Mi occupo di sicurezza informatica da più di 15 anni, sembra ieri ma era il 2004 quando nella nostra cittadina organizzammo l’SPD Security and Privacy Day, una giornata dedicata interamente a far conoscere l’importanza di temi quali sicurezza e protezione dei dati e, come allora, l’approccio verso queste tematiche non è poi molto cambiato.
Intendiamoci, non voglio dire che non sia cambiato proprio nulla, anzi! C’è stata sicuramente una maggiore sensibilizzazione e consapevolezza da parte di tutti riguardo la salvaguardia della privacy ma alcuni aspetti sono rimasti sostanzialmente invariati. Ecco perché in questa mia breve riflessione voglio concentrarmi su alcuni miti da sfatare che riguardano la cybersecurity.
1.Esiste il prodotto che risolverà tutti i problemi!
Quando mi ritrovo a parlare di cyber security tutti, in generale, vorrebbero che bastasse un prodotto che in autonomia riduca i rischi, contrasti le minacce e li faccia sentire sicuri. Questo non è possibile. E non lo è soprattutto perché quando si parla di sicurezza informatica e di sistemi di sicurezza è doveroso pensare non soltanto ai mezzi ma anche a tutti quei sistemi e procedure che possono ridurre le vulnerabilità. La sicurezza completa la si ottiene solo se si adottano gli strumenti ma anche e soprattutto i servizi e le procedure corretti, non si può parlare di sicurezza senza tener conto del fattore umano!
2. Le grandi aziende o enti sono i reali bersagli.
In questi anni abbiamo assistito ad attacchi informatici che avevano come obiettivo grandi aziende o importanti enti, questo però non vuol dire che le persone “comuni” o le PMI siano esenti, anzi. I media naturalmente portano alle luci della ribalta i casi più eclatanti (ad esempio regione Lazio in Italia) ma la realtà è che ogni soggetto connesso alla rete può subire tentativi di attacco ed è potenzialmente esposto a rischi.
3.I software o i servizi recenti sono sicuramente più sicuri.
Anche in questo caso possiamo dire che sicuramente le software house e i provider di servizi ogni giorno lavorano per rendere più sicuri i propri prodotti, ma senza una vera cultura alla sicurezza degli utenti le nuove funzionalità potrebbero avere l’effetto opposto ed aumentare la probabile superficie di attacco, un esempio: spesso gli utenti utilizzano password deboli, se queste venissero utilizzate per i più moderni servizi cloud l’esposizione alla minaccia aumenterebbe vertiginosamente.
4.La sicurezza costa.
Sicuramente i sistemi di sicurezza, il monitoraggio e la formazione hanno un prezzo, ma questi investimenti sono infinitamente più bassi di quanto non costi un fermo produttivo o semplicemente la perdita dei propri dati. Un’attenta analisi dei rischi è il solo modo per determinare quali costi bisognerebbe affrontare al verificarsi di evento negativo ma tenendo anche conto del fattore tempo (nelle PMI possono volerci fino a 9 mesi solo per identificare un attacco ed un ulteriore altro mese per la regolare ripresa di tutte le attività) gli investimenti in cybersecurity sono presto giustificati.
5.Serve un team interno per fare tutto questo.
Escluse le grandi organizzazioni chi può realmente permettersi un team composto da figure altamente specializzate in networking e in cybersecurity che controlli sistemi 24h su 24h, si occupi di identificare i rischi e pianificare le azioni tecniche, procedurali e formative? La sicurezza può essere organizzata anche in outsourcing per cogliere il massimo delle competenze, definire i giusti ambiti di responsabilità ed essere accessibile.