Madrid, 1 luglio 2022.- Sono sempre più frequenti gli attacchi hacker, in grado di far crollare le strutture di qualsiasi organizzazione in pochi minuti. In Codere rafforziamo i nostri team, umani e tecnici, per evitare danni o, nel caso si verifichino, minimizzarne le conseguenze.
Vediamo quali sono le nostre principali sfide con Fanny Pérez, direttore corporativo di Sicurezza del’Informazione e Rischi Tecnologici. Laureata in Informatica presso l’Università Nueva Esparta, Specialista in Telematica presso l’Università Simón Bolívar e l’Istituto Nazionale di Telecomunicazioni di Francia, e con un dottorato di ricerca in Informatica presso l’Università Complutense di Madrid, guida un team di sette persone dedicato alla Cybersecurity e coordina diversi fornitori e aree come Infrastrutture Corporative, IT, Telecomunicazioni, Cloud e Infrastrutture, Comunicazioni, DPO, Sicurezza, Acquisti, ecc., con l’obiettivo di rendere la sicurezza informatica una priorità strategica nella nostra organizzazione e di diffondere nella nostra cultura la consapevolezza che la sicurezza è responsabilità di tutti.
P-. Perché è così importante rafforzare la consapevolezza sui problemi di Cybersecurity?
Ci troviamo nell’era digitale, cosa che riguarda tanto il lavoro che la vita personale, e che rappresenta un ambiente favorevole per i criminali informatici, che traggono profitto dalle loro attività illecite, poiché ogni transazione rappresenta un’opportunità per loro.
Per questo in Codere abbiamo un Piano di Sensibilizzazione che si basa su:
- E-learning sulla sicurezza informatica.
- Campagne di phishing continue.
- Corsi rivolti a persone che si lasciano ingannare dalle campagne di phishing.
- Pillole informative.
È interessante sottolineare che dopo la pandemia, le aziende hanno dovuto introdurre nuove forme di lavoro molto più digitali, attivando il telelavoro in via prioritaria e includendo nuovi servizi cloud per il lavoro da remoto. La maggior parte delle innovazioni è stata urgente durante la fase di risposta, cui ha fatto seguito una fase di adeguamenti strategici nelle architetture, nei controlli di sicurezza informatica e nei nuovi processi
Questa situazione è stata utilizzata dagli aggressori informatici per aumentare la loro attività. Molte delle tattiche, tecniche e procedure sviluppate sono rivolte alle persone, ed utilizzano diverse modalità per manipolarle attraverso elementi psicologici, come l’influenza e la persuasione, in modo che svolgano determinate attività inconsciamente, quindi è essenziale sviluppare un “firewall umano”.
Per Gartner Research, il ciclo di attacco dell’ingegneria sociale utilizzato dagli aggressori consiste in quattro fasi:
- Raccolta di informazioni: gli aggressori informatici cercano informazioni sull’azienda, sui suoi dipendenti o sul loro target su Internet e sui social network. Pertanto, non dobbiamo utilizzare i dati aziendali sui social network. Nei nostri account personali attiviamo il fattore di doppia autenticazione. E non dobbiamo avere fiducia nei link contenuti nelle mail.
- Sviluppo della relazione: una volta che gli aggressori ottengono informazioni, stabiliscono la relazione di fiducia.
- Approfittano della relazione: cercano di persuadere le persone a intraprendere un’azione.
- Esecuzione per raggiungere l’obiettivo. Alla fine realizzano il loro obiettivo, monetizzare i loro attacchi.
L’anello più debole nella catena della sicurezza informatica è l’utente finale. Per questo la formazione dei nostri collaboratori è fondamentale. Ciò consentirà al personale di riconoscere e reagire alle minacce che più rapidamente vengono identificate, più rapidamente vengono mitigate e meno danni provocano.
P-. Quali sono i nostri principali rischi e forme di attacco?
