Orientarsi nel mondo della sicurezza informatica: approfondimenti e consigli

Man mano che le nostre vite si intrecciano sempre di più con il mondo digitale, la necessità di una solida sicurezza informatica non è mai stata così grande. Dalla protezione dei dati aziendali sensibili alla tutela delle nostre informazioni personali, la posta in gioco non è mai stata così alta.  

Abbiamo parlato con Niel Harper, ex responsabile della sicurezza informatica e responsabile della protezione dei dati di Doodle, per capire meglio questo panorama in continua evoluzione.

In questa intervista parleremo del suo percorso professionale e del suo ruolo in Doodle, delle tendenze nel campo della sicurezza informatica, di come proteggere i dati dei clienti e di come le piccole e medie imprese (PMI) possano tutelarsi in questo panorama in continua evoluzione. 

Le minacce più urgenti alla sicurezza informatica

Quali sono, secondo te, le minacce alla sicurezza informatica più urgenti che le aziende devono affrontare oggi?

Il ransomware — un tipo di software dannoso che blocca o crittografa i dati della vittima e richiede il pagamento di un riscatto per ripristinare l’accesso — continua a rappresentare una minaccia importante. Tuttavia, è diventato ancora più diffuso poiché gli autori delle minacce concentrano la loro attenzione sull’estorsione informatica. 

Anche l’attuale clima geopolitico contribuisce all’aumento degli attacchi contro le organizzazioni da parte di avversari altamente esperti e ben organizzati, sostenuti da Stati. 

Inoltre, molte aziende non sono ancora pronte ad affrontare i rischi derivanti da terze parti (come gli attacchi alla catena di approvvigionamento). 

Infine, l’uso dell’IA generativa da parte del personale e di attori esterni rappresenta sia un’opportunità che una minaccia, ma molte aziende non ne comprendono ancora appieno le implicazioni.

Garantire la sicurezza dei dati dei nostri clienti

In che modo Doodle garantisce la sicurezza dei dati dei propri clienti, in particolare con i suoi prodotti?

Noi di Doodle non ci affidiamo agli strumenti di sicurezza come sostituti di solidi controlli di sicurezza. Il nostro obiettivo principale è garantire che le basi della sicurezza informatica siano solide: gestione delle identità e degli accessi (IAM), gestione delle configurazioni, gestione delle risorse, gestione delle vulnerabilità, test di penetrazione e gestione dei rischi legati a terze parti, tra le altre cose. Qualsiasi strumento viene integrato a livello superiore per supportare l’orchestrazione, l’automazione e la difesa a più livelli. 

C’è un approccio incentrato sul rischio che parte dall’alto: il rischio informatico è un argomento ricorrente nelle riunioni del consiglio di amministrazione e dei dirigenti ed è un elemento chiave nel quadro di gestione del rischio aziendale (ERM). Doodle si sottopone inoltre a audit annuali SOC 2 Tipo II, Cyber Verify e GDPR. 

Creare una cultura della consapevolezza sulla sicurezza

Qual è la chiave per creare una cultura della consapevolezza sulla sicurezza tra i dipendenti? 

L’aspetto più importante per creare una cultura della consapevolezza sulla sicurezza è un forte “tono dato dai vertici”. La consapevolezza sulla sicurezza dovrebbe partire dalla leadership, influenzando la cultura aziendale e guidando le azioni dei propri team.

Ad esempio, in Doodle, il consiglio di amministrazione e la direzione esecutiva sono sensibili e consapevoli del potenziale impatto dei rischi informatici su diversi aspetti dell’azienda. Il loro sostegno in termini di assunzione di responsabilità sui rischi, comunicazione efficace, finanziamenti adeguati e dare l’esempio è fondamentale per instillare le giuste pratiche di sicurezza tra il personale. 

Offriamo inoltre un programma dinamico di formazione sulla sicurezza che sfrutta l’apprendimento online, consigli e suggerimenti regolari, simulazioni di phishing, esercitazioni teoriche e formazione specifica per ogni ruolo. 

Nuove tendenze nella sicurezza informatica 

Quali tendenze o tecnologie emergenti nel campo della sicurezza informatica ti entusiasmano o ti preoccupano di più? 

Sono particolarmente entusiasta di vedere tutta l’attenzione concentrata sullo sviluppo delle capacità informatiche. Stiamo assistendo a un concentramento significativo di risorse volte a rafforzare le capacità degli Stati nazionali per proteggersi meglio dalle minacce online. 

Devo elogiare attori chiave come il Global Forum for Cyber Expertise (GFCE), la Banca Mondiale, l’Unione Europea, il Forum Economico Mondiale, l’Organizzazione degli Stati Americani (OAS), il Cyber Peace Institute e altri per il loro lavoro in questo campo. 

Tra le minacce che mi preoccupano di più ci sono i rischi legati ai modelli linguistici di grandi dimensioni (LLM) e all’intelligenza artificiale, l’Internet delle cose (ad esempio dispositivi smart, auto connesse, città intelligenti, ecc.), la crittografia a prova di quantistica, nonché la guerra cibernetica e lo spionaggio informatico sponsorizzati dagli Stati.

Approfondimenti e consigli per le aziende

Che consiglio daresti alle aziende, in particolare alle PMI, per proteggere meglio i propri dati e mantenere la fiducia dei clienti?

Le PMI devono avere qualcuno a livello dirigenziale e operativo che comprenda e si assuma la responsabilità del rischio informatico come rischio aziendale strategico. Con questo intendo dire che la responsabilità della sicurezza informatica non dovrebbe essere delegata a un responsabile IT o a un amministratore di sistema, perché si tratta di molto più di un semplice rischio tecnologico.

Una persona qualificata ed esperta dovrebbe occuparsi di sviluppare e attuare la roadmap di sicurezza informatica dell’azienda. Se queste competenze non sono disponibili internamente, dovrebbero prendere in considerazione l’assunzione di un Chief Information Security Officer (CISO) virtuale o a tempo parziale per supervisionare la gestione dei rischi informatici. 

Come accennato in un commento precedente, le organizzazioni non devono considerare gli strumenti sofisticati come una panacea o un sostituto di una sicurezza informatica efficace. Devono creare un inventario dei propri sistemi e dati critici (“i gioielli della corona”) e implementare controlli rigorosi in base all’importanza di tali sistemi e risorse informative per l’azienda.

Grazie, Niel, per aver condiviso le tue intuizioni e la tua esperienza!