Formazione interdipartimentale sulla sicurezza informatica per i marketer digitali

Introduzione

I criminali informatici avanzano, sia in termini numerici che di creatività. Sapevate che i consumatori e le aziende hanno perso 12,5 milioni di dollari a causa della criminalità informatica nel 2023 e che, secondo l'FBI, questa cifra è probabilmente ancora bassa?

Inoltre, possiamo aspettarci che questo numero continui a crescere, poiché i dati ci mostrano che il 2023 è stato il massimo storico per i cyberattacchi, con un aumento del volume del 72% rispetto al 2021 (il precedente record per il maggior numero di attacchi). In particolare, la causa di tali incursioni è solitamente banale: gli attacchi via e-mail sono tra i più comuni. Il 94% delle organizzazioni ha riferito di aver subito violazioni tramite malware via e-mail e la ricerca mostra che il 35% degli attacchi malware viene trasmesso via e-mail.

In confronto, la perdita media dovuta alle violazioni dei dati è di 4,4 miliardi di dollari. In altre parole, la vostra organizzazione è a un passo dal perdere un sacco di soldi con un'e-mail sbagliata. E queste sono solo e-mail; i criminali informatici, purtroppo, stanno intensificando il loro gioco con l'evolversi della tecnologia.

Unsplash

Se da un lato questi numeri sono spaventosi, dall'altro sottolineano la necessità che le unità aziendali si uniscano per proteggere i dati aziendali. Non è sufficiente che l'azienda abbia un team dedicato alla manutenzione del software di cybersecurity; i team di tutta l'organizzazione devono conoscere e implementare le best practice di cybersecurity nelle loro responsabilità quotidiane.

Questo vale soprattutto per il reparto marketing. Il reparto marketing ha accesso a una grande quantità di dati sui clienti e li utilizza attivamente nella sua attività quotidiana. Questo rende il marketing un bersaglio particolarmente prezioso per i criminali informatici; se uno stagista meno esperto o addirittura un direttore oberato di lavoro apre l'e-mail sbagliata, clicca sul link sbagliato o apre la porta in altro modo, la vostra azienda rischia una perdita multimilionaria. Per non parlare del colpo alla vostra reputazione, dato che i clienti sono meno propensi ad affidare i loro dati a un'organizzazione che li ha smarriti.

Come si può preparare il reparto marketing a evitare le minacce alla sicurezza informatica? Che cosa comporta l'aggiornamento di tutti sul protocollo di cybersecurity e come si possono misurare i progressi del team man mano che procede nel programma? In questo articolo vi forniremo suggerimenti e trucchi pratici che vi aiuteranno a riunire i team in un fronte unificato, proteggendo i dati aziendali ed evitando le minacce alla sicurezza informatica anche quando si evolvono.

Migliorare la consapevolezza

Unsplash

I team non possono iniziare a gestire una minaccia di cui non sono a conoscenza. Non dovete mai dare per scontato che i membri del vostro team di marketing siano a conoscenza (anche solo a livello di base) delle tattiche che i criminali informatici utilizzano per penetrare. Eseguite un controllo di base della consapevolezza del vostro team, verificando la loro conoscenza di questi attacchi informatici comuni:

• Malware Come fanno i criminali informatici a introdurre spesso malware nei computer dei dipendenti? Esistono modi per evitare queste intrusioni indesiderate?
• Phishing Cosa dovete fare se ricevete un'e-mail dall'esterno dell'azienda con un link cliccabile in fondo? Se l'e-mail dichiara di provenire dall'interno dell'azienda, ma ha un link cliccabile simile e sembra strano, come ad esempio il vostro amministratore delegato che chiede a tutti i dipendenti di compilare un modulo, cosa dovete fare?
• Social Engineering Dovreste mai trasmettere informazioni sensibili, come documenti aziendali, password o informazioni personali, attraverso il web? Se qualcuno che afferma di provenire dall'azienda (ma che voi non riconoscete) vi chiede queste informazioni via e-mail, quale protocollo potete seguire per verificare l'accuratezza dell'e-mail?

Una volta ottenuta un'idea di base della consapevolezza generale del vostro team, è il momento di fare la vostra parte e colmare i buchi nella loro base di conoscenze. La sensibilizzazione è fondamentale per mitigare i rischi, e ci sono modi per sostenere questa consapevolezza al di là di un programma di formazione che dovreste considerare di implementare in tutta la vostra azienda.

Sebbene anche i programmi di formazione siano importanti (di cui parleremo tra poco), è necessario che la sicurezza informatica sia nella mente dei dipendenti ogni giorno; e questo obiettivo può essere raggiunto con questi semplici cambiamenti di processo.

• Protocolli di indurimento dei dispositivi Istituzione di un protocollo che richiede ai dipendenti e agli altri utenti dei sistemi aziendali di aggiornare frequentemente le proprie password. Si tratta di un aspetto critico, perché anche un solo sistema che utilizza ancora una vecchia password rappresenta una vulnerabilità che i criminali informatici possono e vogliono sfruttare. Tuttavia, molte organizzazioni considerano questo passaggio come una cosa di poco conto, che verrà affrontata in seguito: se questa è la descrizione della vostra organizzazione, questa è una delle prime cose che potete fare per proteggervi.
• Crittografia end-to-end Disporre di un sistema in grado di crittografare i dati in movimento è fondamentale, ma bisogna anche assicurarsi di essere in grado di crittografare i dati a riposo. I dipendenti devono essere consapevoli della presenza di questi sistemi e del loro ruolo.
• Gestione delle patch È inevitabile che, con l'invecchiamento dei sistemi operativi, le vulnerabilità diventino più evidenti e più pressanti. Tenete sotto controllo il problema rilasciando frequentemente le patch e incoraggiando i dipendenti ad aggiornare i loro dispositivi il più spesso possibile. Se, per qualche motivo, un dipendente del vostro reparto marketing non installa le patch, lascia il suo sistema aperto a possibili attacchi. È fondamentale istituire un processo di aggiornamento regolare e responsabilizzare i dipendenti.

