Gli aggiornamenti non si limitano solo a fornire nuove funzionalità e correggere bug, ma eliminano anche le vulnerabilità relative alla sicurezza sfruttate dai criminali informatici. Ecco perché la gestione delle patch è essenziale per la sicurezza aziendale.
Tuttavia, alcuni dipendenti sono riluttanti ad aggiornare i dispositivi aziendali e lasciano che all’interno della rete aziendale ci siano computer, laptop e smartphone vulnerabili.
Secondo un sondaggio di Kaspersky, quasi la metà dei dipendenti di PMI non aggiorna regolarmente i propri dispositivi ed i software in uso: proprio quella tipologia di aziende più vulnerabile agli attacchi informatici!
Quindi, nonostante gli aggiornamenti migliorino le funzionalità e la sicurezza dei software e dei sistemi, ci sono ancora molte resistenze e gli avvertimenti ad aggiornare vengono costantemente ignorati.
Gli aggiornamenti dei software vengono distribuiti dopo test di sicurezza alla ricerca di falle nei sistemi che potrebbero essere sfruttare dai criminali. Gli aggiornamenti dei software e delle applicazioni non servono quindi ad avere nuove funzionalità ma hanno l’importante funzione di mantenere elevato il livello di sicurezza.
Installare le versioni aggiornate dei software non è solo una buona prassi necessaria ai fini della sicurezza ma si rivela necessaria per ottenere, a lungo termine, un vantaggio economico!
Perché non aggiorniamo.
Secondo una ricerca, “Pain in the neck”, gli italiani non aggiornano i loro dispositivi per i seguenti motivi:
1. perché la notifica arriva durante le ore di lavoro (35%)
2. perché l’utente in quel momento sta utilizzando il dispositivo per un’attività che non vuole interrompere (26%)
3. perché non intende chiudere le applicazioni aperte (23%).
In totale, il 62% degli intervistati ritiene che rimandare o non procedere con l’installazione degli aggiornamenti non costituisca un problema per la sicurezza.
Molti degli intervistati ammette quindi di aver ritardato o ignorato gli aggiornamenti, mettendo così in grave rischio tutta l’azienda. Inoltre gran parte dei dipendenti concorda sul fatto che imparare a utilizzare nuove versioni di software sia una perdita di tempo che potrebbe essere speso per lavorare.
E’ vero, anche se gli aggiornamenti vengono scaricati senza impedire il lavoro, per applicarli è necessario riavviare il PC. Naturalmente ci sono delle questioni di lavoro che non si possono o è difficile rimandare. Ovviamente la richiesta di riavvio arriva sempre nei momenti peggiori: mentre si sta scrivendo una lunga e-mail o mentre si sta completando un preventivo importante o stiamo registrando in contabilità. Tuttavia il riavvio può essere gestito e pianificato in momenti o modalità in cui non disturba le normali attività; ciò nonostante spesso si decide, deliberatamente, di non applicare gli aggiornamenti.
I dipendenti temono quindi che il tempo speso per aggiornare i dispositivi possa influire sulla loro produttività.
Consigli utili per istallare gli aggiornamenti
#1. Gli aggiornamenti possono essere scaricati fuori orario di lavoro, sfruttando la tecnologia, “wake-on-LAN”, che consente di attivare i terminali da remoto. Se ne potrebbe occupare il servizio di supporto tecnico esterno oppure il servizio IT interno.
#2. Altro suggerimento. Pianificare gli aggiornamenti per gruppi e procedendo in turni diversi. L’operatività aziendale ne risentirebbe in maniera minima ed il suopporto IT potrebbe supportare tutti in caso di necessità.
#3 Gli aggiornamenti possono infine essere pianificati, ad esempio verso la fine della giornata lavorativa. In questo modo verranno scaricati quando i PC sono ancora accesi ma l’attività lavorativa è in genere ridotta.
Purtroppo, a causa del crescente desiderio dei criminali informatici di raccogliere informazioni a proprio vantaggio, le minacce sono in continua evoluzione, le tecniche di hacking diventano sempre più sofisticate e le aziende dovrebbero essere più consapevoli delle minacce e delle violazioni che sfruttano le vulnerabilità di sistemi non aggiornati.
Con il giusto approccio e le tecnologie moderne, le organizzazioni possono adottare dei piani per ridurre questi rischi, senza dover impiegare risorse sproporzionate.
E’ importante quindi adottare un approccio c.d. di “Security by design”.
Non è solo importante istallare gli aggiornamenti ma progettare sistemi di protezione e pianificare le attività di manutenzione. Per fare ciò si rende necessaria anche una pianificazione delle attività di informazione e formazione aziendale, a tutti i livelli, sul giusto approccio alla sicurezza delle informazioni. La formazione, dunque, non deve rivolgersi solo ai dipendenti, ma deve sensibilizzare anche i vertici aziendali per insegnare loro a considerare il budget di cybersecurity come un investimento strategico
La formazione è infatti lo strumento principe per informare tutti gli attori nell’ambito aziendale dell’importanza di aggiornare tempestivamente i dispositivi e dei rischi a cui sono esposti i loro dati e le risorse aziendali nel caso in cui i criminali informatici riuscissero a sfruttare vulnerabilità senza patch. E' la strategia per limitare al minimo il potenziale impatto negativo dell'anello debole della catena, l'essere umano!
Lasciare che un dipendente possa fare qualcosa di sbagliato o pericoloso - come ad esempio rendere accessibile un documento ai cyber criminali perché condiviso su app di messaggistica o perché ha utilizzato una comunicazione non protetta – prima di rendersi conto di quanto possano essere gravi le conseguenze di un attacco informatico è un errore dalle conseguenze catastrofiche.
