I giusti comportamenti per proteggere la propria azienda dal rischio di perdita dei dati
La tua impresa si regge, in buona parte, sul lavoro di raccolta e trattamento di informazioni che hai affidato ai tuoi sistemi informatici: come d’altra parte qualsiasi altra impresa, nel secondo decennio di questo secolo.
Per questa ragione, le notizie che riguardano gli incidenti informatici fanno colpo. È molto sgradevole avere la sensazione che la tua azienda stia seduta su un vulcano, e che basti un’inezia per farla saltare in aria.
Come tutti gli imprenditori, hai preso le tue precauzioni. Le notizie degli incidenti continuano però ad arrivare e tu non riesci a capire come stiano veramente le cose.
In questo articolo ti spiegherò quello che nessun altro ti spiega; e ti svelerò un segreto che ti servirà a salvarti dalle conseguenze peggiori di un incidente informatico.
Ti racconto una storia, una delle tante che succedono ogni giorno.
La signora Fulvia è un architetto di successo.
Dal suo studio principale in Liguria, in una splendida palazzina liberty a picco sul mare, gestisce decine di progetti con contractor internazionali, principalmente in Medio Oriente e in Asia.
La maggior parte del suo lavoro lo svolge personalmente, con l’aiuto di tre assistenti nello studio ligure e altri due nella filiale di Bari, la città dov’è nata.
Almeno una volta al mese fa un giro di visite sui lavori che ha progettato: Dubai, Singapore, Shenzhen, Tokyo.
Durante una di queste sue assenze succede il fatto.
Al mattino arriva in studio uno dei suoi assistenti e trova uno spettacolo spaventoso: la porta divelta, l’ufficio nel caos.
Si accorge subito di cosa manca: tutti i computer sono scomparsi.
Col cuore in gola chiama subito Fulvia e le riferisce quello che è successo. Fulvia ha appena concluso l’ultimo appuntamento della giornata a Tokyo e sta rientrando in hotel.
Cercando di mantenere la calma, dà le prime istruzioni all’assistente: chiamare la polizia, fare un inventario dei danni.
Poi le viene in mente una cosa. “Vai nella mia stanza; dietro la porta c’è un piccolo sportello nel muro, aprilo e dimmi cosa c’è dentro”.
La risposta arriva subito ed è quello che Fulvia temeva: vuoto.
Questa storia, purtroppo è uguale a tante altre che succedono tutti i giorni. Ma nel caso dell’architetto Fulvia assume un significato molto più grave.
Cosa c’era dentro lo sportello dietro la porta?
Semplice: c’era un grosso disco fisso collegato alla rete, su cui venivano fatte regolarmente le copie di sicurezza di tutto il lavoro dei computer principali.
Fulvia aveva sentito dire tante volte che bisogna fare le copie di sicurezza e s’era fatta aiutare dal nipote, informatico in una grande azienda.
Pensava di essere al sicuro.
Non lo era affatto.
Quando pensi a un “incidente informatico”, ti vengono in mente le cose che senti ai telegiornali: abili pirati informatici che si infilano nelle reti delle grandi aziende e fanno danni per milioni.
Allora pensi: non sono una grande azienda, non ho nulla che interessi ai pirati, quindi sto tranquillo.
Purtroppo non ho buone notizie per te: non puoi affatto stare tranquillo, anzi devi cominciare a preoccuparti da subito.
Adesso ti spiegherò di cosa devi preoccuparti. Ti dirò anche cosa puoi fare, per preoccuparti un po’ meno. E forse resterai sorpreso, perché è diverso da quello che ti aspetti.
Mi presento Ti starai chiedendo chi sono io, a che titolo parlo di questi argomenti.
Mi chiamo Stefano Toria, lavoro nell’informatica dai primi anni ’70 e nel 1990 fui il primo in Italia a scrivere una serie di articoli sui virus informatici, che all’epoca erano una novità assoluta.
Ho passato gli ultimi trent’anni ad aiutare le persone a evitare i guai che possono succedere ai loro dati; guai come quello successo a Fulvia (il nome l’ho cambiato), che in un colpo solo ha perso tutto il lavoro del suo studio di architettura.
Ho seguito la crescita del rischio informatico, lo sviluppo dei mezzi di difesa e vivo quotidianamente situazioni simili a quella che ho raccontato all’inizio.
Il mio lavoro è aiutare gli imprenditori come te, per cercare di evitare le conseguenze.
Quanto è grande il problema? In un solo anno – dal 2015 al 2016 – in Italia è cresciuto di oltre il 1000% un preciso tipo di incidente.
Dieci volte più incidenti. Le imprese più grandi, e anche le più piccole come la tua, sono state colpite dieci volte di più. Hanno avuto danni, costi imprevisti, perdita di produttività, perdite di fatturato. Per alcune è stato il colpo di grazia che le ha fatte fallire; molte sono sopravvissute, traballando e cercando di ritirarsi su.
Aumentano i casi di “phishing”. Sono aumentati enormemente i danni causati dal cosiddetto “phishing”, cioè dai messaggi di e-mail falsificati, costruiti apposta per ingannare chi li riceve.
