Sebbene i responsabili delle decisioni e i capi si aspettino che i dipendenti abbiano un alto livello di consapevolezza della sicurezza informatica, molto spesso cadono vittime di phishing, utilizzano password errate o le condividono al di fuori dell'azienda. Un interessante studio Ivanti.
Il provider di sicurezza Ivanti ha pubblicato i risultati dello studio internazionale "State of Security Preparedness 2023". Di conseguenza, le aziende tedesche sono solo parzialmente in grado di respingere efficacemente gli attacchi. Ci sono grosse lacune, specialmente nelle aree della gestione delle patch e della protezione dagli attacchi attraverso la catena di approvvigionamento. Per lo studio, Ivanti ha intervistato 6.500 dipendenti di tre livelli funzionali in tutto il mondo, 1.050 dei quali dalla Germania.
I decisori mettono in dubbio il proprio concetto di sicurezza
Molti decisori tedeschi nutrono notevoli dubbi sui loro concetti di sicurezza. Un manager su dieci è convinto che la propria azienda non possa prevenire o fermare un grave incidente di sicurezza entro i prossimi 12 mesi. Ciò significa che le preoccupazioni dei leader delle aziende tedesche sono più alte che in qualsiasi altro paese.
Questi dubbi riguardano anche le finanze aziendali: 9 aziende su 10 hanno già accumulato riserve per pagamenti ransomware e costi in caso di attacco. Anche sotto questo aspetto i decisori tedeschi sono i leader indiscussi dei Paesi considerati. Quasi la metà del budget informatico annuale (49%) va in tali riserve, il resto va in strumenti e team di sicurezza (43%) e assicurazioni informatiche (6%).
Consapevolezza informatica nel piano dirigenziale? nessuno
🔎 Il team di sicurezza informatica ha la capacità di correggere le vulnerabilità in base alla priorità? (Immagine: Ivanti).
È interessante notare che sono soprattutto gli stessi responsabili delle decisioni C a mancare della necessaria quantità di consapevolezza informatica. Rispetto ai loro impiegati, hanno circa tre volte più probabilità di cadere vittime di attacchi di phishing:
- 2/3 sono stati attaccati dal phishing nell'ultimo anno
- 1/3 ha fatto clic su e-mail di truffa e phishing o ha effettuato pagamenti
- Il 37% ha condiviso una password di lavoro con qualcuno al di fuori dell'azienda
- Il 71% utilizza password che hanno più di un anno
- 1/3 utilizza la stessa password per accessi o dispositivi diversi
In questo contesto, una dichiarazione del livello dirigenziale sui motivi della mancanza di eccellenza informatica nella propria azienda è piuttosto irritante. Per più di 1/3 di loro (38%), l'eccessiva dipendenza dalla propria forza lavoro gioca un ruolo centrale. 1/3 del livello C lamenta inoltre che la formazione sulla sicurezza per i dipendenti è inefficiente o incompleta.
Problema di gestione delle patch figlio
Nel complesso, lo studio Ivanti chiarisce che le aziende tedesche stanno facendo molto per proteggersi dagli attacchi informatici, ma la maggior parte delle aziende è ancora alle prese con una mentalità reattiva da lista di controllo. Ciò è più evidente nei processi degli stessi team di sicurezza, in particolare nella gestione delle vulnerabilità. Oggi è importante colmare quelle falle di sicurezza che rappresentano un rischio concreto per la singola azienda.
Ma invece di dare la priorità alle vulnerabilità in base al rischio, i team di sicurezza tedeschi cercano ancora di risolvere il maggior numero possibile di vulnerabilità. Per chiarire, mentre 9 professionisti della sicurezza su 10 affermano di avere un metodo per stabilire le priorità, confermano anche che tutti i tipi di vulnerabilità sono ugualmente importanti per loro. Alla fine, perdono tempo prezioso di cui approfittano gli aggressori informatici.
Non esiste sicurezza IT senza gestione delle patch
🔎 Qual è la priorità delle patch di vulnerabilità? (Immagine: Ivanti).
"Il patching rimane un compito fondamentale della sicurezza IT", spiega il Dr. Srinivas Mukkamala, Chief Product Officer di Ivanti. “Ma anche i team IT e di sicurezza che dispongono di personale e risorse finanziarie adeguate hanno ancora problemi a stabilire le priorità necessarie. La sicurezza aziendale oggi non è più concepibile senza una gestione delle patch basata sul rischio. Si tratta di identificare, stabilire le priorità e correggere le vulnerabilità senza intervento manuale."
Sulla strada per la gestione delle patch basata sul rischio, i team di sicurezza tedeschi sono già un gradito passo avanti rispetto alla media internazionale. Il 48% dei team di sicurezza IT in Germania si sta già concentrando sui vettori di attacco che vengono attivamente sfruttati piuttosto che sulle ultime vulnerabilità. A livello globale, la media è solo del 31%.
I dati dell'azienda sono aperti
Alla domanda sui principali vettori di attacco degli ultimi 2 anni, il phishing si è classificato al primo posto tra i team di sicurezza con un ampio margine (1%). Più della metà degli specialisti della sicurezza aveva già avuto esperienza con esso in passato. Seguono a notevole distanza gli attacchi ransomware (51%) o le minacce alle vendite e alla catena del valore (22%). Ciò è significativo in quanto gli attacchi alla catena di approvvigionamento, in particolare, sono aumentati in modo significativo in tutto il mondo nell'ultimo anno.
Dopotutto: il 41% degli specialisti della sicurezza tedeschi sa che ex dipendenti e collaboratori esterni hanno ancora accesso a sistemi o dati. Quando si tratta di protezione contro l'esfiltrazione di dati tramite attacchi alla catena di approvvigionamento, le aziende tedesche sono ancora ben posizionate rispetto ad altri paesi. Più della metà di tutti i team IT e di sicurezza (51%) è in grado di revocare le autorizzazioni a terze parti, consulenti o appaltatori al termine di un servizio. Tuttavia, per il 37% ciò richiede già da 2 a 5 giorni, il che è chiaramente troppo lungo data la finestra temporale ristretta di un attacco tramite una distribuzione o una catena del valore.
Confronto Paese: la Germania sta andando bene
In un confronto tra paesi, i dipartimenti di sicurezza tedeschi sono ancora in una buona posizione, ma stanno lottando con le omissioni del passato. Non hanno una visione completa di tutti gli strumenti e i sistemi utilizzati in azienda. Mancano inoltre metodi chiari per misurare l'efficacia dei loro programmi informatici. Qui, i loro processi di sicurezza devono migliorare e crescere oltre un approccio di sicurezza reattivo.
Altro su Ivanti.com
A proposito di Ivanti La forza dell'IT unificato. Ivanti collega l'IT con le operazioni di sicurezza aziendale per governare e proteggere meglio il posto di lavoro digitale. Identifichiamo le risorse IT su PC, dispositivi mobili, infrastrutture virtualizzate o nel data center, indipendentemente dal fatto che siano on-premise o nel cloud. Ivanti migliora l'erogazione dei servizi IT e riduce i rischi aziendali grazie a competenze e processi automatizzati. Utilizzando le moderne tecnologie nel magazzino e lungo l'intera catena di fornitura, Ivanti aiuta le aziende a migliorare la loro capacità di consegna, senza cambiare i sistemi di back-end.