Che cosa sono i data at rest

Uno sforzo di consapevolezza è il primo fondamentale esercizio in cui è opportuno cimentarsi per riconoscere le soluzioni vincenti in termini di sicurezza. Si tratta, dunque, di capire che cosa sono i data at rest, vale a dire i dati che, dopo che sono stati generati o comunque elaborati, vengono immagazzinati all’interno di sistemi di archiviazione o su dispositivi che hanno lo stesso scopo. Tali dati possono, dunque, trovare posto in un servizio di cloud storage, su un server dedicato, su una memoria flash o su un disco rigido. Anche se non sono in movimento, i data at rest sono caratterizzati da un alto livello di vulnerabilità rispetto a furti, manomissioni e accessi non autorizzati.

La crittografia per i data at rest

Una delle soluzioni su cui si può fare affidamento per proteggere in maniera ottimale i data at rest va individuata nella crittografia, per mezzo della quale tutti i dati sono frammentati in blocchi per poi essere archiviati in condizioni di sicurezza. Le chiavi di crittografia possono anche essere personalizzate e configurate su misura: un accorgimento che vale la pena di adottare, per esempio, per i data at rest che vengono ritenuti più vulnerabili, e che pertanto devono risultare accessibili unicamente agli utenti che dispongono di una autorizzazione diretta.

Che cosa sono i data in transit

Come si è accennato, i data in transit sono dati in movimento, vale a dire che vengono trasferiti tramite Internet, reti pubbliche o reti locali. Tali spostamenti fra dispositivi fanno sì che i dati che ne sono coinvolti risultino molto vulnerabili a episodi di manomissioni o di intercettazioni che si possono verificare nel corso del processo di trasferimento. Anche in questo caso la crittografia è un’eccellente strategia di protezione, in virtù di protocolli di sicurezza come il TLS e l’SSL che generano tunnel di trasmissione garantendo la massima sicurezza dei trasferimenti dei dati.

La protezione dei dati

Sia i dati a riposo, che sono immobili, sia i dati in transito, che viaggiano, necessitano di particolari accortezze per la loro protezione, fermo restando che le minacce a cui vanno incontro sono diverse. Tutti i dati, a prescindere dalla loro staticità o dal loro essere in movimento, costituiscono un vero e proprio tesoro per le imprese che ne dispongono: ecco spiegata la ragione per la quale subiscono senza soluzione di continuità attacchi dalle conseguenze potenzialmente pericolose, quali la diffusione di malware, i ricatti e i furti di identità. Con il passare degli anni il mondo della Rete deve fare i conti con un incremento delle minacce derivanti da software dannosi, ransomware e hacker con intenzioni criminali. In tale scenario, diventa fondamentale per le aziende riuscire a contrastare gli accessi non autorizzati ai dati sensibili e alle informazioni personali.

I dati in uso

Oltre ai data at rest e ai dati in transit conviene menzionare una terza tipologia di dati: i data in use, cioè in uso. Si tratta di dati che non possono essere considerati né a riposo né in trasmissione, come avviene quando un brano musicale conservato sulla scheda SD di un telefono è riprodotto per mezzo di una app media player. I dati in uso sono, in sostanza, quelli che vengono caricati sulla memoria di un device per poter essere letti da applicazioni che sono attive su quel sistema. Anche in questo caso, è necessario attivarsi per impedire gli attacchi che si possono verificare, scongiurando per quanto possibile la vulnerabilità della sicurezza.

Strategie integrate per una sicurezza a 360°

Oltre alla crittografia, sistema prezioso a cui abbiamo già fatto cenno, per garantire la sicurezza dei dati è inevitabile provvedere al controllo degli accessi fisici e assicurare l’integrità degli hardware in cui i dati sono conservati. In termini di riservatezza, è auspicabile riuscire a prevenire qualunque tipologia di accesso ai dati, così come le elaborazioni non autorizzate degli stessi. Il concetto di separation of duties e quello di separation of concerns, traducibili rispettivamente come separazione delle attività e separazione degli ambiti, rappresentano le vie di accesso da sfruttare lungo il percorso che conduce a un incremento dei livelli di sicurezza.

Ma quando i tuoi dati finiscono nelle mani di terze parti, non sai mai come potrebbero essere gestiti da loro o dalle persone che lavorano per loro. E il più delle volte, i tuoi dati finiscono in mano ad un broker di dati, che molto probabilmente li venderà a chiunque li paghi.

È qui che Mozilla ha introdotto, al momento solo negli USA, una nuova offerta chiamata Mozilla Monitor Plus che mira a fornire agli utenti uno strumento a pagamento per rimuovere facilmente le informazioni personali dai siti di broker di dati.

Mozilla Monitor Plus: cosa aspettarsi?

Basandosi sullo strumento Mozilla Monitor esistente (precedentemente noto come Firefox Monitor), Mozilla offre ora un nuovo livello Plus per completarlo con funzionalità aggiuntive.

