Smetti di incolpare l'utente finale per il rischio per la sicurezza

È comune tra i professionisti della sicurezza informatica indicare l'utente finale come una delle principali aree di rischio nella protezione dell'organizzazione. Questo è comprensibile. I sistemi e il software sono sotto il nostro controllo, ma gli utenti sono imprevedibili, quella variabile indisciplinata che espande la nostra superficie di minaccia a ogni utente geograficamente disperso, dispositivo personale e debolezze e difetti fin troppo umani.

Certamente, gli attori delle minacce prendono di mira i nostri utenti con successo: non sono qui per respingere questa ovvia verità. Ma ciò che è altrettanto certo è questo: WNon possiamo addestrare la nostra via d'uscita da questo problema. Le aziende investono ingenti investimenti nella formazione degli utenti sulla consapevolezza della sicurezza e, tuttavia, subiscono violazioni imbarazzanti e costose. Pertanto, concentrarsi principalmente sulla protezione dell'utente finale non è una buona strategia.

Sistemi sicuri con una nuova strategia in mente

Fatto: i tuoi utenti sono un importante fattore di rischio. Secondo Verizon “2022 Data Breach and Investigations Report", il 35% delle infezioni da ransomware è iniziato con un'e-mail di phishing. Fatto: questo nonostante i crescenti investimenti nella formazione sulla consapevolezza della sicurezza nel corso di molti anni. Il mercato della formazione sulla cybersecurity awareness è destinato a crescere da $ 1,854.9 milioni nel 2022 a $ 12,140 milioni entro il 2027. Fatto: anche con tutti questi investimenti, il ransomware (proprio come un tipo di attacco) dovrebbe anche crescere in modo aggressivo, nonostante i molti sforzi organizzativi, compresa la formazione.

Fatto triste e inevitabile: i nostri utenti continueranno a commettere errori, dopotutto siamo tutti umani. Un sondaggio condotto per dimostrare la necessità di una maggiore formazione sulla sicurezza, a mio avviso, ha dimostrato la sua incapacità di fermare la crisi informatica: quattro intervistati su cinque hanno ricevuto una formazione sulla sensibilizzazione alla sicurezza; tra il 26% e il 44% (in base all'età demografica) ha continuato comunque a fare clic su collegamenti e allegati da mittenti sconosciuti.

Non contare solo sulla protezione dell'utente

Dovremmo concludere che la sicurezza organizzativa non deve fare molto affidamento sulla protezione dell'utente, che verrà compromesso, e quindi iniziare a proteggere i sistemi con questo presupposto in mente. Pertanto, anche se un utente finale viene violato, la quantità di danni sistemici provocati da tale compromissione non dovrebbe essere elevata se le misure di sicurezza adeguate sono impiegate e orchestrate correttamente.

Dovremmo formare i nostri utenti finali? Assolutamente, enfaticamente, sì. Una sicurezza forte richiede un approccio a più livelli, e questo significa rafforzare la tua sicurezza proteggendo ogni porta dei tuoi sistemi. Ma dobbiamo iniziare a rimuovere il rischio dell'utente finale dall'equazione. Ciò richiede alcune scelte difficili e un significativo consenso della leadership a queste scelte.

Come possiamo disarmare gli utenti come un rischio principale?

Le organizzazioni devono bloccare meglio l'accesso e orchestrare i controlli di sicurezza. I sistemi sono troppo aperti per impostazione predefinita; dobbiamo renderli chiusi per impostazione predefinita, valutare ciascuno per il rischio e quindi aprire l'accesso per eccezione e con piena intenzionalità. Gli utenti non possono fare clic o aprire ciò a cui non possono accedere e nelle organizzazioni che valutiamo o rimediamo dopo la violazione, vediamo dipendenti e sistemi che hanno un accesso molto maggiore del necessario nel corso del lavoro. Le aziende dovrebbero basarsi su un'orchestrazione della sicurezza più forte tra le persone, i processi e la tecnologia in modo che, se un attore della minaccia dovesse comunque ottenere l'accesso tramite un clic improprio, ci siano controlli progettati per fermare il loro movimento laterale e la raccolta/escalation delle credenziali.

Le organizzazioni possono adottare misure proattive per ridurre i rischi per gli utenti, tra cui: bloccare l'accesso agli account di posta elettronica personali; filtraggio del traffico HTTPS con ispezione deep-packet; blocco dell'accesso a Internet a subnet/VLAN non utente per impostazione predefinita; richiedere che tutto il traffico degli utenti venga ispezionato e filtrato tutto il tempo, indipendentemente dall'endpoint; vietare tutti i sistemi di condivisione di file e i depositi di password tranne quelli approvati dall'IT; e l'abilitazione di funzionalità di sicurezza in strumenti come firewall e rilevamento e risposta degli endpoint (EDR).

Perché non è già stato fatto? Le Barriere

Il blocco dell'accesso a siti e piattaforme personali e il rallentamento dell'accesso ai sistemi dovuto a filtri/ispezioni possono causare un certo grado di insoddisfazione degli utenti e dei leader. Alcuni degli strumenti necessari sono anche costosi.

L'IT ha bisogno di una voce più forte, che esprima problemi, soluzioni, rischi e risultati del fallimento in termini che i leader possano ascoltare e comprendere, in modo che possano essere allocati controlli adeguati e costi associati. Gli utenti possono quindi essere istruiti dall'alto verso il basso sul motivo per cui questi controlli sono necessari; pertanto, l'educazione alla consapevolezza della sicurezza può passare da "non fare clic ed ecco perché" a includere "Blocchiamo la maggior parte delle cose per impostazione predefinita, ed ecco perché". I leader che scelgono ancora di non fare investimenti più aggressivi hanno la pelle in gioco sul livello di rischio che scelgono di accettare per l'organizzazione.

Spesso i team IT sono anche a corto di personale o esperienza: non possono mitigare i rischi che non possono vedere; educare sulle minacce che non conoscono; o abilitare strumenti su cui non sono addestrati. I team senza questa visibilità dovrebbero prendere in considerazione valutazioni approfondite di controlli, configurazioni e orchestrazione da parte di esperti qualificati.

Una cosa è certa: non importa quanta formazione forniamo, gli utenti saranno sempre fallibili. È essenziale ridurre al minimo le opzioni degli utenti per fare clic in primo luogo e quindi garantire che, quando lo fanno, ci sono controlli in atto interrompere la progressione dell'attacco.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• Platoblockchain. Web3 Metaverse Intelligence. Conoscenza amplificata. Accedi qui.
• Fonte: https://www.darkreading.com/risk/stop-blaming-the-end-user-for-security-risk