Sicurezza informatica: 4 consigli operativi per difendere i dati aziendali
La sicurezza informatica rappresenta un tema fondamentale per aziende, professionisti e cittadini.
I bersagli dei malintenzionati sono molteplici: dalle credenziali digitali di accesso alle principali piattaforme utilizzate dagli utenti alle carte di pagamento, dagli account di posta elettronica fino ai sistemi di prenotazione online.
La criminalità informatica continua a evolversi e a concentrarsi sui punti deboli di aziende e professionisti, spesso legati non soltanto a vulnerabilità tecnologiche ma anche a disattenzione, fretta o superficialità nell’utilizzo degli strumenti digitali.
Molti attacchi informatici sfruttano infatti non tanto falle tecnologiche vere e proprie, quanto comportamenti e vulnerabilità umane: fretta, eccesso di fiducia e mancata verifica delle informazioni ricevute.
I rapporti sulla cybersecurity continuano a evidenziare una forte esposizione delle organizzazioni italiane agli attacchi informatici, tra cui malware, phishing, social engineering e ransomware.
Un attacco ransomware consiste nel bloccare o rendere indisponibile un sistema digitale o i dati in esso contenuti, chiedendo il pagamento di una somma a titolo di riscatto per ripristinarne l’accesso.
Un altro bersaglio particolarmente rilevante è l’identità digitale degli utenti: credenziali e account possono essere sottratti attraverso tecniche di phishing, social engineering o altre forme di manipolazione.
Gli utenti possono però proteggere se stessi e le proprie organizzazioni adottando alcuni semplici accorgimenti di base.
Qui ne proponiamo quattro:
- non farsi condizionare dall’urgenza o dall’eccessiva convenienza di una comunicazione;
- controllare attentamente il dominio dei siti web utilizzati;
- utilizzare strumenti di pagamento online dotati di adeguati sistemi di sicurezza e protezione;
- abilitare l’autenticazione a più fattori sulle piattaforme utilizzate regolarmente.
Non farsi prendere dall’urgenza o dall’economicità di una comunicazione
Le comunicazioni spam o phishing spesso sono caratterizzate da un messaggio di urgenza o da un’offerta caratterizzata da un’estrema convenienza.
Questi elementi devono rappresentare dei segnali di allarme per l’utente.
Messaggi che invitano a compiere immediatamente un’azione, ad accedere urgentemente a un account o a effettuare un pagamento attraverso modalità insolite dovrebbero essere verificati con particolare attenzione.
Un primo consiglio, quindi, è quello di aumentare il livello di attenzione ogni volta che ci si trova di fronte a comunicazioni online caratterizzate da particolare urgenza, pressione o condizioni insolitamente vantaggiose.
Controllo attento del dominio dei siti web che vengono utilizzati
Il secondo consiglio è quello di leggere attentamente i domini dei siti web utilizzati per transazioni finanziarie, acquisti, prenotazioni o accesso ad account aziendali.
Una pratica diffusa tra i criminali informatici consiste infatti nel creare domini molto simili a quelli di aziende e servizi conosciuti, modificando una o poche lettere oppure utilizzando indirizzi visivamente ingannevoli.
Una sola differenza nel dominio può essere sufficiente per indirizzare l’utente verso un sito fraudolento e favorire il furto di credenziali o informazioni personali.
Prestare attenzione agli strumenti utilizzati per gli acquisti online
Il terzo consiglio riguarda le transazioni online, soprattutto quando professionisti e aziende inseriscono i dati di uno strumento di pagamento all’interno di piattaforme digitali.
Non esiste una regola assoluta secondo cui una carta di credito sia sempre più sicura di una carta di debito. È però importante preferire strumenti che offrano un elevato livello di sicurezza e di tutela economica, verificando le condizioni applicate dalla propria banca o dal circuito di pagamento.
Tra gli elementi da valutare rientrano l’autenticazione forte del cliente, le notifiche in tempo reale, la possibilità di impostare limiti di spesa, bloccare rapidamente la carta e contestare eventuali operazioni non autorizzate.
