Sicurezza informatica in azienda: 7 best practice
La sicurezza informatica aziendale si definisce come una serie di tecnologie e procedure utili a proteggere i sistemi informatici di un’azienda. Detta anche Cyber Security, ha quindi come obiettivo quello di garantire la sicurezza di tutti gli asset in gioco, siti web, computer, dati personali, infrastrutture tecnologiche.
Le aziende sono diventate sempre più informatizzate e parallelamente è cresciuta anche la capacità di attacco da parte di malintenzionati.
La Cyber Security diventa quindi un caposaldo del buon funzionamento di un’azienda.
Tre sono i pilastri su cui si basano le tecniche di sicurezza informatica oggi, detti anche la triade AIC:
Availability (Disponibilità)
Confidentiality (Riservatezza)
Integrity (Integrità)
Andando più in profondità, per disponibilità si intende la capacità di un servizio di continuare ad operare in modo efficiente, senza interruzioni, anche sotto attacco.
La riservatezza è intesa non solo come protezione di informazioni private, ma anche come la capacità di concederne l’accesso solo a chi è autorizzato a farlo, negandolo quindi a chiunque altro non lo sia.
L’integrità infine consiste nel garantire la correttezza e dei dati, impedendo modifiche non autorizzate da altri soggetti.
La sicurezza informatica è soggetta a determinate normative, contenute nel GDPR. In questo articolo analizzeremo queste normative e la lista delle aree coinvolte dalla cyber security in ambito aziendale, con le aree da considerare con maggior attenzione
Le novità del GDPR in tema di sicurezza informatica
Il Regolamento europeo sulla protezione dei dati personali 2016/679 (GDPR) ha messo dei paletti normativi al concetto stesso di sicurezza informatica fissandone i principi di impostazione.
In particolare, l’attenzione è spostata sulle attività degli utenti finali (End User) visto che la maggior parte degli attacchi informatici avviene proprio dalla corruzione di una singola utenza, da remoto.
Bisogna sicuramente prevenire, ma anche rilevare la vulnerabilità del proprio sistema informatico, ovvero limitare il tempo che intercorre tra l’attacco e quando viene scoperto. Meno vulnerabilità nel sistema ci sono e più efficace sarà la protezione.
Il regolamento prevede che per la sicurezza delle reti informatiche si debba intendere “la capacità di una rete o di un sistema d’informazione di resistere, a un dato livello di sicurezza, a eventi imprevisti o atti illeciti o dolosi. Che compromettano la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati personali conservati o trasmessi”.
Chi possiede i dati, quindi l’azienda, essendo responsabile del trattamento, è tenuta a valutare quindi anche il rischio informatico, che si può tradurre in rischi diretti (economici) o indiretti (di reputazione) derivanti dall’uso della tecnologia.
Il GDPR afferma quindi il principio dell’accountability (art.5), per il quale l’azienda è responsabilizzata a mettere in atto (art.32 del testo legislativo) misure tecniche, procedurali e organizzative adeguate per garantire e dimostrare che i dati sono trattati conformemente al Regolamento.
Ogni azienda deve quindi dotarsi di un DPO (Data Protection Officier), una figura specializzata e con competenze informatiche, che conosca processi e strumenti per la conservazione e protezione dei dati.
Il tipo di Data Protection dev’essere previsto già in fase di progettazione dei dati (e si parla di data protection by design), prestando attenzione a non violare i diritti di privacy degli utenti garantiti dallo stesso regolamento.
Negli articoli dal 5 all’11 del GDPR vengono citati sette principi di protezione e responsabilità:
- liceità, correttezza trasparenza
- limitazione dello scopo
- riduzione al minimo dei dati
- precisione
- limitazione dell’archiviazione
- integrità e riservatezza
- responsabilità
È comunque l’articolo 32 del testo quello più importante in tema di cyber security, in quanto
obbliga chi tratta i dati personali a prevedere misure che permettano:
- Pseudonimizzazione (separazione dei dati di un utente in modo che uno non riconduca a un altro) e cifratura dei dati personali
- Assicurazione di continua riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi che trattano i dati personali
- Ripristino tempestivo della disponibilità e dell’accesso ai dati in caso di incidente fisico o tecnico (disaster recovery)
- Testare e valutare regolarmente l’efficacia delle misure adottate
Sul come adottare queste misure, il Regolamento parla di modo adeguato alla valutazione del rischio e dei dati da proteggere, lasciando al titolare dei dati quindi un certo spazio di manovra per costruire un sistema di data protection adatto alla propria organizzazione, tenendo conto anche delle caratteristiche della stessa e dei costi da sostenere.