Oltre a cercare dove i tuoi dati personali potrebbero essere stati esposti, con Mozilla Monitor Plus ora puoi impostare Mozilla Monitor per rimuovere automaticamente le tue informazioni personali. Non solo da un paio di fonti, da oltre 190 siti di broker di dati che Mozilla afferma essere “il doppio degli altri concorrenti”.

Come mostrato nella demo ufficiale, Mozilla Monitor Plus è stato integrato direttamente nella dashboard esistente di Mozilla Monitor, con alcune nuove opzioni.

Alcuni punti salienti di Mozilla Monitor Plus includono:

• Monitoraggio continuo
• Rimozione automatica dei dati
• Oltre 190 broker di dati

La parte interessante è che Mozilla Monitor e molti dei suoi concorrenti utilizzano il database di Have I been Pwned per verificare eventuali violazioni della sicurezza.

Tuttavia, questo servizio a valore aggiunto è un’ottima scelta per coloro che desiderano avere un intermediario per gestire la cancellazione dei propri dati personali attraverso un’ampia gamma di broker di dati.

Esistono altri servizi che forniscono funzionalità simili, come Privacy Bee e Incogni, e Mozilla è ora entrata in quello spazio con il suo nuovo prodotto.

Al momento del lancio, il Product Manager di Mozilla Monitor, Tony Amaral-Cinotto, ha aggiunto quanto segue:

Quando abbiamo lanciato Monitor, il nostro obiettivo era aiutare le persone a scoprire dove le loro informazioni personali potrebbero essere state esposte. Ora, con Monitor Plus, aiuteremo le persone a riprendersi i dati esposti dai siti di broker di dati che stanno cercando di venderli.

Purtroppo, in questo momento, Mozilla Monitor Plus viene offerto solo negli Stati Uniti e altri in tutto il mondo dovranno aspettare. Non ci sono informazioni circa la data in cui intendono lanciarlo a livello globale.

Chi risiede negli Stati Uniti può visitare il sito Web ufficiale per iniziare con Mozilla Monitor Plus.

Il prezzo per Mozilla Monitor Plus negli USA è pari a $ 107,88 per il piano annuale, che costa $ 8,99 al mese con un risparmio del 35% rispetto al piano mensile che costa $ 13,99.

Tieni presente che al momento del pagamento verranno addebitate tasse e commissioni aggiuntive che porteranno il piano annuale a $ 118,99 e il piano mensile a $ 15,43.

Uno strumento come questo è essenziale al giorno d’oggi, in cui i dati personali di una persona vengono venduti per pochi centesimi, aprendo potenzialmente la porta a danni che potrebbero facilmente causare danni reali.

Per saperne di più su questo strumento di Mozilla, puoi fare riferimento all’annuncio ufficiale (in inglese) sul blog Mozilla.

La migliore difesa contro gli attacchi informatici non sono le soluzioni tecnologiche di sicurezza informatica, ma il rafforzamento dell’elemento umano.

Il rapporto sulle indagini sulla violazione dei dati di Business 2022 di Verizon ha rivelato che l’elemento umano continua a guidare le violazioni, rappresentando l’82% di tutti gli attacchi. E gli attacchi stanno diventando più aggressivi, con i ransomware che salgono del 13% in 24 mesi, un’impennata superiore a quella degli ultimi cinque anni messi insieme.

“Mentre continuiamo ad accelerare verso un mondo sempre più digitalizzato, soluzioni tecnologiche efficaci, solide strutture di sicurezza e una maggiore attenzione all’istruzione faranno la loro parte nel garantire che le aziende rimangano sicure e i clienti protetti”, ha affermato Hans Vestberg, CEO e presidente di Verizon.

Il rapporto di Verizon espone il costo dell’influenza umana: “Le persone rimangono, di gran lunga, l’anello più debole nelle difese della sicurezza informatica di un’organizzazione“, afferma l’azienda.

Il divario conoscenza-intenzione-comportamento

“Solo perché i membri del tuo team sono consapevoli di qualcosa non significa che gli importerà”

Il divario conoscenza-intenzione-comportamento spiega perché le violazioni continuano ad aumentare nonostante gli investimenti che le aziende fanno nella creazione di forti programmi di sensibilizzazione alla sicurezza informatica per tutti i lavoratori.

I lavoratori possono essere consapevoli delle minacce e dei rischi, di come lavorano e di cosa devono fare per evitarli, ma non riescono comunque a intraprendere le azioni necessarie per mantenere l’azienda al sicuro.

Per invertire questa situazione, le aziende devono colmare il divario tra conoscenza e intenzione per incoraggiare comportamenti corretti tra i propri dipendenti. Ciò richiede un approccio con cui il settore della sicurezza informatica altamente tecnica deve lottare: lavorare con la natura umana.

Lavorare con la natura umana

Programmi di sicurezza informatica efficaci funzionano con la natura umana perché le organizzazioni di criminali informatici sono diventate esperte nel manipolarla. I leader potrebbero chiedersi perché, se i loro dipendenti sono informati, si stanno innamorando di tutti i tipi di truffe e campagne di phishing?

