Malware | 10 step per proteggere la tua azienda da ospiti indesiderati

Un tuo dipendente apre una email e clicca su un link che gli appare con una presunta promozione. Oppure introduce una sua chiavetta USB nel computer aziendale per scaricare un Power Point che non ha terminato in ufficio. Sono azioni che possono capitare quotidianamente e creare danni economici a cui fai poi fatica a porre rimedio. Gli attacchi informatici alle aziende sono all’ordine del giorno e i dati in possesso parlano di cifre che diventano difficili da gestire. Secondo un’analisi del Garante della Privacy sarebbero 9 miliardi di euro i danni complessivi nel 2016 per le imprese italiane, attribuibili a malware o alle altre forme di virus che infettano i sistemi. Lo stesso studio dimostra che solo il 20% delle aziende farebbe degli investimenti adeguati.

Negli altri Paesi

Allargando lo sguardo ad altri Paesi la situazione non cambia di molto. In America, secondo la Global Survey, lo scorso anno le perdite del cosiddetto cyber risk ammontano a 450 miliardi di dollari, una cifra mostruosa se rapportata alla risposta del settore assicurativo che ha messo a disposizione solo 2,5 miliardi per riparare i danni. Insomma, come sempre “prevenire è meglio che curare” e sono tante le iniziative e campagne di sensibilizzazione che spingono gli imprenditori a creare delle strutture di protezione. Tra queste c’è quella del CESG, acronimo di Communication-Electronics Security Group, società che lavora in seno al governo inglese per garantire la sicurezza e la protezione dei dati nazionali. CESG ha stilato un documento che vi riportiamo con i 10 passi che le aziende dovrebbero fare per mettersi sulla strada della “cyber security”. Analizziamoli uno ad uno.

1. La creazione di uno “scudo”

Non c’è sicurezza in azienda senza una politica capace di coinvolgere tutti, dal management ai dipendenti. Informazioni, corsi formativi, test continui, sono le basi sulle quali deve fondarsi una struttura che deve, “come uno scudo”, lavorare per limitare o eliminare del tutto i rischi.

2. La sicurezza della tua rete

Prima di iniziare una buona strategia di difesa, CESG consiglia di definire, innanzitutto, il perimetro della rete da proteggere. E poi imparare come a gestirlo nel modo più efficace. Come? Per esempio, filtrando gli accessi a database e dati sensibili, e prestando la più alta attenzione nei confronti di informazioni pericolose o sospette. Questa fase può essere realizzata solo sottoponendo “il perimetro” a continue attività di verifica e di test.

3. La protezione dai malware

Il malware è quello che veniva definito comunemente virus per computer, il termine viene da una crasi tra due termini, malicious e software. Dopo aver definito il perimetro bisogna individuare i pericoli all’interno di ognuna delle attività dell’azienda. Questa fase è dedicata all’individuazione dei malware e alla creazione di strategie difensive, che poi vedremo nei prossimi punti.

4. Il controllo

Una vecchia pubblicità di Pirelli diceva “non c’è potenza senza controllo”. Il “controllo” è tutto, specie quando si ha a che fare con malware sempre più sofisticati. Il terzo step della strategia di CESG, si fonda sulle attività di controllo necessaria per monitorare il perimetro della rete. In questa fase, risulta necessaria analizzare tutti gli ingressi nei sistemi (i “logs”) e segnalare le attività sospette che potrebbero essere foriere di un attacco.

5. Formazione dei dipendenti

Secondo il Security Report 2016, ogni quattro secondi un dipendente “tira giù” un malware. Sono proprio i collaboratori la minaccia maggiore all’ingresso di virus nei sistemi informatici. Per questo diviene fondamentale offrire loro dei corsi di formazione per renderli consapevoli della gravità degli attacchi informatici e insegnarli come prevenirli.

6. I pericoli del “lavoro a casa”

Sono diverse le aziende che consentono ai loro dipendenti di lavorare da casa. Tuttavia, anche in questo caso le informazioni e  i dati possono essere minacciati. Per evitarlo CESG consiglia di formare il team ad usare i loro dispositivi a casa in modo sicuro, e salvaguardare così sia i dati in transito che quelli memorizzati.

7. L’importanza di uno standard

I software per la sicurezza informatica vanno continuamente migliorati e ottimizzati. Oltre a questo CESG consiglia alle aziende di scegliere degli standard per la sicurezza e configurare con questi tutti i dispositivi ITC presenti in azienda.

8. La minaccia nei supporti removibili

Come già detto all’inizio di quest’articolo, una delle minacce può essere rappresentata dai supporti removibili che dipendenti o manager utilizzano per conservare o trasferire informazioni. Questi potrebbero essere il “Cavallo di Troia” dei malware nei sistemi informatici aziendali. Per questo occorre controllarli e limitarne l’uso.

9. Attenzione agli utenti con privilegi

Spesso in azienda ci sono account “privilegiati” per l’accesso alle informazioni e ai dati di amministratori e manager. Anche qui possono esserci delle minacce tanto che CESG suggerisce di limitare gli “account privilegiati” e di controllare gli accessi per verificare che non diventino una “porta” per “ospiti indesiderati”.

10. Test per essere preparati

Come ultimo step, CESG consiglia di fare test per abituare manager e dipendenti ad avere una risposta efficace nel caso malaugurato che un malware riuscisse a penetrare nel sistema. In quel caso sfruttare ogni minuto e non cadere nel panico può limitare di molto i danni.