I CISO indicano l'errore umano come il principale rischio di cybersecurity

Con la cybersecurity, l'attenzione è spesso rivolta alla tecnologia, e in particolare su come i criminali informatici la utilizzano per condurre attacchi e sugli strumenti che le organizzazioni possono utilizzare per mantenere al sicuro i propri sistemi e dati. Tuttavia, questo trascura l'elemento più importante nel rischio di cybersecurity: l'errore umano.

Il report Voice of the CISO 2024 di Proofpoint ha rilevato che tre su quattro (74%) Chief Information Security Officer (CISO) hanno dichiarato che l'errore umano è il loro principale rischio di cybersecurity. Ciò dimostra una crescita significativa rispetto al 60% dei CISO che esprimevano questo sentimento lo scorso anno. Lo studio ha inoltre riscontrato un divario chiave tra i CISO e il consiglio di amministrazione. I membri del consiglio erano meno propensi (63%) a indicare l'errore umano rispetto ai CISO, il che dimostra che i CISO dovrebbero concentrarsi sia sulla formazione della leadership che su quella dei dipendenti.

Diverse delle principali cause di perdita di dati nel sondaggio erano direttamente collegate ai dipendenti. La risposta più frequente (42%) è stata insider negligente/poca attenzione dei dipendenti, ad esempio un uso improprio dei dati. Altri motivi includevano un insider malintenzionato o criminale (36%), credenziali di dipendenti rubate (33%) e dispositivi persi o rubati (28%).

L'indice di minaccia IBM 2024 supporta questo risultato, indicando che il 30% degli attacchi inizia con il phishing. Tuttavia, gli attacchi di phishing sono diminuiti rispetto al 2022, sia in termini di volume che come vettore di attacco iniziale. Il rapporto indica la continua adozione e rivalutazione delle tecniche e strategie di mitigazione del phishing come una delle ragioni della riduzione.

Anche se un essere umano può aver commesso l'errore che ha causato la violazione, non è necessariamente colpa dell'individuo, tranne nel caso di un insider criminale. Le organizzazioni devono adottare un approccio proattivo alla cybersecurity, che include la fornitura di formazione affinché i dipendenti possano apprendere pratiche sicure, oltre a creare processi che riducano i rischi.

Ridurre il rischio di cybersecurity non è semplice. Non è possibile avviare un singolo programma o un corso di formazione che apporti correzioni al problema. Invece, le organizzazioni devono adottare un approccio olistico che crei una cultura della cybersecurity e permetta a ogni dipendente di concepire la cybersecurity come il proprio lavoro.

Poiché gli strumenti di AI possono prevedere ciò che un essere umano probabilmente farà, sono particolarmente efficaci nel proteggere dal rischio umano nella cybersecurity. Il report di Proofpoint ha rilevato che l'87% dei CISO a livello globale sta cercando di implementare funzionalità basate su AI per proteggersi dagli errori umani e dalle minacce informatiche avanzate incentrate sull'uomo.

Sebbene molte aziende forniscano formazione, spesso si tratta di una formazione superficiale che non modifica realmente il comportamento né mantiene la cybersecurity in primo piano. Quando progetti un programma di formazione, adotta un approccio olistico e considera quali dipendenti necessitano di quale tipo di formazione.

Inizia rivedendo gli incidenti passati per determinare quali argomenti siano più importanti, come i dipendenti che hanno cliccato ripetutamente su tentativi di phishing nel passato recente. Invece di una formazione annuale, le aziende dovrebbero prendere in considerazione mini moduli mensili regolari per tenere sempre a mente gli argomenti. Inoltre, includi la formazione sulla cybersecurity come parte dell'onboarding dei nuovi dipendenti per assicurarti che ognuno inizi la propria carriera nella tua azienda con le stesse informazioni di tutti.

Spesso i dipendenti pensano che la cybersecurity sia il lavoro di qualcun altro. Ma ridurre il rischio umano inizia cambiando questa idea e facendo sentire ogni dipendente responsabile della cybersecurity. Sebbene la formazione sia un elemento chiave di questo cambiamento, comporta anche il mantenimento della cybersecurity al centro dell'attenzione in tutta l'azienda. Una cultura della cybersecurity parte dall'alto, con ogni leader che parla di cybersecurity e ne sottolinea l'importanza.

La cybersecurity inizia e finisce con gli esseri umani: gli esseri umani che creano gli attacchi e gli esseri umani in grado di fermarli. Concentrandosi sull'elemento umano nella cybersecurity, la tua organizzazione può ridurre significativamente il rischio. Tuttavia, il cambiamento non avviene con una singola sessione di allenamento o nemmeno in pochi mesi. Le organizzazioni devono considerare questa strategia come un approccio a lungo termine con l'obiettivo di far capire a ogni dipendente che ha il potere di fare la differenza nella cybersecurity dell'organizzazione.