Kaspersky ha condotto uno studio per conoscere le opinioni dei professionisti della sicurezza informatica, che lavorano per PMI ed enterprise di tutto il mondo, in merito all’impatto che i dipendenti hanno sulla sicurezza informatica aziendale. La ricerca mirava a raccogliere informazioni su diversi gruppi di persone che influenzano la sicurezza informatica, considerando sia il personale interno, sia gli attori esterni.

Lo studio ha rivelato che, oltre ai veri e propri errori, le violazioni delle policy di sicurezza informatica da parte dei dipendenti sono uno dei maggiori problemi per le aziende. Gli intervistati delle organizzazioni di tutto il mondo hanno infatti dichiarato che negli ultimi due anni sono state compiute azioni intenzionali per infrangere le regole di cybersecurity da parte di dipendenti IT e non IT.

Inoltre, le violazioni delle policy da parte dei responsabili della sicurezza informatica hanno causato il 12% degli incidenti informatici negli ultimi due anni, mentre altri professionisti IT e non IT hanno causato rispettivamente l’11% e l’8% degli incidenti informatici, violando i protocolli di sicurezza.

In merito al comportamento individuale dei dipendenti, il problema più diffuso risiede nel fatto che spesso agiscono intenzionalmente in violazione delle norme stabilite, trascurando allo stesso tempo l’adempimento delle richieste aziendali. Secondo quanto riportato dagli intervistati, il 25% degli incidenti informatici degli ultimi due anni è stato causato dall’uso di password deboli o dalla mancata loro modifica tempestiva. Un altro 24% delle violazioni della sicurezza informatica è attribuibile alla visita di siti web non protetti da parte del personale. Inoltre, un ulteriore 21% ha riportato incidenti informatici causati dal mancato aggiornamento di software o applicazioni di sistema quando richiesto.

shadow it

L’utilizzo di servizi o dispositivi non richiesti è un’altra delle principali cause di violazione intenzionale delle policy di sicurezza informatica. Quasi un quarto (24%) delle aziende ha subito incidenti informatici perché i dipendenti hanno utilizzato sistemi non autorizzati per la condivisione dei dati. I dipendenti del 21% delle aziende hanno effettuato intenzionalmente l’accesso ai dati attraverso dispositivi non consentiti, mentre il 20% del personale di altre aziende ha inviato dati a indirizzi e-mail personali. Un’altra azione segnalata è stata l’implementazione dello Shadow IT sui dispositivi aziendali: l’11% degli intervistati ha indicato che questo ha portato a incidenti informatici.

È allarmante anche il fatto che, oltre al comportamento irresponsabile, il 20% delle azioni dannose siano state commesse dai dipendenti per guadagno personale. Un altro dato interessante è che le violazioni intenzionali delle policy di sicurezza informatica da parte dei dipendenti sono un problema relativamente importante nei servizi finanziari, come ha riferito il 34% degli intervistati in questo settore.

“Poiché questi numeri sono allarmanti, è necessario creare una cultura della cybersecurity in azienda fin dall’inizio, sviluppando e facendo rispettare le policy di sicurezza e sensibilizzando i dipendenti alla cybersecurity. In questo modo, il personale si approccerà alle regole in modo più responsabile e comprenderà chiaramente le possibili conseguenze delle sue violazioni” ha commentato Alexey Vovk, Head of Information Security di Kaspersky.

Per proteggere l’infrastruttura aziendale dalle conseguenze delle violazioni dei criteri di sicurezza informatica da parte dei dipendenti, Kaspersky consiglia di:

  • Utilizzare prodotti di cybersicurezza con funzionalità di controllo delle applicazioni, del Web e dei dispositivi. Questa funzionalità può infatti limitare l’uso di applicazioni, siti Web e periferiche non richieste, riducendo i rischi di infezione.
  • Verificare i trasferimenti di dati in entrata e in uscita dal sistema grazie al rilevamento dei dati e alla funzione di filtraggio dei contenuti, perché anche questo comporta dei rischi.
  • Utilizzare un filtro dei contenuti per impedire la trasmissione di dati non richiesti, indipendentemente dal tipo, dallo stato di protezione della piattaforma o dal comportamento degli utenti negli endpoint all’interno della rete.