Una volta valutate le conoscenze esistenti dei dipendenti e implementate queste pratiche a livello aziendale, è il momento di passare alla fase successiva: la formazione.

Istituire un programma di formazione approfondito

Unsplash

La chiave per istituire un programma di formazione che rimanga inalterato è non trattarlo come un seminario una tantum. Nessuno, e intendo proprio nessuno, conserverà nulla di una lezione collegiale di 30 minuti sui pericoli dei cyberattacchi, con tanto di branding aziendale e transizioni scintillanti. Nel migliore dei casi, i membri del team ricorderanno qualche fatto se sanno che dopo c'è un test; nel peggiore dei casi, ridurranno al minimo la finestra e si concentreranno sul loro lavoro, trattando questo corso di vitale importanza come una spunta sulla lista di controllo delle risorse umane.

Il modo migliore per istituire un programma di formazione che fornisca valore è quello di concentrarsi su approfondimenti pratici. Invece di una breve presentazione, trattate la formazione come un corso multi-seminariale che richiede ai dipendenti di dimostrare le loro nuove conoscenze in ogni momento. Potete utilizzare le diverse fasi del corso per insegnare loro non solo le best practice di base, ma anche le tendenze della cybersecurity:

• Tecnologia blockchain La blockchain è una delle più recenti innovazioni nel campo della sicurezza dei dati, in quanto la sua sicurezza integrata la rende ideale per la condivisione dei dati e la conduzione delle transazioni. Un breve corso sui vantaggi dell'uso della blockchain e sui problemi di sicurezza unici ad essa associati sarebbe un'ottima base, soprattutto se la vostra organizzazione sta pensando di utilizzarla.
• Reti in fibra scura Un nuovo modo di strutturare le reti che consente di controllare la stabilità, la sicurezza e la larghezza di banda, le reti in fibra scura stanno rapidamente guadagnando terreno. In parte perché consentono agli utenti di implementare facilmente i protocolli di sicurezza dei dati, in parte per i costi prevedibili e la bassa latenza complessiva. La formazione su questo tema dovrebbe insegnare ai dipendenti come interagire con una rete dark fiber, quali controlli sono in atto e come queste reti aggiungono un ulteriore livello di sicurezza.
• VPN Le VPN creano un ulteriore livello di privacy quando gli utenti navigano sul web, incanalando i dati sensibili attraverso un canale privato e crittografato. Le VPN hanno guadagnato molta popolarità negli ultimi tempi, visto che il 77% dei consumatori le utilizza per proteggere i propri dati privati quando sono online. I casi d'uso per le aziende sono altrettanto promettenti e capire come configurarne una correttamente sarà fondamentale per i dipendenti che gestiscono dati sensibili.
• Protezione DNS Gli strumenti DNS limitano i tipi di siti web a cui i dipendenti possono accedere durante la ricerca sul web, eliminando preventivamente i siti web ad alto rischio di infezione da malware. Sapere che esistono questi strumenti e perché, consente ai dipendenti di sapere che, quando si inciampa nel sistema, è meglio evitare il sito web a cui si stava cercando di accedere.
• Reti a fiducia zero Le reti a fiducia zero combinano una rigorosa verifica dell'identità con un accesso limitato ai dati aziendali. Capire il motivo di questi controlli (e, in alcuni casi, come impostarli) aiuta i dipendenti a distinguere tra dati sensibili e informazioni condivisibili pubblicamente, mantenendo la privacy dei dati in primo piano.

Naturalmente, questi corsi devono includere anche nozioni di base sulle forme più comuni di attacco informatico, come phishing, social engineering, ransomware e attacchi brute force. Un ulteriore passo avanti è rappresentato dalla conoscenza da parte dei dipendenti delle soluzioni esistenti, del loro funzionamento e del perché sono necessarie. Questa strategia prepara i dipendenti a utilizzare queste soluzioni, a evitarne le vulnerabilità e a proteggere i dati da più punti di vista.

Misurare i successi

Dopo aver sensibilizzato e creato un programma di formazione tecnologica, dovete essere in grado di ottenere una visione di alto livello dei progressi dei membri del team. La definizione di KPI prima di intraprendere queste iniziative è fondamentale, poiché si vuole essere in grado di capire se le iniziative stanno preparando i team in modo adeguato.

Unsplash

I test sono un elemento da utilizzare; altri includono il monitoraggio dell'adozione delle patch, il controllo dell'accesso ai dati sensibili e l'istituzione di check-in regolari con i membri del team che non si stanno adattando bene. Anche i rapporti sui tentativi di attacco informatico (e su come i membri del team li hanno affrontati) possono essere utili, in quanto consentono di individuare le vulnerabilità dei processi attuali e di rivalutarli di conseguenza.

Ricordate: la vostra forza è pari a quella del vostro anello più debole. Tenendo d'occhio la palla, assicurandovi che la formazione sia continua e ricercando periodicamente le ultime minacce alla sicurezza informatica, riuscirete a mantenere i vostri dati sensibili segreti e al sicuro.