Regent
Sicurezza
 

18/01/2018

Share    

Un esperto IT non è un esperto di cybersecurity

Molte piccole e medie imprese stanno perdendo il treno della sicurezza IT. In un ambito che esige una conoscenza tecnica specifica si muovono troppi esperti IT generici. Un approccio assolutamente da rivedere.


Chi lavora nel reparto IT di un’azienda sa che è spesso necessario fare acrobazie per tenere in piedi il business. Dalla creazione di un account utente, alla gestione, installazione e manutenzione del software, dalla pianificazione di reti e sottoreti, alla configurazione dei router e alla manutenzione dell’hardware, tutte queste attività sono di competenza del reparto IT. Un reparto spesso fatto di poche persone, se non addirittura di una, che oggi è sempre più costretto ad affrontare in modo prioritario le grandi sfide poste dalla sicurezza informatica in reti cresciute nel tempo, che ospitano una babele di client diversi, inclusi i dispositivi mobili. Architetture che ora necessitano di attenzione e tutela che spesso non può essere garantita. Semplicemente non è più appropriato pensare che il reparto IT debba essere responsabile anche della sicurezza IT, né che tutti gli addetti IT siano anche esperti di sicurezza.


C‘è bisogno di strategia e non di soluzioni contingenti
Anche un esperto di IT generico sa che sarebbe necessario cifrare le comunicazioni quando è possibile, che è importante predisporre diversi diritti di accesso per gli utenti in base al dispositivo utilizzato, all’orario di accesso, alle risorse aziendali o al gruppo di appartenenza, e sa che la sicurezza implica ben più che proteggere dati e risorse con una password. Ma spesso un esperto di IT che spazia a 360° su tutti i temi della sua professione dispone solo delle conoscenze fornitegli dal corso di laurea, da precedenti tirocini o da esperienze lavorative specifiche. Assicurare che le attività aziendali quotidiane non subiscano interruzioni per disservizi generici dei sistemi è una priorità che rimarrà a lungo nel tempo, ma dobbiamo anche essere consapevoli che la richiesta di protezione degli stessi sistemi contro attacchi esterni o interni e malware sempre più complessi è in costante aumento.
I G DATA Security Labs hanno previsto, per esempio, che entro la fine dello scorso anno i malware diffusi ai danni dei pc sarebbero ammontati a nove milioni, mentre quelli per dispositivi mobili basati su Android a circa tre milioni e mezzo. I cybercriminali trovano escamotage sempre più sofisticati per carpire i dati di loro interesse, poiché particolarmente lucrativi. Eppure ciò che si richiedeva e si richiede tutt’oggi agli amministratori di sistema è di realizzare e implementare progetti IT sostenibili e di provvedere alla loro manutenzione, dimenticando però che qualsiasi pianificazione o gestione del parco installato dovrebbe ormai prevedere il manifestarsi di un’emergenza legata al mondo della security. Oggi, infatti, una semplice protezione antivirus, magari adottata per rispondere a un problema contingente, non basta per fronteggiare le svariate minacce della rete, occorre una vera e propria strategia. Un’esigenza tanto concreta quanto ancora troppo spesso sottovalutata e relegata a un fattore secondario rispetto alle priorità quotidiane, specie se gli impiegati o gli alti dirigenti percepiscono le misure di sicurezza IT come un intralcio al proprio lavoro.

Investire nella conoscenza
La sfida per una corretta gestione della sicurezza IT passa dalla decisione del management di rendere accessibili strumenti intuitivi e conoscenze adeguate alle proprie risorse, svincolando l’IT dalla gestione della sicurezza. Ciò richiede l’adozione di soluzioni sviluppate appositamente per le aziende che forniscano un quadro d’insieme di tutta la rete e tutelino qualsiasi tipologia di client, consentendo nel contempo di prendere decisioni rapide in caso di necessità. Tutto ciò deve essere accompagnato da una formazione continuativa e specifica dello staff IT esistente o dall’ingaggio di specialisti esterni. Quest’ultima opzione può rivelarsi molto sensata per le società che non hanno nel proprio organico IT un esperto di sicurezza.
“La nostra esperienza rivela che quando tutto ciò che riguarda la sicurezza viene promosso e sostenuto dal management, ottiene una valenza superiore rispetto a quella che avrebbe se un amministratore IT tentasse di proporre o promuovere lo stesso progetto – racconta Giulio Vada, country manager di G DATA Italia. Considerando la mole di dati anche sensibili che le imprese elaborano quotidianamente e che sono quindi tenute a rispettare norme sempre più severe, è impensabile che oltre allo svolgimento dei propri compiti quotidiani, ossia assicurare la continuità delle attività produttive, lo staff IT ed il responsabile dell’infrastruttura informatica debbano anche farsi garanti della conformità delle misure di sicurezza adottate a quanto dettato dal Legislatore”. A medio termine, vista anche l’imminente scadenza del GDPR, non esiste quindi secondo G DATA altra soluzione se non che le aziende utenti considerino l’assunzione di specialisti di sicurezza IT o favoriscano la specializzazione del proprio personale informatico: “Questo sarà l’unico modo di ottenere e implementare misure di sicurezza informatica ‘next gen’ efficaci, oltre che economicamente sostenibili nel tempo”, commenta concludendo Vada. 

 

TORNA INDIETRO >>