Nel caso delle carte di debito, gli importi vengono normalmente addebitati direttamente sul conto corrente. Una transazione fraudolenta può quindi incidere immediatamente sulla liquidità disponibile.
Con una carta di credito, invece, l’utilizzo di un plafond fornito dal soggetto emittente può offrire, a seconda delle condizioni contrattuali, tempi e modalità differenti per contestare una spesa prima dell’addebito definitivo sul conto.
Anche le procedure previste in caso di mancata consegna di un acquisto, merce contraffatta o transazioni non autorizzate possono variare in funzione dello strumento utilizzato, del circuito e delle condizioni applicate dall’intermediario.
In caso di phishing o violazione del database di un e-commerce (data breach), è quindi importante agire immediatamente: bloccare lo strumento interessato, controllare i movimenti e contattare l’intermediario per avviare le procedure previste.
Abilitare l’autenticazione a più fattori sulle piattaforme utilizzate regolarmente
Il quarto consiglio riguarda una delle misure di sicurezza informatica più efficaci: abilitare l’autenticazione a più fattori o Multi-Factor Authentication (MFA) sulle piattaforme d’uso frequente.
L’autenticazione a due fattori (2FA) rappresenta una specifica forma di MFA nella quale vengono utilizzati esattamente due fattori di autenticazione.
Il modello tradizionale basato esclusivamente su nome utente e password è intrinsecamente fragile.
La MFA rafforza la protezione richiedendo la combinazione di almeno due fattori di autenticazione, normalmente riconducibili alle seguenti categorie:
- qualcosa che si conosce (knowledge): password, PIN o passphrase;
- qualcosa che si possiede (possession): smartphone, token OTP o chiave di sicurezza fisica;
- qualcosa che si è (inherence): caratteristiche biometriche come impronta digitale o riconoscimento facciale.
I vantaggi pratici sono molteplici.
Se un servizio subisce un data breach o si è vittima di credential stuffing, cioè dell’utilizzo automatico di combinazioni di email e password sottratte in precedenti violazioni, la conoscenza della password da sola può non essere sufficiente per completare l’accesso.
Anche nel caso in cui una password venga inserita inavvertitamente in una pagina clonata, un secondo fattore può rappresentare un ulteriore livello di protezione, pur senza eliminare completamente il rischio di attacchi di phishing più sofisticati.
Infine, ricevere una notifica push o un codice di accesso non richiesto può rappresentare un segnale di un tentativo di accesso. In questi casi è opportuno non approvare la richiesta, verificare immediatamente l’account e, se necessario, modificare le credenziali.
L’autenticazione multifattore è inoltre una misura particolarmente rilevante nell’ambito dei principali quadri normativi europei sulla protezione dei dati e sulla cybersecurity.
Il GDPR (Regolamento UE 2016/679), all’articolo 32, richiede a titolari e responsabili del trattamento di adottare misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporzionato al rischio.
Il GDPR non prescrive automaticamente l’utilizzo della MFA in ogni situazione, ma l’autenticazione multifattore può rappresentare una delle misure da adottare quando risulti adeguata rispetto ai rischi, ai dati trattati e ai sistemi interessati.
In materia di servizi di pagamento, la Direttiva PSD2 – Direttiva UE 2015/2366 – prevede l’applicazione della Strong Customer Authentication (SCA) in specifiche circostanze, tra cui l’accesso online ai conti di pagamento e l’avvio di operazioni di pagamento elettronico, secondo le regole e le eventuali esenzioni previste dalla disciplina.
La Strong Customer Authentication si basa sull’utilizzo di almeno due elementi indipendenti riconducibili alle categorie della conoscenza, del possesso e dell’inerenza.
Particolarmente rilevante per le organizzazioni che rientrano nel relativo ambito di applicazione è anche la Direttiva NIS 2 (Direttiva UE 2022/2555), che all’articolo 21 include tra le misure di gestione del rischio informatico l’utilizzo, ove appropriato, di soluzioni di autenticazione a più fattori o di autenticazione continua.
