Protezione di base per la vostra azienda o autorità pubblica
I ciberattacchi possono colpire qualsiasi azienda o autorità, indipendentemente dalle dimensioni, dal settore di attività o dal livello di know-how tecnico. Le conseguenze spaziano da interruzioni temporanee del sistema e perdita di dati riservati fino a responsabilità civile e danni alla reputazione. Una protezione efficace richiede quindi misure sia tecniche che organizzative, che si integrino tra loro. Di seguito viene illustrato come le aziende e le autorità possano rafforzare in modo mirato la propria cibersicurezza.
Misure tecniche e organizzative
I ciberattacchi non avvengono solo tramite i collaboratori, ma spesso anche attraverso sistemi informatici non sufficientemente protetti. Le misure tecniche contribuiscono in modo essenziale a garantire la sicurezza dell’informazione, ma devono essere completate da provvedimenti di carattere organizzativo. In particolare quando si tratta di misure molto onerose in termini di costi e/o di personale, ogni impresa deve soppesare i costi del provvedimento e i rischi in cui incorre se quest’ultimo non viene adottato.
La cibersicurezza non è solo un compito tecnico di competenza della divisione informatica: è una responsabilità fondamentale della direzione, che deve decidere dove investire le risorse per proteggere i processi critici e quale conseguenze è disposta ad assumersi.
Misure organizzative
Le misure organizzative in materia di cibersicurezza sono fondamentali per garantire una gestione responsabile e sicura delle informazioni all’interno di un’azienda o di un’autorità pubblica. Un elemento fondamentale in questo contesto è la sensibilizzazione dei collaboratori, giacché svolgono un ruolo determinante per la sicurezza delle informazioni nella quotidianità lavorativa.
Allo stesso tempo, alcune misure organizzative garantiscono che le competenze e le responsabilità siano chiaramente definite e comprese da tutte le parti coinvolte.
Le principali misure organizzative sono:
In questo contesto è importante valutare le dipendenze dei processi aziendali in ambito informatico: quali sono le conseguenze di un guasto del sistema o dell’indisponibilità dell’archiviazaione dei dati? Quali sono le conseguenze finanziarie? Quali contromisure si possono adottare?
Un punto di partenza efficace per questa valutazione è rappresentato dal metodo di cibersicurezza e resilienza (MCSR) dell’UFCS, che aiuta a identificare gli oggetti da proteggere in ambito informatico e a rafforzare la sicurezza proprio laddove un guasto causerebbe il danno maggiore. Il reparto informatico è responsabile dell’attuazione operativa, mentre la responsabilità della classificazione dei rischi e della gestione della continuità operativa rimane di competenza della direzione.
Anche in caso di guasto all’intero sistema informatico, o una parte di esso, deve essere possibile portare a termine il lavoro pianificato. Non per forza deve trattarsi di un ciberattacco: anche interruzioni di corrente, eventi naturali e altri scenari possono causare un guasto parziale o totale dei vostri sistemi informatici.
È opportuno definire tempestivamente le possibili alternative per i rispettivi sistemi e predisporre un piano d’emergenza che descriva come l’organizzazione possa continuare a operare in caso di un guasto temporaneo dei sistemi informatici.
A ll’interno dell’organizzazione è opportuno designare i responsabili per i rispettivi compiti relativi alla sicurezza dei sistemi TIC. Devono inoltre essere definiti i ruoli e le responsabilità in materia di gestione delle emergenze e delle crisi, nonché le relative competenze.
Molte organizzazioni di piccole dimensioni affidano i propri servizi IT a fornitori specializzati. Nel panorama informatico moderno, le organizzazioni utilizzano inoltre servizi cloud come Microsoft 365. In questo contesto è decisivo definire in maniera inequivocabile le responsabilità: il fornitore protegge la piattaforma, ma è l’organizzazione a proteggere i dati stessi. Il contratto disciplina le questioni relative alla responsabilità in caso di inosservanza delle norme di sicurezza o se viene trascurata in altro modo la sicurezza informatica. Il contratto deve essere formulato in maniera chiara e inequivocabile.
Per l’utilizzo del cloud le informazioni sensibili non dovrebbero mai essere archiviate senza cifratura e, prima del loro utilizzo, è necessario verificare attentamente le norme sulla protezione dei dati e i luoghi di archiviazione (idealmente in Svizzera o nell’UE) per garantire il rispetto della legge svizzera sulla protezione dei dati (LPD). Prima di utilizzare un servizio cloud, è necessario leggere le condizioni generali di contratto (CGC) dell’azienda fornitrice.