La risposta non ha nulla a che fare con quanto siano intelligenti i dipendenti. Le tecniche di maggior successo per violare un sistema non dipendono da malware sofisticati ma da come manipolano le emozioni umane. Gli aggressori sfruttano la naturale curiosità, impulsività, ambizione ed empatia.

Un altro metodo è la vecchia tecnica di marketing di offrire cose gratuitamente. Le campagne pubblicitarie clickbait possono essere incredibilmente efficaci e per i criminali informatici sono gateway per scaricare malware e ransomware. Prometteranno denaro, opportunità di investimento o solo un autolavaggio gratuito, sapendo che è molto difficile per gli esseri umani resistere a un’offerta apparentemente innocua e allettante.

Un’altra tendenza in aumento manipola l’empatia umana. Nel 2020, l’FBI ha avvertito dell’emergere di schemi di frode relativi al COVID-19 e, nel maggio 2022, l’Internet Crime Complaint Center IC3 dell’FBI ha avvertito che i truffatori si spacciavano per entità ucraine che richiedevano donazioni. I criminali non si fermeranno davanti a nulla e useranno le crisi umanitarie o gli eventi post-disastri naturali per fabbricare attacchi di ingegneria sociale.

I criminali informatici stanno anche creando attacchi altamente personalizzati utilizzando le informazioni dei dipendenti che ottengono attraverso i social media e i siti online. Inoltre, sapendo che un datore di lavoro risponde a un manager, alle risorse umane o al CEO di un’azienda, farà leva su quella relazione e impersonerà le persone autorevoli all’interno dell’organizzazione. Una delle truffe pià diffuse si basa sull’invio di messaggi falsi dal CEO con istruzioni per trasferire fondi a un conto di un fornitore fasullo o ingannare i dipendenti in altri schemi fraudolenti di compromissione delle e-mail aziendali.

Comunicazione, comportamento e gestione della cultura

Le aziende dovrebbero fornire una formazione continua sulla sicurezza per i propri dipendenti in tre aree:

• Comunicazione
• Comportamento
• Gestione della cultura

Ecco i punti chiave che i leader possono utilizzare per creare lezioni per ogni sezione.

Lezioni di comunicazione

• Comprendi il tuo pubblico e ciò che apprezza.
• Cattura l’attenzione delle persone e connettiti con le emozioni: rendi i tuoi messaggi avvincenti. Non limitarti a condividere fatti, ma usa storie ed esempi per connetterti.
• Avere un chiaro invito all’azione: dì ai tuoi team, in particolare, cosa devono fare.

Lezioni di comportamento

• Riconosci il divario conoscenza-intenzione-comportamento come una realtà che influenza qualsiasi comportamento che speri di incoraggiare o scoraggiare. I membri del tuo team potrebbero avere le conoscenze di cui hanno bisogno e le migliori intenzioni, ma il tuo obiettivo è in definitiva avere un impatto sui loro comportamenti.
• Le persone non sono razionali. Dobbiamo aiutarli con suggerimenti, strumenti e processi che rendano i comportamenti più facili e sembrino più naturali.
• Posizionare gli strumenti e la formazione il più vicino possibile al punto del comportamento.

Lezioni di gestione della cultura

• Comprendi la tua cultura così com’è attualmente utilizzando sondaggi di misurazione della cultura, focus group, osservazione e altro ancora.
• Identifica potenziali “portatori di cultura” che sono attrezzati e abilitati per aiutare a supportare la mentalità e i comportamenti che desideri vedere esposti in tutto il tuo team.
• Progetta strutture, pressioni, ricompense e rituali che saranno in corso e affronteranno le differenze uniche tra i vari gruppi.

Simulazioni Endpoint Privilege Management (EPM) e phishing

Nel 2021, IBM ha rivelato che il costo medio di un attacco agli endpoint è di 4,27 milioni di dollari. Man mano che i modelli di lavoro ibridi diventano la norma e la superficie di attacco si espande con milioni di nuovi dispositivi connessi al di fuori delle reti aziendali, le soluzioni di sicurezza informatica come Endpoint Privilege Management (EPM) e le simulazioni di phishing aumentano di livello per rispondere alle lacune di sicurezza.

Accenture ha recentemente evidenziato come gli EPM potrebbero consentire agli utenti di svolgere il proprio lavoro in modo efficiente e sicuro senza rischiare violazioni. Gli EPM forniscono agli endpoint un set minimo di privilegi rimuovendo i diritti amministrativi dalla base di utenti e controllando quali app possono essere eseguite. “Solo le applicazioni controllate e affidabili possono essere eseguite e lo fanno con il minor numero possibile di privilegi”, spiega Accenture.

Un altro strumento di sicurezza che sta diventando sempre più critico per identificare le vulnerabilità dell’elemento umano e rafforzare le lacune durante l’educazione degli utenti sono le simulazioni di phishing. I team IT simulano campagne di phishing per vedere come rispondono i lavoratori. Ciò consente ai team di testare la propria posizione di sicurezza, identificare i punti deboli e imparare dalle simulazioni.