Nel parlare di cybersicurezza è necessario porre l’accento non soltanto sull’adozione delle corrette misure di prevenzione e di gestione degli attacchi informatici, ma anche sulla necessaria formazione che le aziende sono tenute a fornire ai propri dipendenti.
Come evideziato da Kevin Mitnick, uno dei più noti hacker statunitensi, il fattore umano rappresenta spesso l'anello più debole nella catena della sicurezza.
Infatti, le vulnerabilità nei sistemi aziendali derivano frequentemente da errori umani piuttosto che da carenze tecniche.
La formazione del personale rappresenta un elemento centrale nel quadro normativo delineato dalla Direttiva NIS2 e dal Decreto legislativo di riferimento n. 138/2024.
L'articolo 23, comma 2, lettera b) del D.lgs. 138/2024, letto alla luce anche del Considerando 89 della direttiva NIS 2, richiede che i soggetti essenziali e importanti promuovano un’offerta periodica di formazione ai propri dipendenti in tema di sicurezza informatica.
Tale obbligo è posto in capo ai vertici aziendali, cioè organi amministrativi e organi direttivi, che svolgono un ruolo chiave nella definizione e nell'attuazione delle strategie di cybersicurezza.
L’obiettivo formativo passa in primo luogo dall’adozione di un corretto piano di formazione del personale, normalmente affidato al responsabile della sicurezza dell’azienda.
Il piano si dovrebbe articolare in due fasi principali:
1) la formazione sulle corrette pratiche di igiene informatica e sulle misure di gestione del rischio;
2) la formazione sulla gestione dell’incidente in corso.
Formazione del Personale sulle Corrette Pratiche di Igiene Informatica e sulle misure di gestione del rischio
La cybersicurezza aziendale non può prescindere dalla formazione del personale su corrette pratiche di igiene informatica e misure di gestione del rischio.
Su questo punto, si rendono necessari, accanto al piano di formazione generale, programmi di sensibilizzazione periodici che stabiliscano corsi e sessioni con diversi contenuti:
informazioni sulle principali minacce informatiche, in quanto diventa fondamentale per i dipendenti acquisire una consapevolezza sulle caratteristiche dei diversi attacchi informatici, in modo da adottare misure di prevenzione.
Ad esempio, potrebbero rientrare in questo campo insegnamenti sulle tecniche di phishing e di ingegneria sociale, che costituiscono le principali modalità utilizzate per penetrare il sistema di un’azienda. È necessario che tutti i dipendenti siano consapevoli di non dover aprire allegati ad una e-mail, se non si tratta di indirizzi ufficiali o verificati. Allo stesso modo, è necessario far capire che le informazioni preziose dell’azienda devono essere condivise con poche persone e mai telefonicamente senza aver verificato previamente l’identità di chi chiama.
Misure di gestione del rischio, tra le quali:
- la politica di backup dei dati dell’azienda, quindi quali e quanti dati devono essere sottoposti a backup e con quale modalità e frequenza;
- le modalità di navigazione sicure del web, tramite l’utilizzo di vpn aziendali;
- le istruzioni relative alla configurazione e al funzionamento sicuro dei sistemi IT, compresi i dispositivi mobili.
Politiche aziendali di gestione delle credenziali. Particolare attenzione tra le misure di gestione del rischio dovrebbe essere posta alla gestione delle credenziali.
È importante spiegare la necessità di utilizzare password forti (password con più di 8 caratteri, con maiuscole e minuscole e segni di ortografia e che non rimandino a qualche nostra informazione personale) per accedere ai sistemi aziendali o comunque di avvalersi di altri sistemi di autenticazione controllati, come impronte digitali o riconoscimento facciale.
Il programma di sensibilizzazione dovrà essere periodicamente aggiornato e allineato alle politiche e procedure di sicurezza dell’azienda.
Allo stesso modo, i contenuti delle sessioni e dei corsi dovranno essere calibrati in base alla tipologia di professione di ciascun dipendente.
Formazione del Personale sulla Gestione degli Incidenti
Particolare attenzione altresì deve essere posta sulla capacità di tutti i comparti aziendali di rispondere tempestivamente ad un eventuale incidente informatico.
Le principali attività formative dovrebbero includere:
Corsi di formazione iniziale per i nuovi dipendenti, necessari soprattutto per far comprendere i fondamentali della gestione degli incidenti;
aggiornamenti periodici sulle procedure di emergenza aziendali attraverso lo svolgimento di periodiche sessioni;
esercitazioni pratiche e simulazioni di attacchi informatici, che distinguano la fase di gestione in corso dell’incidente dalla fase successiva di ripristino e reintegrazione dell’operatività.
Comments