Le PMI devono bilanciare le esigenze e le risorse di sicurezza informatica

Le piccole e medie imprese (PMI) non sono immuni dagli attacchi informatici, ma devono lottare con un panorama delle minacce in evoluzione e sapere come gestire al meglio i rischi.

Durante la tavola rotonda sulla “Cybersecurity for SMBs: Navigating Complexity and Building Resilience” all’inizio di questo mese, Sage ha riunito un gruppo di CISO e altri professionisti della sicurezza informatica provenienti da piccole imprese, agenzie governative e organizzazioni no-profit per discutere alcune delle maggiori preoccupazioni che le PMI e i loro dipendenti devono affrontare. capacità di proteggere i propri beni aziendali. Tra le principali sfide per le PMI e le organizzazioni no-profit figurano:

• Il fattore umano. I dipendenti continuano a commettere errori, come fare clic sui collegamenti nelle e-mail di phishing o consentire l’accesso non protetto ai propri dispositivi, che mettono a rischio le reti aziendali.
• Esigenze di conformità di terze parti. Le organizzazioni partner, gli appaltatori, i fornitori e altre entità di terze parti richiedono alle PMI di soddisfare i propri requisiti di sicurezza informatica, in particolare quelle organizzazioni, come gli istituti finanziari, che sono altamente regolamentate.
• Leggi sulla privacy dei dati in tutti gli stati e paesi. Il mancato rispetto di tali requisiti di conformità potrebbe comportare sanzioni e multe.
• La forza lavoro ibrida. Le PMI non hanno più gli stessi livelli di supervisione dei dispositivi e dei comportamenti online quando i dipendenti lavorano in remoto, anche per parte del tempo.
• Piattaforme e settori target. Gli autori delle minacce cercano organizzazioni che utilizzano applicazioni progettate per raccogliere fondi o raccogliere grandi quantità di informazioni personali.
• Cambiare il panorama delle minacce. Ogni giorno sembrano emergere nuovi vettori di attacco, nuovi malware e nuovi autori di minacce.

Secondo un nuovo studio, quasi la metà delle PMI ha subito un incidente di sicurezza informatica nell’ultimo anno studio di Sage. Mentre il 69% degli intervistati in tutto il mondo afferma che la sicurezza informatica fa parte della propria cultura aziendale, quasi la stessa percentuale non la prende in considerazione finché non si verifica un incidente: solo 4 intervistati su 10 affermano che la loro azienda discute regolarmente di sicurezza informatica.

La sicurezza informatica non deve essere costosa

Dopo un attacco è troppo tardi per avviare discussioni su come proteggere la rete e l'azienda, ma molte PMI non dispongono dei sistemi giusti. Secondo la ricerca di Sage, ad esempio, il 46% delle PMI non utilizza firewall e il 19% si affida solo a strumenti molto basilari.

Sì, la sicurezza informatica può essere costosa. Aziende aziendali può avere fino a 100 strumenti di sicurezza in uso. Tuttavia, per le PMI non deve essere così complicato e alcuni approcci possono anche essere gratuiti o poco costosi.

Inizia creando un programma di rischio interno che supervisiona le politiche di sicurezza all'interno dell'azienda con particolare attenzione al comportamento dei dipendenti, ha raccomandato Shawnee Delaney, CEO di Vaillance Group, durante la tavola rotonda.

"È necessario avere delle conversazioni, a volte una conversazione scomoda, perché nessuno vuole pensare che i propri dipendenti possano fare qualcosa di dannoso", ha detto Delaney. “Ma la verità è che la stragrande maggioranza [degli incidenti informatici] non sono intenzionali”.

La gestione del ciclo di vita dell’occupazione umana è vitale per un sistema di sicurezza informatica efficace. Tutto inizia durante il colloquio e il processo di assunzione, assicurandosi di avere qualcuno che sia culturalmente adatto e disposto a riconoscere come la sicurezza informatica si inserisce nella struttura organizzativa, ha aggiunto Delaney. Una volta effettuata l'assunzione, segui i processi di onboarding che sottolineano l'igiene di sicurezza di base, inclusi i privilegi minimi e l'accesso in base alle necessità. E quando il dipendente se ne va, assicurati processi di offboarding interrompere completamente l'accesso.