Cyber security?
Esprinet propone 7 best practice per garantirla!
Esprinet è un fornitore all’avanguardia di strumenti e tecnologie per coprire tutta la richiesta del mercato in ambito di sicurezza informatica in azienda.
Adotta una strategia “Zero Trust”, che si basa sull’assunto che nulla, in termini informatici, sia automaticamente affidabile, e che dunque debba essere verificato prima di ogni accesso, per prevenire e diminuire il rischio di cyber attacchi all’interno delle organizzazioni.
Le minacce alla sicurezza informatica aziendale possono essere di vario tipo, tanto quanto sono differenti le aree aziendali coinvolte.
Network Security
Esprinet propone soluzioni variegate di servizi e software in tema di network security, per monitorare e gestire la rete. In particolare, sono i software che aggiornano le protezioni integrate nelle appliance di rete.
In questo modo si previene l’intrusione nel sistema di software sofisticati utilizzati dagli hacker che causano il cosiddetto Denial of Service, dove gli hacker sovraccaricano reti e server con un traffico eccessivo rendendo di fatto tutto il sistema inutilizzabile.
End Point Protection
Servizi tecnologici basati sulla protezione dell’utente finale, soprattutto di chi si collega in rete da remoto ai dispositivi client.
L’End Point Security fornisce soluzioni che intercettano tutti i tipi di Malware, software creati per danneggiare il computer di un utente, con l’obiettivo di ottenere un guadagno economico, tramite allegati delle email o richieste di download.
Secure Identity and Access Management Solutions per Cyber Security
La Secure Identity and Access Management, componente essenziale di una corretta sicurezza informatica, gestisce le identità digitali e l'accesso degli utenti a dati, sistemi e risorse all'interno di un'organizzazione, evitando l’accesso illecito a questi dati.
Con queste tecnologie si può contrastare fenomeni come il phishing, un attacco che avviene tramite mail che sembrano provenienti da fonti sicure con richiesta di informazioni sensibili, per esempio i dati della propria carta di credito.
Security and Vulnerability Management
Il Security and Vulnerability Management è il processo di identificazione e valutazione delle vulnerabilità di sicurezza nei sistemi e nei software aziendali.
Diventa fondamentale in tema di cyber security in quanto attribuisce delle priorità alle possibili minacce e contestualmente riduce al minimo la loro “superficie di attacco”.
Advanced Threat Protection
L’Advanced Threat Protection è una serie di soluzioni che difendono i sistemi dai malware più sofisticati che prendono di mira i dati sensibili.
Possono contrastare software pirata molto sofisticati come gli Spyware, che registrano segretamente le azioni di ogni singolo utente, rubandone per esempio i dati della carta di credito.
Content Security
Un buon programma di Content Security è un ottimo gatekeeper per un portale, limitando la provenienza dei dati verso di esso e quali script possono essere eseguiti.
Il controllo della sicurezza dei contenuti può essere un’attività onerosa, ma viene ripagata nel tempo con la qualità e l’affidabilità del proprio portale.
Attraverso il controllo dei contenuti si evita la penetrazione nel sistema di virus, capaci poi di replicare molto velocemente il proprio codice malevolo, così come di Trojans o Ransomware, che blocca l’accesso a file e dati.
Automated Security and Monitoring Solutions
Si tratta di sistemi integrati direttamente nei browser web per controllare i dati che arrivano al proprio sistema, che proteggono da minacce quali l’XSS e il clickjacking.
In questo modo si aggiunge un ulteriore livello di difesa al proprio portale migliorando decisamente il suo grado di sicurezza.
Gli esperti di Esprinet sono a tua disposizione per guidarti nella scelta del miglior sistema di cyber security per il tuo business.