Aumentano gli attacchi contro le persone. Più in generale gli attacchi diretti contro le persone, contro la buona fede, la disponibilità, insomma in breve quelli che noi specialisti chiamiamo “social engineering”, sono cresciuti di dieci volte. E continuano a crescere.
Incidenti gravi. Nel solo 2017 in Italia ci sono stati oltre 1100 incidenti informatici gravi. E questo è un numero che deve essere preso con molta attenzione, perché in realtà moltissimi incidenti non vengono mai resi di dominio pubblico, specie quelli nelle aziende più piccole; il numero reale potrebbe essere dieci o cento volte tanto.
E stiamo parlando di incidenti “gravi”, cioè in cui c’è stata una perdita o distruzione totale o comunque significativa di dati, infrastruttura, attrezzature.
Come nel caso dell’architetto Fulvia.
Incidenti meno gravi ne succedono centinaia ogni giorno, nella sola Italia; e sono responsabili di perdite di tempo, rallentamenti, danni contrattuali, perdita di reputazione.
La situazione è molto semplice: le aziende si dividono in due, quelle che sono già state vittime di un incidente informatico, e quelle che ancora non lo sanno.
«Io sto tranquillo, tanto ho la super-protezione»
Ho perso il conto di quante volte ho sentito questa frase in trent’anni di attività nella sicurezza.
Non era vero: mai.
Tutti hanno qualche dispositivo di sicurezza. Dovunque vada, mi aspetto di trovare almeno antivirus, firewall, qualche sistema di monitoraggio, certamente qualche copia di sicurezza e altri tre-quattro dispositivi tecnici tra quelli più comuni.
Quasi tutti gli imprenditori sono convinti di essere al sicuro.
Di base manca sempre, e dappertutto, la cosa più importante: di cosa si tratta, lo spiego con un’altra piccola storia.
Stavolta il protagonista sono io. Avrò avuto tre anni e frequentavo l’asilo.
Un giorno la maestra ci distribuisce dei rametti d’albero, e dà a ciascuno di noi un barattolino di vetro con del colore, e un piccolo pennello, per colorare i nostri rametti.
A un tratto prendo il mio barattolino, e me lo rovescio addosso, macchiando tutto il grembiulino a quadretti azzurri che mia mamma mi metteva tutte le mattine.
“Cosa fai?!” mi chiede la maestra. “Ti sporchi tutto!!!”
“Non importa maestra, tanto ho il grembiulino” rispondo io, con la logica ferrea dei miei tre anni.
Sposta questo trenta o quarant’anni più avanti come età e scambia rametti e colori con computer e reti; l’atteggiamento non cambia.
Comportamenti e rischio In realtà quello da cui devi difenderti principalmente, non sono gli attacchi che vengono da fuori: virus, email, siti Web dannosi.
O almeno, questa difesa è secondaria a un’altra, molto più importante.
Sono i comportamenti, tuoi e del tuo personale, che mettono a rischio il tuo patrimonio.
Ecco il segreto di cui ti parlavo, all’inizio dell’articolo.
Fai le scelte giuste. Se Fulvia avesse avuto una seconda copia dei suoi lavori fuori del suo ufficio, questo non l’avrebbe salvata dall’effrazione e dal furto dei computer; ma l’avrebbe salvata da una catastrofe professionale.
Avrebbe dovuto ricomprare i computer, spendere un po’ di tempo per recuperare i lavori, e ripartire.
Così invece è arrivata quasi al fallimento. Le conseguenze di un banale furto in appartamento l’hanno inseguita per quasi cinque anni.
Non affidarti solo alla «super-protezione» tecnica. Lo sbaglio che fanno tutti – o quasi – è di pensare che basta un robusto armamentario tecnico per risolvere il problema.
Se un problema non è di natura tecnica, non c’è nessuno strumento tecnico che lo risolve del tutto.
Certamente gli strumenti tecnici servono; attenzione, non sto affatto dicendo che bisogna buttar via antivirus, firewall, e quant’altro. Sarei un pazzo se affermassi questo.
Cambia i comportamenti. Quello che oggi vorrei che ti rimanesse, dalla lettura di questo articolo, è un concetto semplice ma tanto importante quanto trascurato: se vuoi proteggere il tuo lavoro, la tua azienda, il tuo patrimonio informativo, e in ultimo te stesso, devi cambiare i tuoi comportamenti e quelli del tuo personale, dei tuoi collaboratori. (fonte dei dati: Clusit)
Stefano Toria – Esperto di Sicurezza Informatica
STEFANO TORIA – Nato a Roma nel 1957, già da prima di entrare alla Luiss sviluppa software, dopo la laurea segue da protagonista l’evoluzione dell’informatica distribuita.
Tra i primi a studiare i virus informatici in Italia, collabora col primo Internet provider e con le prime iniziative nella sicurezza informatica bancaria. Si specializza nella sicurezza dei processi e dei comportamenti degli utenti informatici aziendali. Oggi vive e lavora in Svizzera presso Zurigo.
Contattalo all’indirizzo e-mail: stefano@toriasecuresystems.com
© riproduzione riservata