È necessario redigere un inventario dei dati e delle informazioni in cui vengano definiti gli elementi degni di particolare protezione. Sulla base di questo inventario verrà elaborato un concetto di protezione per questi elementi.
È quindi necessario valutare attentamente quali informazioni pubblicare sul proprio sito web o sui social media, poiché queste possono essere raccolte sistematicamente dai criminali. In particolare, occorre evitare di menzionare per nome sul sito web le persone responsabili delle operazioni finanziarie e che hanno accesso all’e-banking. Le informazioni relative ai responsabili finanziari costituiscono spesso la base per tentativi mirati di frode (ad esempio, la frode del CEO). Per gli ordini di pagamento si consiglia di utilizzare un computer dedicato, che non venga impiegato per la navigazione in rete o per la ricezione di e-mail. L’applicazione rigorosa del principio del doppio controllo nei pagamenti e la limitazione delle funzioni (ad esempio, impostando restrizioni per Paese) riducono notevolmente il rischio di abusi finanziari.
In linea di principio, non si dovrebbero mai trasmettere informazioni e dati riservati tramite canali impersonali come il telefono o l’e-mail. Le informazioni confidenziali dovrebbero essere sempre cifrate oppure inviate per posta ordinaria a destinatari esterni.
La sensibilizzazione di tutti i collaboratori riguardo all’utilizzo dell’infrastruttura informatica riveste un’importanza centrale. È importante formare regolarmente il personale su come affrontare i potenziali pericoli del mondo digitale, affinché sia in grado di riconoscere le telefonate o le e-mail fraudolente.
I collaboratori devono inoltre sapere a chi rivolgersi in caso di domande o chi informare in caso di un incidente di sicurezza informatica. Una cultura della segnalazione proattiva, in cui un «clic errato» viene comunicato immediatamente senza timori, è spesso il fattore decisivo per scongiurare danni più gravi.
Piattaforma di e-learning della Conferenza delle direttrici e dei direttori dei dipartimenti cantonali di giustizia e polizia: elearningcyber.ch.
Le password sono importanti. Per proteggere efficacemente dati e sistemi, però, occorre qualcosa di più. Per tutti gli accessi critici per l’azienda è opportuno ricorrere all’autenticazione a più fattori (MFA). Per le password, puntate sulla lunghezza piuttosto che su sequenze complesse di caratteri speciali: la lunghezza minima dovrebbe essere di dodici caratteri e comprendere sia lettere maiuscole che minuscole, numeri e caratteri speciali. È assolutamente da evitare l’uso ripetuto delle stesse password. Per questo motivo, l’UFCS raccomanda l’utilizzo di un password manager, utile anche per generare password specifiche per ogni applicazione. Le password e i dati di accesso non devono mai essere comunicati a terzi.
Spesso il malware si introduce nel computer tramite allegati e-mail, camuffati da presunte fatture o candidature. Si raccomanda pertanto di bloccare la ricezione di allegati e-mail pericolosi e di assicurarsi che non sia possibile eseguire macro nei documenti Office di provenienza non attendibile.
È necessario definire i canali di comunicazione attraverso i quali i collaboratori possano segnalare eventi sospetti. Inviare le e-mail solo in formato testo e utilizzare preferibilmente documenti PDF, anziché documenti Office con macro. I link possono essere indicati scrivendoli per esteso.
Inoltre, non si dovrebbero inserire link a siti web che richiedono nome utente, password o altri dati. Si consiglia di rivolgersi ai destinatari di un’e-mail indicando, per quanto possibile, il nome e il cognome, al fine di contrastare i tentativi di frode impersonali.
Utilizzate un computer dedicato per tutti gli ordini di pagamento trasmessi in formato digitale, che non utilizziate per navigare in Internet o ricevere e-mail. Regolate tutte le procedure relative ai pagamenti e garantite il loro rigoroso rispetto: il principio del doppio controllo, la firma collettiva e la limitazione delle funzioni riducono notevolmente il rischio di abusi finanziari. Ciò vale in particolare quando più collaboratori sono autorizzati a effettuare pagamenti. Rivolgetevi alla vostra banca per discutere delle possibili misure di sicurezza.
Le misure tecniche costituiscono un pilastro fondamentale della cibersicurezza e sono concepite per proteggere i sistemi informatici, le reti e i dati da accessi non autorizzati, manomissioni e guasti. A tal fine vengono impiegate diverse tecnologie e procedure.
