NIS2 amplia il campo di applicazione della precedente direttiva NIS, introducendo requisiti più stringenti in termini di gestione del rischio, segnalazione degli incidenti e responsabilità aziendale. In pratica, soprattutto le aziende di settori essenziali come i trasporti, la sanità e l’informatica, devono dimostrare che stanno facendo tutto ciò che è in loro potere per proteggere i propri dati, per rilevare le vulnerabilità dell’azienda e per eliminarle, quindi sono obbligate a fare formazione sulla cybersecurity a tutti i loro dipendenti.
Oltre alla formazione, quali sono i servizi che offrite alle aziende?
Ci sono due livelli di protezione: quello proattivo e quello attivo. Il proattivo, che svolgiamo come Scudata, fornisce tutto ciò che occorre per impedire agli hacker di entrare. Non dimentichiamo che un hacker prende possesso di un’azienda e riesce a sottrarre dati soltanto sfruttando le sue vulnerabilità. Se l’azienda non ha vulnerabilità, l’hacker non può fare nulla. Quindi Scudata, oltre a organizzare ed erogare i corsi di formazione per i dipendenti di aziende di varie dimensioni, agisce per trovare tutte le vulnerabilità ed eliminarle.
Mettere in sicurezza la propria impresa può richiedere molto tempo e molto denaro. Risorse che, come dicevamo, non sempre abbondano nelle PMI. Per questo abbiamo sviluppato una soluzione su misura per le piccole e medie imprese. Sfruttando i decenni di esperienza del nostro team, abbiamo realizzato e brevettato un sistema in grado di assistere i tecnici nel mettere e nel mantenere in sicurezza i sistemi informatici di cui si occupano in azienda. È una consolle proprietaria ospitata in cloud, dove i nostri clienti si collegano, verificano tutte le loro vulnerabilità e vanno a toglierle in modo molto semplice e veloce, in tempo reale. Tutti i nostri competitor, dopo l’assesment, forniscono ai clienti report in pdf di decine e decine di pagine, mentre noi abbiamo capito che un report così lungo è illeggibile e un tecnico impiega settimane prima di riuscire a metterne in pratica i risultati. Invece, collegandosi alla nostra consolle, gli basta cliccare con il mouse per eliminare tutte le vulnerabilità che rappresentano insidie devastanti.
Allora, possiamo dire che Scudata fornisce uno “scudo dei dati” intelligente ed economico alle piccole e medie imprese, che sono il 95% del nostro tessuto industriale. Inoltre, il vostro è un contributo importante per rendere user friendly una tecnologia il cui apprendimento spesso incontra resistenze…
Certo, il nostro non è il classico servizio in cui un consulente arriva in azienda e svolge il suo compito in modo automatico, facendo soltanto ciò che gli è stato chiesto. Noi abbiamo una vocazione differente: promuovere la cultura della sicurezza informatica. E se chi deve occuparsene è costretto a leggere decine di pagine di report tende a rimandare il proprio intervento, men[1]tre intanto il grado di vulnerabilità aumenta e la sicurezza diminuisce.
Un altro capitolo che si potrebbe aprire, a proposito delle resistenze verso le azioni essenziali alla sicurezza, è quello delle password, che spesso diventano invece proprio le chiavi con cui gli hacker aprono le casseforti dei nostri dati. Per essere sicure, le password devono seguire alcuni criteri essenziali, soprattutto devono avere l’autenticazione a due fattori e l’autenticazione tramite passkey, in modo che il dispositivo in uso verifichi sempre la nostra identità tramite l’autenticazione biometrica o il blocco schermo e si colleghi al servizio senza bisogno di digitare una password. Le password biometriche si aprono solo se il dispositivo riconosce il volto o l’impronta digitale dell’utente, e presto l’impronta digitale sarà l’unica password utilizzata per qualsiasi operazione, dai bonifici online ai pagamenti e al check-in in aeroporto.
Un’altra cosa che si tende a rimandare è l’aggiornamento software, ma lei prima sottolineava che gli strumenti obsoleti sono più vulnerabili. In che senso?
L’aggiornamento di ciascun software, oltre a migliorare il software stesso con evoluzioni delle sue funzionalità, va a coprire tanti bug di sicurezza che sono stati identificati nel corso degli ultimi mesi. Per cui ogni volta che completiamo un aggiornamento di Windows, per esempio, certamente i programmi vengono migliorati, ma la parte più cospicua dell’attività di aggiornamento, se andiamo a vedere le specifiche, consiste nel mettere le patch di sicurezza al sistema operativo, quindi nel coprire buchi di sicurezza che sono stati identificati nel corso degli ultimi mesi, identificati e già sfruttati. Questo vale per ciascun software che abbiamo installato nel computer, ma anche nello smartphone: quando lo aggiorniamo, tante volte vediamo che non cambia nulla, ma perché quell’aggiornamento riguarda soltanto la sicurezza.
E quali sono le azioni che si possono mettere in moto quando l’attacco è già avvenuto?
L’unica cosa da fare è partire dai backup, sperando che siano stati fatti bene. Se si fanno i backup in modo corretto, abbiamo quasi la garanzia che si salvi una copia e quindi siamo abbastanza certi che l’azienda possa ripartire. Senza il backup, purtroppo un’azienda è costretta a chiudere, perché non si riesce a ricostruire nulla. Si profilano scenari da thriller. Chissà quanto materiale e quanti aneddoti ha raccolto nella sua ultratrentennale esperienza. Potrebbe scrivere un libro… In realtà, l’ho appena scritto e pubblicato con il titolo L’anello debole, che poi è l’essere umano. Il 90% degli attacchi che ho visto nella mia vita sono dovuti a qualche azione dell’essere umano: c’è sempre qualcuno che clicca un link in una mail o che fa qualche operazione sbagliata all’interno dell’azienda, anche solo inserire una chiavetta Usb che ha trovato in fiera oppure con le foto che ha scaricato dal computer del figlio – che magari non ha neanche un antivirus gratuito –, perché in azienda può stamparle a colori. Ci sono aziende che investono cifre incredibili in hardware sofisticati e in antivirus con i controlli automatici H24, poi però non spendono nulla in formazione del personale. E, allora, è come montare in casa la porta blindata e l’allarme e poi uscire lasciando la porta spalancata. Il libro si trova su Amazon a questo link https://amzn.eu/d/33LiMkm e ritengo che sia un ottimo strumento di formazione a tutto il personale di una azienda, ma anche a livello privato.