MASSIMIZZARE LA PROTEZIONE DEI PROPRI SISTEMI IT
Vulnerability Assessment e Penetration Test possono bastare per implementare una corretta ed efficace strategia di Cyber Security? Sicuramente sono fondamentali ma l’approccio Human Centric è la nuova frontiera su cui investire per massimizzare la protezione dei propri sistemi IT.
Abbiamo già affrontato il tema del Patch Management, fondamentale per mantenere i propri sistemi aggiornati, evitando le minacce derivate da bug non fixati.
Altri due strumenti specifici in ambito Cyber Security sono Penetration Test e Vulnerability Assessment, attività che hanno anch’esse lo scopo di aumentare il livello di sicurezza della propria infrastruttura.
L’obiettivo di un Vulnerability Assessment è quello di individuare appunto le eventuali vulnerabilità dei sistemi. Vengono utilizzati strumenti di scansione specifici, che rilevano ogni criticità; in seguito viene redatta una valutazione da parte di esperti certificati, che indicano strumenti e azioni più adatte e necessarie per mettere in sicurezza le falle rilevate.
In uno scenario sempre più “remotizzato”, nel quale non tutte le risorse si trovano nello stesso luogo, è molto elevato il rischio che alcune vulnerabilità non vengano previste.
È molto importante considerare tutte le componenti (applicazioni cloud, IOT, dispositivi legacy ad esempio) che, secondo le ultime stime, spesso non vengono prese in esame in fase di valutazione. Tutte queste componenti hanno allargato il concetto di “perimetro” portandolo ben al di fuori delle mura aziendali.
Infine, è da considerarsi quantomeno altrettanto importante comprendere, in fase di analisi, le policy e le procedure all’interno dell’azienda, come ad esempio accessi degli utenti a documenti e servizi.
Per Penetration Test, invece, si intende la simulazione di un attacco reale da parte di etical hacker professionisti, ingaggiati da un’azienda, con lo scopo di “bucare” i propri sistemi e rilevarne le falle.
Sebbene sia importante definire le modalità di questa attività, molto spesso si tende a non limitarle arrivando a simulare anche attacchi fisici come l’effrazione di locali specifici nel building aziendale.
In una strategia di Cyber Security è però fondamentale considerare anche e soprattutto il “fattore umano”.
Attacchi basati su tecniche di ingegneria sociale, quali e-mail di phishing mandate a dipendenti dell’azienda o che richiedano informazioni (Es. credenziali) per garantirsi un accesso ai sistemi informatici, sono andate intensificandosi per tutto il 2020, evidenziando come per le aziende la formazione dei dipendenti in ambito sicurezza sia imprescindibile (siamo tutti a conoscenza del rischio derivato da milioni di utenti collegati da remoto con il rischio esponenziale di attacchi informatici e richieste di riscatto, pena la perdita dei dati).
Diventa quindi strategico investire in corsi mirati a rendere consapevoli gli utenti della loro fondamentale importanza e responsabilità in termini di sicurezza.
Investire nell’ambito della sicurezza IT è strategico e vitale per tutti:
- In termini normativi, per soddisfare i requisiti richiesti dal GDPR
- In termini di reputation in relazione agli stakeholder aziendali
- In termini di business continuity
Vuoi saperne di più?