Personalizza la formazione sulla sicurezza

A causa del legame umano con la sicurezza informatica, tutti in un’azienda più piccola, dal CEO in giù, devono avere una conoscenza di base di come si presentano le minacce. Esistono numerose opzioni di formazione sulla sensibilizzazione alla sicurezza, ma le PMI farebbero bene a evitare un’opzione valida per tutti.

La formazione dovrebbe essere rivolto ai singoli lavoratori sulla base di criteri quali la funzione lavorativa e i divari generazionali nell’esperienza e negli interessi tecnologici. I lavoratori più anziani spesso hanno uno stile di apprendimento diverso rispetto ai dipendenti più giovani, proprio come i dipendenti che svolgono lavori ad alta intensità di manodopera possono avere un rapporto diverso con la tecnologia rispetto a coloro che sono attaccati ai propri dispositivi tutto il giorno. Il mancato rispetto di queste differenze si traduce in un allenamento disomogeneo che potrebbe finire per causare più danni che benefici.

Trasformare la sicurezza informatica in una questione aziendale

C'è una tendenza, soprattutto tra le PMI, a pensare alla sicurezza informatica come a un problema IT per il quale tutta la conoscenza si trova nello spazio tecnologico, secondo Gustavo Zeidan, CISO di Sage.

Un approccio migliore è pensare a la sicurezza informatica come questione aziendale. La cultura della sicurezza è meglio guidata dall’alto, ha affermato Zeidan durante la tavola rotonda, e il management deve discutere delle minacce informatiche e di come le loro attività potrebbero essere prese di mira.

"I leader aziendali riconoscono che si tratta di un problema, ma non ne parlano", ha spiegato Zeidan. La cosa peggiore che può accadere è trovarsi impreparati di fronte a un incidente di sicurezza che interrompe le operazioni aziendali.

E quando si verifica un incidente informatico all'interno dell'azienda, non tenerlo nascosto. La Federal Trade Commission (FTC) offre linee guida su chi dovrebbe essere contattato, comprese le forze dell'ordine, i clienti e i fornitori.

Ma non fermarti qui. Comunicare con altre aziende e discutere le strategie per risolvere l'incidente. Condividi queste informazioni attraverso organizzazioni focalizzate sul settore o a livello locale Camera di Commercio riunioni: ovunque tu abbia contatti con altri leader aziendali.

“Se si verifica una violazione, sii aperto, sii onesto e condividi le lezioni apprese con altre aziende in modo che i professionisti possano imparare da ciò”, ha affermato Delaney. “Non importa se siamo concorrenti. È tutta sicurezza nazionale quando la riduci.

Sapere dove chiedere aiuto

Ogni azienda, indipendentemente dalle sue dimensioni, ha bisogno di più competenze in materia di sicurezza informatica di quante ne abbia. Indipendentemente da come la PMI investe nella sicurezza, la responsabilità della sicurezza informatica deve essere distribuita a tutta l’azienda.

Sono disponibili risorse per guidare le PMI nel loro percorso verso la sicurezza. La Cybersecurity and Infrastructure Security Agency (CISA), ad esempio, offre un Guida alla sicurezza informatica delle PMI che parla specificamente dei diversi ruoli legati alla sicurezza che gli individui svolgono in un ambiente di piccola impresa.

Le partnership con aziende di ogni tipo e dimensione sono fondamentali per la missione della CISA, ha affermato Lauren Boas Hayes, consulente senior per la tecnologia e l'innovazione presso la CISA, relatrice della tavola rotonda.

“Il panorama sta cambiando; ci sono nuove minacce ogni giorno”, ha aggiunto Delaney.

I professionisti e le aziende potrebbero sentirsi come se stessero giocando a "Colpisci la talpa" con i loro sforzi per contrastare queste nuove minacce, ma la buona notizia per le PMI è che esistono tecniche di mitigazione. È solo questione di trovare il programma che funziona meglio per la singola azienda.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/edge/how-smbs-can-balance-cybersecurity-needs-and-resources