Sicurezza informatica: cybersecurity e ISO 27001

Iniziamo con un’affermazione del presidente della Commissione Europea Jean – Claude Juncker – nel discorso sullo stato dell’Unione del 13 settembre 2017: “la cybersecurity è la seconda emergenza in Europa, dopo il cambiamento climatico e prima dell’immigrazione”.

Ai tempi non si poteva certo prevedere l’emergenza sanitaria del 2020, ma la frase mantiene ancora una verità fondamentale: è indispensabile rendersi conto che l’attuale gestione dei dati e dei sistemi informatici ha delle carenze spaventose dal punto di vista della sicurezza e questo deve preoccupare ognuno di noi perché può portare a gravi danni a livello sociale ed economico.

A partire dal 2018, con l’entrata in vigore del GDPR, è stato fatto un importante passo avanti nel definire in maniera più precise le direttive da seguire in ambito di sicurezza informatica e di protezione dei dati personali.

In maniera più ampia possiamo dire che, fortunatamente, si sta creando sempre più attenzione verso tutti gli aspetti legati alla cybersecurity.

 

Cosa intendiamo quando parliamo di cybersecurity?

Secondo la direttiva NIS (Sicurezza Informazioni e Reti), la cybersecurity è:

“La capacità di una rete e dei sistemi informativi di resistere a un determinato livello di sicurezza, a ogni azione che comprometta la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati conservati, trasmessi o trattati e dei relativi servizi offerti o accessibili tramite tale rete o sistemi informativi”

Ti starai chiedendo da dove iniziare per prevenire il pericolo digitale?

Essere consapevoli dei rischi è il primo passo. Conoscere le regole e i pericoli della rete è fondamentale per dare avvio a un progetto di cybersecurity.

 

I pericoli digitali

Negli anni lo sviluppo e la frequenza della rete internet sono cambiati: navighiamo online sia per esigenze personali che professionali. Alcuni lo fanno purtroppo con scopi non leciti. Motivo per cui, ogni giorno, assistiamo a un incremento degli attacchi compiuti da hacker a livello mondiale.

Secondo il rapporto Clusit– Associazione Italiana per la Sicurezza Informatica – è stato dimostrato come la pandemia abbia fortemente – e in vario modo – caratterizzato gli attacchi informatici in questi mesi: il tema “Covid-19” è infatti stato utilizzato tra febbraio e giugno per perpetrare 119 attacchi gravi, ovvero il 14% degli attacchi complessivamente noti.

Una credenza comune “errata” fa pensare che gli hacker informatici siano interessati unicamente a dati importanti, quali numeri di carta di credito oppure credenziali di accesso a un’area riservata. Spesso invece anche solo un indirizzo e-mail può ritenersi fonte di business.

Nel 2019, per esempio, sono state rubate 1,4 milioni di utenze a Libero e Virgilio. Il cybecriminale identificato è uno studente di 24 anni di Milano che grazie a una rete Wi-Fi non protetta è riuscito ad accedere alle banche dati.  Il ragazzo è stato scoperto dai carabinieri solo al secondo tentativo ed era già riuscito a spedire un pacchetto di credenziali al committente, con cui comunicava via Telegram e da cui era pagato in bitcoin.

Esistono delle vere e proprie tariffe di acquisto di database di accessi a indirizzi mail di privati che vengono proposti nel mercato del deepweb con “interessanti” economie di scala sui volumi acquistati.

 

L’incremento dei cyberattacchi: alcune cause

L’avvento di Internet e della tecnologia ha certamente favorito uno sviluppo delle soluzioni Aziendali ma ha anche incrementato il perimetro di attacco di esse.