I documenti che finiscono nella spazzatura contengono molte informazioni che possono mettere a rischio la sicurezza delle aziende. Come devono essere distrutti senza correre rischi? Articolo originale su Informatore Informatico Nel materiale cartaceo che le aziende gettano nella spazzatura ci sono molte informazioni utili per un cyber criminale che volesse organizzare un attacco ad una azienda, ad esempio utilizzando tecniche di ingegneria sociale. Questo contrasta con la visione, magari un po' romantica, ma diffusa e consolidata, che abbiamo dei pirati informatici, ma in realtà frugare nella spazzatura è quello che...
Scritto da:Non possono essere utilizzate liste a fini marketing provenienti da altri titolari. ll consenso va acquisito per ciascun passaggio dei dati tra più titolari. Il Garante Privacy interviene di nuovo sanzionado IREN MERCATO SPA, società del mercato energretico, per non aver correttamente raccolto il consenso per attività di marketing. La società avrebbe errato nell’uso di dati personali raccolti da terzi (c.d. list broker), i quali hanno venduto liste di contatti alla società. Quest'ultima li ha utilizzati per comunicazioni di marketing ma senza i necessari...
Scritto da: Luigi DuraccioCome sopravvivere ad un attacco ransomware: la storia vera di una impresa colpita da un virus. Una azienda racconta di aver ricevuto, in risposta a un’inserzione per un posto di lavoro, un file infetto e di aver evitato per poco la catastrofe. Non è una storia recente ma, in questo momento, può essere un utile case history. Il numero di attacchi ransomware sta aumentando in tutto il mondo e il nostro paese è ai primi posti per violazioni subite: c'è poco da stare sereni. E' il titolare...
Scritto da: Luigi DuraccioAdottate le nuove clausole contrattuali standard per regolare, in linea col GDPR, il trasferimento dei dati verso Paesi Terzi ed i rapporti tra titolare e responsabile del trattamento. La Commissione Europea, il 4 giugno 2021, ha approvato le clausole contrattuali standard che regoleranno i contratti di outsourcing e quelle che andranno a regolare il trasferimento di dati verso Paesi Terzi. Due sono quindi gli schemi elaborati dalla Commissione Europea: la gestione del rapporto tra titolare e responsabile del trattamento; le regole per i trasferimenti di dati personali verso Paesi Terzi, fuori dall'Unione Europea. Questo intervento era...
Scritto da: Luigi DuraccioGli attacchi ransomware sono in aumento in tutto il mondo e l'Italia guida questa poco edificante classifica. I criminali informatici adottano tattiche sempre più sofisticate e mirano sempre più precisamente i bersagli più semplici e per questo più vulnerabili. E chi decide di pagare poi subisce anche un secondo attacco! Anche l'FBI riporta di un aumento del 225% delle perdite totali da ransomware solo negli Stati Uniti nel 2020. Secondo Cybersecurity Ventures, le aziende sono sotto attacco ogni 11 secondi, in...
Scritto da:Il modello break-fix non è solo obsoleto ed anacronistico e lontano da un approccio professionale, ma è anche molto costoso. Fonte: Informatore Informatico Autore: Luigi Duraccio “Quando si rompe, aggiustalo”. Il modello break-fix o a chiamata, in estrema sintesi, funziona così. Questo modello è ancora oggi il più diffuso ed utilizzato ma, chi lavora con un approccio professionale nel campo dei servizi di sicurezza evoluti, sa che il break-fix è un modello superato, inefficiente e, al contrario di quanto si possa pensare,...
Scritto da: Luigi DuraccioI vantaggi di affidarsi ad un servizio esterno non si limitano alla riduzione dei costi, significa gestire la cyber security con tutti quei servizi che molte PMI non riescono a gestire da sole. Fonte: Informatore Informatico Autore: Luigi Duraccio Le minacce dal crimine informatico sono in costante aumento! La trasformazione digitale che ha interessato tutte le imprese in questo ultimo anno e mezzo ha rappresentato, e continua a rappresentare, una grande opportunità di incrementare i profitti illeciti da parte del crimine informatico. E...
Scritto da: Luigi DuraccioIl Garante Francese inizia i controlli su siti e app per verificare il rispetto delle norme sul consenso ai cookie. Dal 31 marzo, l'Autorità francese per la protezione dei dati (CNIL) ha iniziato a controllare attivamente che siti e app rispettino le linee guida sul consenso ai cookie. Ecco un breve elenco di 5 requisiti da verificare sul tuo sito e capire se questi controlli ti riguardano. Questi nuovi requisiti ti riguardano? Per prima cosa capiamo chi deve adeguarsi ai requisiti richiesti dal Garante...
Scritto da: Luigi DuraccioPubblicata su forum di hacking una gigantesca lista di password, la più grande della storia. Il sito di informazione cybernews.com ha riportato la notizia: la più grande lista di password di tutti i tempi è stata pubblicata su uno dei più popolari forum dedicati all’hacking. Si tratta di un file di oltre 100GB con più di 8,4 miliardi di password. Se si pensa che gli utenti collegati on line sono circa 4,7 miliardi la lista potrebbe includere le password di diversi account di quasi...
Scritto da: Luigi DuraccioMartinelli S.r.l. Via Circonvallazione N/E, 98 - 41049 Sassuolo (MO) | Tel: 0536 868611 Fax: 0536 868618 | info@martinelli.it
P.Iva 02262430362 - C.F. 01413050350 - Iscriz. registro Imprese di Modena 01413050350 - Capitale Sociale 350.000 i.v.