È fondamentale che tali misure non vengano trattate isolatamente, ma siano integrate da misure organizzative.
L’infrastruttura TIC dovrebbe essere registrata in un inventario quanto più dettagliato. Solo chi conosce la propria infrastruttura TIC, i propri servizi, i propri computer e i propri utenti sa anche cosa deve essere protetto e monitorato. In particolare, le organizzazioni dovrebbero sapere quali sistemi sono collegati a Internet e quindi visibili al pubblico: tali sistemi devono essere protetti con particolare attenzione.
Il backup è l’«assicurazione sulla vita» contro gli attacchi ransomware. Una procedura chiara che disciplini il backup periodico dei dati e che venga rigorosamente rispettata costituisce una buona misura di protezione. È necessario conservare almeno una copia dei dati offline e in un luogo esterno: solo così si garantisce che, in caso di attacco, il backup non venga a sua volta cifrato.
Qualsiasi organizzazione dovrebbe valutare quanti giorni di perdita di dati è in grado di sopportare e adeguare di conseguenza il proprio sistema di backup. È opportuno verificare regolarmente il corretto funzionamento del sistema di backup dei dati. Inoltre, di tanto in tanto si dovrebbe fare pratica con il ripristino dei backup, in modo che, in caso di emergenza, il personale abbia familiarità con la procedura. Le versioni precedenti del backup dovrebbero essere conservate per un periodo di diversi mesi.
L’hardware e il software obsoleti rappresentano una via d’accesso privilegiata per i programmi dannosi. I sistemi devono quindi essere aggiornati. Ciò vale anche per il «content management system» (CMS) del sito web, nonché per le apparecchiature hardware quali stampanti o router. Ogni software installato deve essere aggiornato immediatamente non appena sono disponibili aggiornamenti di sicurezza.
Idealmente occorre installare su ogni computer un antivirus con scansione in tempo reale, aggiornare regolarmente i sistemi ed eseguire periodicamente una scansione completa del sistema.
È necessario utilizzare un firewall per ogni computer e proteggere la rete aziendale da Internet con un firewall aggiuntivo. La definizione delle regole del firewall aiuta a controllare quali connessioni in entrata e in uscita devono essere consentite. In questo caso è opportuno adottare un approccio restrittivo e consentire solo le connessioni necessarie in entrambe le direzioni. Inoltre, è consigliabile scegliere un server DNS che blocchi i siti web noti per contenere contenuti dannosi.
L’accesso remoto alla rete aziendale non deve in nessun caso essere protetto solo da una semplice autenticazione (nome utente e password). È necessario utilizzare almeno l’autenticazione a due fattori oppure assicurarsi che venga stabilita una connessione sicura tramite una rete privata virtuale (VPN). Ciò vale anche per l’accesso da parte di responsabili TIC esterni.
Le reti aziendali dovrebbero essere suddivise in singoli settori, ad esempio con reti separate per la produzione, le risorse umane e la contabilità, evitando di assegnare diritti che abbracciano più settori. Una segmentazione coerente della rete impedisce al malware di diffondersi inostacolato. In questo modo si evita che, ad esempio, i computer di controllo degli impianti industriali, che non possono più essere aggiornati, diventino una porta d’accesso per gli hacker. Il fornitore di servizi IT può fornire consulenza nella fase di pianificazione e realizzazione.
Ulteriori informazioni
Il cortometraggio «Nel mirino» fa parte del programma di prevenzione e sensibilizzazione «Prophylax» del Servizio delle attività informative della Confederazione. Il video intende sensibilizzare il mondo dell’industria e della ricerca svizzero sulle minacce rappresentate dallo spionaggio.
E-learning sulla cibersicurezza e la sicurezza delle informazioni per città e Comuni L’assemblea plenaria della Conferenza delle direttrici e dei direttori dei dipartimenti cantonali di giustizia e polizia (CDDGP) ha approvato un piano di perfezionamento in materia ciber per la pubblica amministrazione. L’e-learning è a disposizione anche delle città e dei Comuni.
Piattaforma di e-learning della Conferenza delle direttrici e dei direttori dei dipartimenti cantonali di giustizia e polizia (CDDGP): elearningcyber.ch
I seguenti marchi sono state concepiti in collaborazione con i partner della Ciberstrategia nazionale CSN e sostenuti dall’UFCS. Contribuiscono a verificare la cibersicurezza nella vostra organizzazione:
