Sicurezza informatica: le regole per proteggere i dati aziendali - ITmanager.space
Pubblicato: 23 Settembre 2020  -  Ultimo aggiornamento: 23 Settembre 2020

Sicurezza informatica: le regole per proteggere i dati aziendali

La sicurezza informatica è l’imperativo di ogni impresa, di qualsiasi dimensione essa sia e in qualsiasi settore essa operi.

In base ai dati dell’Osservatorio Information Security & Privacy 2020 del Politecnico di Milano, il valore del mercato italiano della sicurezza informatica si è avvicinato a 1,3 miliardi di euro, registrando un +11% rispetto all’anno precedente, a significare un’attenzione più puntuale al tema della security e una consapevolezza più forte circa le sue problematiche.

Ma, sempre a proposito di numeri, il CLUSIT Associazione Italiana per la Sicurezza Informatica, nel suo Rapporto 2020, ci parla di 1.670 attacchi gravi andati a buon fine in Italia, nel 2019, contro i 1.552 del 2018 (+7%) e i 1.127 del 2017, puntualizzando che, dal 2014 al 2019, la crescita è stata del 91,2%. Si investe di più in sicurezza informatica, ma il cybercrime non sta a guardare. Che fare?

La guardia non va abbassata e le azioni devono essere costanti e metodiche, perché la sicurezza è un insieme di tessere e non un’attività isolata da svolgersi di tanto in tanto.

È un processo continuo, scandito da procedure diverse ma consequenziali che, dall’analisi e valutazione dei rischi, conducono alla stesura del piano di sicurezza e alla strategia che guiderà l’organizzazione e la gestione di tutti gli aspetti, compresi quelli tecnici e quelli relativi al management e al business dell’azienda.

Sicurezza informatica: si parte dall’analisi e dalla valutazione dei rischi

Iniziamo col dire che i rischi ai quali sono esposti i dati aziendali sono legati essenzialmente all’azione umana e rimandano a due tipologie di minacce: quelle intenzionali – provenienti dall’interno dell’azienda (da ex dipendenti, dipendenti particolarmente scontenti o mossi da intenzioni malevole) oppure dall’esterno – e quelle involontarie, cioè dettate da distrazione o inesperienza.

Proteggere il sistema informativo dell’azienda da tali minacce, significa, nei fatti, impedire l’accesso non autorizzato ai suoi dati, impedire la loro manomissione, il loro utilizzo fraudolento e il furto.

Fasi del Risk Management
Nella sicurezza informatica una delle azioni più importante riguarda l’analisi e la valutazione dei rischi

E, per fare questo, serve una strategia, un piano di sicurezza che deve necessariamente fondarsi su regolari analisi e valutazioni dei rischi (da ripetere con scadenze regolari), il cui obiettivo è individuare tutti i potenziali pericoli per i dati e i sistemi informativi dell’azienda.

La prassi che guida l’analisi e la valutazione dei rischi impone di esaminare tutti i tipi di pericoli, sia digitali che fisici.

Si individuano innanzitutto i beni materiali dell’azienda, i suoi beni immateriali (i dati e le informazioni), le risorse umane e le risorse tecnologiche. Quindi, per ognuno di questi si analizzano le vulnerabilità e, per ciascuna vulnerabilità, si evidenziano le possibili minacce.

E, contro ogni minaccia, si studiano le soluzioni e le contromisure più idonee, considerando il miglior rapporto costo/benefici.

Solo dopo questo iter si procede alla loro implementazione e al successivo test di collaudo per valutarne affidabilità ed efficacia.

Insieme all’audit di sicurezza – oppure in alternanza – è possibile attuare anche ilpenetration test”, valutazione della sicurezza del sistema informatico che opera all’esterno della rete, simulando un vero e proprio attacco hacker.

Quali sono gli strumenti per proteggere i dati aziendali?

Di soluzioni e di contromisure da adottare per proteggere i dati aziendali da possibili attacchi e minacce, il mercato ne offre diverse.

