Quali saranno nel 2017 i trend all’attenzione del responsabile della sicurezza? A cosa bisogna prestare maggiore attenzione, e come fare per migliorare continuamente nelle attività di Cyber Risk Management? Ne abbiamo parlato con Corradino Corradi, Head of ICT Security, Privacy & Fraud Management di Vodafone Italia.
TIG. Quali saranno nel 2017 i trend all’attenzione del responsabile della sicurezza?
Corradino Corradi. I fatti recenti testimoniano che gli attacchi complessi e mirati, o APT (Advanced Persistent Threat), stanno crescendo in numero e sofisticazione. Il trend è che in futuro non si parlerà più soltanto di sicurezza informatica in senso stretto, ma sarà necessario avere una visione più ampia, a 360 gradi, su tutti gli aspetti del rischio.
Inoltre, sarà necessario dotarsi di capacità di “Threat Intelligence” ed effettuare regolari assessment per verificare il livello di rischio corrente dell’azienda. Bisognerà puntare a identificare le vulnerabilità, in modo più proattivo e preventivo, facendo attenzione sia al perimetro, sia ai rischi interni.
TIG. In particolare, a cosa prestare più attenzione?
Corradino Corradi. Al momento sicuramente le persone sono l’anello più debole. Anche i recenti fatti di cronaca testimoniano la facilità con cui il malware può entrare nei sistemi, anche di una grande organizzazione, se le persone cadono vittime di campagne di “spear phishing” ben congeniate e aprono allegati infetti di mail che sembrano arrivare da persone conosciute. In questo modo malware e spyware si installano e diffondono, iniziano a spostare dati anche critici dell’azienda.
TIG. Cosa fare quindi?
Corradino Corradi. Bisogna continuare a investire in tecnologia e sicurezza perimetrale, e contemporaneamente investire in formazione, sicurezza partecipata, gestione degli incidenti. Con riferimento alla formazione delle persone, l’attività di security awareness deve essere rivolta a tutti i dipendenti, non solo sulle persone deputate alla sicurezza. Impostare un discorso di sicurezza partecipata significa collegarsi con esterni che stanno affrontando gli stessi problemi. Da sempre gli Hacker hanno beneficiato della capacità di lavorare in rete tra loro; le aziende devo fare la stessa cosa e devono collaborare con le Istituzioni deputate al contrasto del cyber crime. In Italia noi abbiamo un accordo con il CNAIPIC, per attività congiunte di contrasto del crimine informatico, e con il CERT nazionale; inoltre partecipiamo a numerosi tavoli di lavoro e associazioni per la cybersecurity.
Infine, è importante oggi diventare sempre più esperti sul fronte della gestione degli incidenti, in modo da ridurre i tempi e i costi complessivi.
TIG. Le nuove norme europee, dalla Direttiva NIS alla GDPR, hanno dato particolare rilievo al tema dell’Incident response: come fare per gestire gli incidenti nel modo più efficace?
Corradino Corradi. Vodafone si avvale in Italia come nelle altre nazioni dei servizi erogati dal Global Security Operation Center, dedicato al monitoraggio 24 x 7 degli attacchi informatici contro la nostra infrastruttura. Oggi è molto importante essere ben preparati sugli aspetti di incident response: non è più solo un tema di detection, bisogna essere veloci nel reaction coinvolgendo tutti gli stakeholder corretti ed utili alla risoluzione del problema.
TIG. Sul fronte della formazione delle persone, quali sono le attività più efficaci?
Corradino Corradi. Si tratta spesso di uno sforzo impegnativo. Le modalità di security awareness sono diverse: la formazione tradizionale face-to-face con docente in aula è ancora preferita da alcuni, si sviluppa una maggiore empatia, ma bisogna oggi individuare il giusto trade-off e complementare il training d’aula con le nuove modalità di apprendimento basate su canali digitali. Il format più innovativo è oggi l’eLearning con elementi social e gaming, che servono a ingaggiare maggiormente le persone utilizzando modalità interattive di gioco e intrattenimento. Abbiamo inoltre realizzato dei video con Special Guest, posizionati poi sul portale intranet e su Yammer aziendale. E’ importante poi che i contenuti legati al tema della sicurezza pervadano un po’ tutti i canali della comunicazione aziendale, dalle newsletter aziendali, alla Intranet, all’attività vera e propria di formazione.
A cura di:
Elena Vaciago, The Innovation Group
