Una ricerca promossa da Proofpoint dimostra come per il 94% dei CISO italiani è il fattore umano a rendere più vulnerabili le aziende.
Proofpoint, azienda specializzata nella cybersecurity e nella compliance, ha pubblicato una ricerca dedicata al rapporto delle aziende italiane con la cybersecurity, focalizzata sulla protezione di persone e dati. Realizzata in collaborazione con The Cybersecurity Digital Club, la ricerca ha mostrato una delle principali peroccupazioni dei CISO riguardo la sicurezza aziendale.
Dipendenti negligenti o malintenzionati, il rischio non cambia
Secondo i CISO, sono molti i modi in cui i dipendenti possono rendere più vulnerabile l’azienda, dalla tendenza a cliccare su link pericolosi (80%) all’ utilizzo in modo incontrollato di dispositivi USB (65%), scaricare allegati e file da fonti sconosciute (57%) e condividere informazioni personali con fonti esterne (57%).
Non c’è per forza dolo, in molti casi il rischio nasce da una scarsa attenzione generale alla sicurezza, con il 47% dei dipendenti che condivide le credenziali del proprio account e il 39% permette l’utilizzo di dispositivi aziendali a familiari e amici. La scarsa attenzione alla sicurezza costringe le aziende a pagare un tributo importante: tra le organizzazioni che ammettono di aver subito un cyberattacco, in quasi due terzi dei casi la responsabilità è stata di insider negligenti o criminali.
L’impatto registrato dalle organizzazioni colpite è stato significativo, andando anche oltre la semplice perdita finanziaria, comunque riportata dal 38% dei CISO. Il 50%, è il danno alla reputazione in seguito ad una violazione, mentre il 25% vi è stata la perdita di dati critici per l’azienda.
Crescono le iniziative di formazione, ma restano troppe le organizzazioni scoperte
I CISO italiani stanno provvedendo riguardo il rischio legato al fattore umano, con la maggioranza che ha applicato i protocolli per combattere le minacce. In particolare, iniziative mirate a identificare minacce basate sull’email vengono intraprese dalla quasi totalità delle aziende (96%). Altre misure adottate includono formazione sulla gestione delle password (88%) e sulle best practice di sicurezza (80%). Solo il 4% dei CISO ammette di non avere un programma di formazione continua sulla sicurezza informatica.
In termini di sicurezza complessiva, il 65% dei CISO ha adottato tecnologie dedicate per controllare e gestire le minacce interne, mentre il 33% ha predisposto un piano di risposta al cosiddetto insider risk. Sebbene questi dati siano ampiamente positivi, un terzo delle organizzazioni italiane rimane senza strumenti specifici per le minacce interne e un quinto esatto (20%) senza alcuna forma di protocollo specifico.
Insime al fattore umano, anche la visibilità e l’accesso alle informazioni sensibili sono fonte di preoccupazione. Sebbene sia certamente positivo che oltre due terzi (71%) dei CISO dichiarino di compartimentare questo tipo di dati e di limitarne l’accesso a determinati dipendenti, le buone notizie finiscono qui. Meno della metà dei CISO (43%) monitora regolarmente l’accesso ai dati da parte degli utenti, mentre circa un quarto (24%) non ha una buona visibilità dei luoghi in cui vengono archiviati.
Lavoro ibrido e piattaforme cloud impattano sulla sicurezza
L’adozione del lavoro ibrido e l’utilizzo di piattaforme cloud, accelerato dall’impatto della pandemia degli ultimi due anni, ha peggiorato la situazione a livello di sicurezza. In questo modo la visibilità dei CISO è ridotta su chi accede ai dati e da dove, secondo il 22% degli intervistati.
Sempre più spesso i cybecriminali puntano sulle persone per farsi aprire la porta dell’azienda, con un clic o un download incauto. I CISO italiani ne sono evidentemente consapevoli, identificando correttamente i rischi elevati per le persone e formando gli utenti sulle minacce più pericolose e prevalenti. Detto questo, la strada da percorrere è ancora lunga.
Nonostante l’aumento del rischio di perdita di dati, il report mostra che solo il 43% dei CISO italiani possiedono un agent di Data Loss Prevention. Il 14% addirittura ammette di non avere alcun tipo di protocollo o tecnologia preventiva dalla perdita di dati.
“I dati non si perdono da soli, sono le persone a perderli. Vengono rubati da un aggressore tramite credenziali compromesse, inoltrati a una terza parte non autorizzata o rubati da un dipendente malintenzionato .“, afferma Emiliano Massa, Area Vice President della regione Southern Europe di Proofpoint. “Oggi è più importante difendere i dati aziendali, proteggendo le persone che li trattano regolarmente, con processi di formazione e misure tecniche adeguate“.