Solo per citarne alcune, ricordiamo i firewall, strumenti hardware e software il cui scopo è proteggere un segmento della rete dal traffico potenzialmente dannoso proveniente dalla rete esterna, ad esempio Internet.

Sono in grado di ripartire la rete in tre zone, secondo tre diversi livelli di sicurezza: una zona costituita dalla rete esterna, da cui proviene il traffico dannoso; una zona costituita da quella parte di rete interna che non necessita di esporre servizi all’esterno e, infine, una zona corrispondente a quella parte di rete che ha bisogno di essere raggiungibile dalla rete esterna e che, per questo motivo, il firewall isola.

L’Intrusion Detection System (IDS) è, invece, uno strumento che rileva eventuali manipolazioni a un determinato sistema o rete, tra cui tentativi di sniffing – intercettazione passiva dei dati che transitano sulla rete – o attacchi DoS (Denial of Service), per mezzo dei quali vengono fatte esaurire le risorse di un dato sistema, fino a renderlo non più in grado di erogare il servizio.

Diagramma Intrusion Detection System
Diagramma che spiega il funzionamento degli Intrusion Detection System, sistemi di sicurezza informatica specifici per prevenire intrusioni

Esistono IDS passivi, che analizzano e fanno report, e IDS attivi che, invece, una volta individuata l’anomalia, sono in grado di mettere in atto contromisure concrete.

Un altro strumento ancora è l’honeypot (dall’inglese “barattolo di miele”), il quale fa riferimento a sistemi – hardware o software – adoperati per intercettare (o attrarre) tentativi di accesso o di attacchi, con l’obiettivo di confinare il pirata informatico in una sorta di trappola, naturalmente a sua insaputa.

All’interno delle aziende, tutti questi strumenti di sicurezza informatica vengono, ormai, sempre più spesso affiancati a soluzioni di intelligenza artificiale e di machine learning, che consentono di rilevare e bloccare non solo le minacce esterne sconosciute, ma anche quelle interne alle aziende stesse, sempre più spesso causa di perdite ingenti per le imprese.

Il sistema di sicurezza informatica ideale, oggi, si caratterizza per questa integrazione tra strumenti classici e algoritmi di AI, da declinarsi a seconda delle specifiche esigenze di protezione e del grado di rischio proprio di ogni singola struttura aziendale. Perché non esiste una “sicurezza standard”.

Le buone azioni da compiere per garantire la sicurezza informatica

Una buona strategia di sicurezza è fatta, sì, di mezzi concreti, strumenti e dispositivi, ma anche di azioni routinarie. Vediamone alcune.

Innanzitutto – lo ripetiamo – l’analisi e la valutazione dei rischi vanno eseguite periodicamente, con tempistiche stabilite, e non lasciate al caso.

Detto questo, una delle misure di rilievo – e la più semplice – per la sicurezza informatica prevede di installare software di protezione affidabili e di eseguire scansioni regolari. In particolare, è raccomandabile investire in software antivirus e antimalware: il CLUSIT avverte che gli attacchi hacker più diffusi in Italia sono riconducibili proprio ai malware, con una percentuale del 44%.

Inoltre, programmare la formazione dei dipendenti, affinché il personale sia consapevole dell’importanza della salvaguardia di tutto il processo relativo al trattamento dei dati personali. Il GDPR – General Data Protection Regulation, entrato in vigore il 25 maggio 2018, è molto chiaro su questo punto.

E le statiche ci dicono che i problemi di sicurezza IT più comuni – e dannosi – sono dovuti proprio a errori umani da parte dei dipendenti, tra cui la perdita o il furto della chiavetta USB o del portatile contenente informazioni sensibili relative all’attività aziendale.

Sempre riguardo al personale, è bene, poi, stilare un elenco di coloro che hanno accesso ai dati sensibili e ridurre al minimo i privilegi, concedendo le credenziali di accesso solo ai dati di cui ogni risorsa ha davvero bisogno per la propria attività lavorativa.

Infine, eseguire un regolare backup dei dati più sensibili. Pratica – questa – spesso trascurata, eppure, nella sua elementarità, sempre efficace all’interno di ogni politica di sicurezza aziendale.

Tag: