Le convinzioni e i comportamenti degli utenti sono pilastri fondamentali della cultura. In Germania, i pedoni aspettano il semaforo verde prima di attraversare la strada in sicurezza. In alcuni paesi dell’Asia, mangiare rumorosamente è un segno di gradimento del pasto.
In che modo il tuo programma di sensibilizzazione alla sicurezza influenza positivamente i comportamenti e le convinzioni degli utenti? Diamo un'occhiata.
Utenti: problema o soluzione?
La risposta a questa domanda dipende da come gli utenti finali sono percepiti dai team della sicurezza delle informazioni. In genere, tendono a considerare gli utenti soprattutto come un problema. È comprensibile, se si pensa che secondo il Report 2019 sulle violazioni dei dati Verizon (DBIR) il 94% delle violazioni dei dati deriva da attacchi che hanno preso di mira le persone. Se gli utenti non si lasciassero ingannare da questi attacchi, il carico di lavoro per i team della sicurezza diminuirebbe sensibilmente.
Per cambiare questa visione del mondo occorre tempo, ma è un primo passo fondamentale per cambiare il modo in cui gli amministratori considerano i propri utenti e il loro programma. Questo cambiamento è già in corso: molti clienti ci hanno raccontato del modo in cui i loro dipendenti formati hanno sovvertito completamente la tradizionale concezione degli utenti come problema perenne e hanno adotta un comportamento proattivo.
Un approccio più prudente alla gestione delle email
Una delle prime iniziative di formazione che osserviamo presso la maggior parte dei nostri clienti che implementano un programma di sensibilizzazione alla sicurezza è quella di concentrarsi sul principale vettore delle minacce, ovvero l’email. In estrema sintesi, il messaggio è quello di non aprire, fare clic, scaricare o farsi persuadere a rispondere alle email. Anche se si ritiene un’email legittima e sicura, bisogna verificare cosa si è ricevuto e non agire di fretta.
Gli strumenti utilizzati dalle aziende nei loro programmi
Tuttavia, questi programmi non indicano come gli utenti dovrebbero comportarsi con un’email ritenuta potenzialmente pericolosa, oltre a evitarla. Secondo il nostro report State of the Phish 2020 solo il 15% delle aziende utilizza uno strumento di segnalazione delle email come parte dei loro programmi di sensibilizzazione alla sicurezza e la percentuale di utenti che sono consapevoli di come usare questo tipo di strumenti rimane bassa.
Il componente aggiuntivo di segnalazione delle email permette agli utenti che non sono sicuri di come rispondere a un’email potenzialmente pericolosa di reagire rapidamente inoltrando il messaggio al team appropriato. Un tale strumento semplifica gli scambi iniziali con gli utenti in termini di inclusione di informazioni come le intestazioni, ma genera anche un ulteriore volume di messaggi per il team di risposta agli incidenti, già sovraccarico.
Cultura basata su Proofpoint Closed-Loop Email Analysis and Response (CLEAR)
Dare agli utenti la possibilità di segnalare le email sospette è un buon inizio, ma è essenziale fornire loro un riscontro, per rafforzarne i comportamenti con esempi concreti. Uno dei modi più efficaci per farlo è attraverso il ciclo di riscontri disponibili nella nostra soluzione CLEAR.
Dopo che un utente ha segnalato un messaggio, le nostre funzionalità integrate di threat intelligence e di analisi degli URL e degli allegati in ambiente sandbox analizzano e classificano il messaggio. Sulla base della classificazione, il flusso di lavoro CLEAR invia messaggi personalizzati all’utente per informarlo del tipo di email segnalata (spam, email di massa, messaggio dannoso, ecc.) e per ringraziarlo del contributo.
Questo risparmio di tempo è particolarmente importante per i team IT che devono garantire la sicurezza dei dipendenti in telelavoro in ogni momento della giornata. Uno dei nostri clienti ha risparmiato ben 345.000 dollari per una posizione di addetto alla risposta agli incidenti nell’arco di tre anni. Maggiori dettagli sono disponibili nel report Forrester Total Economic Impact™.
I nostri clienti hanno compreso i vantaggi di questo flusso di lavoro per i team dedicati alla risposta agli incidenti e gli utenti della loro azienda:
“La capacità di rendere tutti i dipendenti parte del team di sicurezza informatica, portandoli a segnalare i tentativi di phishing con un semplice clic su un pulsante in Outlook e a eliminarli da tutte le caselle email dei dipendenti, è estremamente efficace.”
Fornendo risposte e riscontri chiari agli utenti in merito alle email segnalate, se ne consolidano le convinzioni e si affina la loro capacità di identificazione dei messaggi pericolosi. Dal canto loro, i team IT possono trasformare questi utenti ben addestrati in una risorsa preziosa contro attacchi sempre più mirati e sofisticati.
Molti dei nostri clienti sono andati ancora oltre, organizzando concorsi e piani di ricompensa mensili o trimestrali per ringraziare i loro utenti. Così facendo, rafforzano positivamente le loro convinzioni e i loro comportamenti, il che li aiuta a creare una cultura di sensibilizzazione alla sicurezza.
Ottimizzare la comunicazione relativa alla sensibilizzazione alla sicurezza con le parti interessate
Un altro componente essenziale della cultura è la comunicazione. Una volta che il processo di segnalazione delle email e applicazione delle misure correttive è avviato, i team della sicurezza delle informazioni hanno a disposizione nuovi parametri da condividere. Spesso i professionisti della sicurezza parlano di “percentuali di clic” o di “tassi di insuccesso” in termini di suscettibilità degli utenti a cadere vittime di simulazioni di attacchi di phishing. Ora però i team della sicurezza delle informazioni possono comunicare un nuovo parametro chiave: il tasso di segnalazione da parte degli utenti.
Secondo il nostro report State of the Phish 2020, il tasso di segnalazione varia più della percentuale di clic, pertanto si tratta di un parametro più interessante da tracciare e da comunicare alle parti interessate. Il report evidenzia anche che le aziende migliori hanno un tasso di segnalazione superiore al 70% nelle simulazioni di attacchi di phishing, un risultato eccellente che può avere un grande impatto sulla loro esposizione agli attacchi di violazione dell’email aziendale e di spear phishing.
La condivisione del tasso di segnalazione con le parti interessate è indicativa della resilienza e delle competenze degli utenti, senza la connotazione negativa legata al tasso di clic o di insuccesso. I team della sicurezza delle informazioni possono inoltre testimoniare come attacchi segnalati dagli utenti sono stati fermati grazie a un dipendente formato e consapevole. Comunicare con le parti interessate e gli utenti relativamente al modo in cui contribuiscono a proteggere l’azienda dà prestigio al tuo programma e crea in modo naturale una solida cultura di sensibilizzazione alla sicurezza.
Sei pronto a creare una cultura di sensibilizzazione alla sicurezza nella tua azienda? Per saperne di più sulla nostra soluzione CLEAR.