Mortali per la tua azienda, semplici da evitare.

Incontriamo ogni settimana imprenditori e responsabili IT che ci contattano successivamente a perdite di dati o incidenti dovuti nella maggior parte dei casi ad incuria nella gestione o mancata consapevolezza. Purtroppo, accade sempre che a buoi scappati si voglia investire in modo compulsivo per fare in modo che l’incidente non accada più, ma non è quello il momento di fare scelte affrettate o inconsapevoli. Di fronte ad un problema importante è necessario contare fino a 10, prendersi il giusto tempo per riflettere e decidere sentendo più opinioni.

Quasi sempre le perdite di dati e/o i blocchi operativi delle strutture derivano da 4 macro-errori che vengono ripetuti con costanza. Soffriamo ad ogni incontro con situazioni del genere e se anche riuscissimo ad evitarne solo una con questo articolo, l’obiettivo sarebbe centrato! Partiamo dunque analizzando le problematiche principali e come poterle risolvere:

Mancanza di consapevolezza e formazione

Gli incidenti accadono praticamente sempre per cattive abitudini nell’uso dei sistemi informatici. Apertura di link fraudolenti, uso di sistemi personali non gestiti per l’accesso a sistemi aziendali, ed, in generale, quello che chiamiamo “click compulsivo”.

“Abbiamo poco tempo da perdere, i “capi” ci chiedono di essere produttivi e non c’è tempo da perdere in formazione. Non bisogna nemmeno perdere tempo in stupidi sistemi di autorizzazione che non fanno altro che rallentare l’operatività”

Questa è la risposta che spesso otteniamo quando invitiamo i clienti ai webinar formativi. Il tasso di partecipazione medio è il 3% del totale del personale dei clienti che seguiamo. Sono gratuiti. Ma spesso vengono visti come perdita di tempo. In compenso ogni anno si fanno gli aggiornamenti per l’anticendio, per il primo soccorso, ecc…

La sicurezza della propria organizzazione passa per la consapevolezza: se gli utenti non sono coscienti del fatto che anche un solo click potrebbe essere fatale e non sono istruiti sulla necessità di fermarsi e leggere ogni email con attenzione, anzichè accendere il telefono o il pc al mattino e fare click-click-click in maniera compulsiva…, siamo di fronte al primo, grande errore.

Quanto costa la formazione e la consapevolezza? 4 ore all’anno, mediamente.

Quanto costa perdere i dati o avere un blocco aziendale? Da qualche decina di migliaia di euro, fino alla chiusura.

“Tanto abbiamo i backup”

Certo. I backup sono la panacea di tutti i mali. Ma praticamente sempre, quando ci troviamo a dover gestire un incidente ( cryptolocker, perdita di dati, sistemi non accessibili…) i backup esistevano, ma non esisteva una procedura per la verifica e la validazione degli stessi.

Normalmente si pensa che l’azienda che segue l’informatica e che “ha installato i server”, o la software house, abbiano impostato in maniera corretta i backup. Altrimenti proprio non ci si pensa.

Ma il salvataggio dei dati non può essere statico. I dati sono vivi.

I gestionali si aggiornano, vengano cambiate le destinazioni di scrittura, vengono create nuove cartelle condivise, vengono installati nuovi servizi. E le software house non pensano alla salvaguardia del dato, a ragion veduta. Chi fornisce i software si occupa del fatto che il programma funzioni, non che ne venga garantita la salvaguardia.

Quindi, se il vostro backup è stato impostato e non viene verificato perlomeno una volta all’anno, effettuando il censimento delle banche dati aggiornate, sarà inutile.

In seconda istanza, spesso troviamo dei backup che sono impostati in maniera non corretta. Eseguiti in locale e su reti non sezionate e/o comunque accessibili in maniera semplice dalla rete dove si è insinuato l’attaccante. Quest’ultimo, facendo partire l’attacco al venerdì sera, avrà tutto il tempo di rendere inutilizzabili sia i dati dei vostri server ( locali o cloud che siano ), che dei backup.

“E’ tutto in cloud”

Ma cos’è il cloud? Risposta semplice: un sistema non posizionato a casa vostra, ma a “casa” di qualcun’altro.

A chi dareste in custodia casa vostra nel periodo estivo se andate in vacanza per alcuni mesi? Immaginiamo a persone referenziate, parenti o comunque soggetti che vi garantissero la massima affidabilità.

Il “cloud” invece, viene semplicemente scelto perchè “siamo nel 2024, non ha senso tenersi i dati in azienda”. E lasciamo la gestione della sicurezza ( le chiavi di casa ) a società che nemmeno conosciamo, proposte dalle software house o dal consulente IT di turno.

Chi gestisce i servizi in cloud deve garantire condizioni di riservatezza e salvaguardia dei vostri dati tangibili, per iscritto e verificabili. E vanno verificate. I dati sono i vostri, e se vengono persi o diventano inaccessibili, farete pure causa a qualcuno in Lussemburgo, Irlanda o chissà dove, ma intanto la vostra organizzazione chiude, per sempre.

“Abbiamo l’IT interno, siamo al sicuro”

Ci sono strutture come la nostra che nemmeno in 18 persone a livello di gruppo sono convinte di riuscire ad essere sufficentemente informate e skillate per poter proteggere al meglio le strutture dei propri clienti. I rischi e le modalità di attacco sono sempre diverse e con l’avvento dell’Intelligenza Artificiale il compito è diventato ancor più arduo. Credete che uno o due dipendenti interni possano essere onniscienti per poter gestire con efficacia, sicurezza, sistemi, videosorveglianza, centralino, rapporti con le software house, gestione dei data base, gestione della privacy, rapporti con i fornitori, acquisti, fotocopiatori, ecc ecc…?

l’IT manager viene visto come superman, ma come tutti gli umani ha 40 ore alla settimana ( che spesso diventano 80 visto che il suo telefono personale diventa la destinazione obbligata di tutti i dubbi dei colleghi e dei fornitori ) e da solo non riesce a garantire la sicurezza e l’efficienza di tutto il mondo IT.

“Ma, già l’IT interna costa uno sproposito, e loro devono fare in modo che vada tutto bene”

E purtroppo si mettono il vestito da superman, ma i criminali sono centinaia, ed un solo superman non ce la fa.