Alcuni strumenti e facility entrate a par parte della nostra quotidianità possono rappresentare grandi opportunità ma senza consapevolezza possono divenire fonti di minacce:

• Il Cloud: Tantissimi strumenti e dati sono stati delocalizzati. L’avvento del Cloud ha consolidato una realtà oggi molto diffusa: i nostri dati sono fisicamente su strumenti di altri. Proprio per questo è importante sapere dove sono localizzati server e spazi remoti.
• Device connessi in rete: La fornitura ai dipendenti di smartphone, tablet e notebook aziendale, che si connettono a diverse reti, anche non protette, costituendo un rischio per la sicurezza dei dati aziendali.
• Internet of things e industria 4.0. Tra il 2016 e il 2017 sono stati investititi oltre 80 milioni di euro in sistemi automatizzati ed interconnessi. La nostra vita è piena di dispositivi, app, tecnologie e connessioni da remoto. E se fosse proprio il robot da cucina a fare da porta di accesso agli hacker? Gli hacker possono modificare gli algoritmi.

 

I concetti di resistenza e resilienza

La tecnologia e i sempre più frequenti attacchi cibernetici mirati alla violazione dei sistemi informativi pubblici e privati evidenziano la crescente necessità di dotarsi di strumenti di mitigazione del rischio di compromissione dell’integrità, disponibilità e riservatezza dei dati.

Tutte le misure adottate sono da ritenersi efficaci fino a quando gli hacker non trovano nuove modalità di accesso.

Nella definizione di Cybersecurity vengono introdotti due termini fondamentali per comprendere la sicurezza delle informazioni in rete: resistenza e resilienza.

• Con resistenza intendiamo la capacità reale di resistere ad un attacco. È infatti possibile essere consapevoli di una minaccia, ma non riuscire ad individuare la soluzione oppure farlo in maniera non totalmente efficacie.
• Con resilienza intendiamo la capacità di un’organizzazione di sopravvivere e reagire a un attacco terroristico di tipo tradizionale o cyber e in tale contesto tale concetto appare quasi sinonimo di quello di continuità operativa.

In questa logica si innesta la diffusione della cultura della Business Resilience intesa quale continuità operativa protesa a fronteggiare le probabili avversità a sistemi e processi conseguenti ed eventi accidentali e/o intenzionali.

 

La business continuity

Con il concetto di Business Continuity si intende la capacità di mantenere funzionanti i propri processi di business, i servizi, i sistemi e anche il capitale umano, malgrado il manifestarsi di situazioni naturali o intenzionali umane avverse, pur ammettendo performances differenti rispetto la normale operatività.

Un buon progetto di business continuity poggia le sue basi su un’analisi completa e corretta dei rischi. La necessità è quella di tracciare una mappa dei punti deboli attraverso attività di penetration test. Si tratta di veri e propri tentativi di accesso ai sistemi volti a identificare le vulnerabilità di una rete informatica penetration test ha dunque un ruolo indispensabile: consente di conoscere e intervenire sui punti deboli del sistema, prima che comportino un ingente perdita di dati.

 

Come mantenere la continuità operativa

Quando parliamo di sicurezza informatica parliamo di un concetto che porta in sé nozioni di analisi, verifica, proceduralizzazione, monitoraggio, miglioramento continuo…. Tutti concetti che conducono l’attenzione sulla norma UNI EN ISO 27001 -2013.

La ISO 27001 è la norma che specifica i requisiti per stabilire, attuare, mantenere e migliorare in modo continuo un sistema di gestione per la sicurezza delle informazioni nel contesto di un’organizzazione.

 

Obiettivi della ISO 27001

Gli obiettivi principali che si pone la norma sono:

• Mappare i punti deboli del sistema puntando a ridurre i rischi
• Ridurre la probabilità che si verifichino eventi negativi
• Ridurre il danno qualora gli eventi negativi si verifichino
• Imparare dall’esperienza – propria e altrui – e migliorare attraverso l’introduzione di procedure prassi aggiornate
• Puntare sulla formazione e sulla competenza per ridurre l’errore umano e aumentare la consapevolezza

Un buon progetto di certificazione rappresenta un percorso tracciato da seguire per puntare alla gestione in sicurezza dei dati.

La rete internet e la gestione delle informazioni, nel corso di pochissimi anni, sono cambiate.

Ignorare questo concetto è molto rischioso: dobbiamo adattarci all’evoluzione rapidissima che c’è stata e che è tutt’ora in corso, implementando misure di sicurezza idonee al progresso che mettano in sicurezza il più possibile i nostri dati.

Contattaci senza impegno per una consulenza personalizzata!