Attualmente, una delle principali sfide che le aziende devono affrontare è il phishing, che sta diventando sempre più personalizzato, localizzato e geo-mirato. Dovremmo aspettarci tecniche molto più sofisticate e difficili da rilevare, in particolare attacchi di posta elettronica aziendali. Ecco perchè è molto importante seguire le raccomandazioni di base.
Come la fiducia zero. Questo tipo di attacco tenta di impersonare l’identità di un collega o di un fornitore. Nel caso in cui notiamo qualcosa di strano, o non conosciamo il mittente, dobbiamo diffidare. E non aprire mai una mail dalla cartella spam.
Inoltre, non dobbiamo fare clic su collegamenti contenuti in un’e-mail. Bisogna stare attenti anche a un URL che potrebbe contenere il vero nome dell’azienda. Di solito, ti chiedono di inserire le tue credenziali per finire per impersonare la tua stessa identità
Al contrario, dobbiamo metterci in contatto con il mittente in altro modo. Visto questi messaggi trasmettono urgenza, in modo da non darci il tempo di reagire, prima di intraprendere qualsiasi azione, dobbiamo sempre contattare in altro modo la presunta azienda mittente.
Infine, nel caso in cui riceviamo un’e-mail sospetta o abbiamo qualche dubbio, dobbiamo segnalarlo urgentemente all’Ufficio Tecnico di Sicurezza (ots.corporativo@codere.com), perché è così che possiamo migliorare la sicurezza e tutelare Codere.
D’altra parte, gli attacchi ransomware stanno diventando sempre più comuni, crescendo anche in complessità e personalizzazione, con vettori di accesso sempre più invisibili che aumentano la vulnerabilità. In questo caso è importante anche seguire raccomandazioni essenziali, come non aprire un documento che non provenga da un destinatario affidabile; non installare applicazioni non aziendali; non visitare siti Web sconosciuti o controllare sempre la presenza del lucchetto che ci informa sulla sicurezza o meno di un sito, quando navighiamo in Internet.
Inoltre, nel 2021 abbiamo avuto diversi esempi di attacchi alla catena di fornitura, come Solarwinds, Kaseya o Colonial Pipeline. La sfida principale in questo senso è la sicurezza dei fornitori strategici. Attualmente stiamo lavorando per migliorare i requisiti contrattuali dei nostri fornitori, migliorando il ciclo di vita degli acquisti, al fine di includere criteri di sicurezza fin dall’inizio. Come dipendenti di Codere, dobbiamo assicurarci che i fornitori soddisfino il livello di sicurezza informatica stabilito dalla nostra azienda.
P.- La tua area ha dovuto adattarsi freneticamente al telelavoro e ad un mercato sempre più digitalizzato. Quali sono stati i principali progressi di Codere su questo fronte negli ultimi anni?
Dal punto di vista della sicurezza informatica, abbiamo dovuto cambiare la tecnologia per adattarla al nuovo contesto, cosa che ci ha permesso di migliorare il livello di maturità.
Ogni anno eseguiamo una revisione del livello di maturità, da parte di Deloitte, che utilizza il suo framework di riferimento, Cyber Strategy Framework (CSF), che si concentra sull’analisi delle capacità di sicurezza informatica definite in un framework basato sulla conformità con determinati controlli, strutturati in quattro domini: Governance, Protezione, Sorveglianza e Resilienza. In questa revisione siamo passati da una valutazione di 1,16 nel 2020 a 1,65 nel 2021. Lo stato di maturità della Cybersecurity in Codere nel 2021 è migliorato del 9,2% rispetto al 2020. Tra le iniziative che ci hanno permesso di compiere questo passo in avanti, ricordiamo:
- Una ristrutturazione organizzativa, per adattarsi alla nuova normalità.
- Un monitoraggio della sicurezza con un servizio di 24×7.
- Passaggio ad un antivirus di nuova generazione che protegga il dipendente ovunque.
- Per impedire l’ingresso di virus durante la navigazione, abbiamo implementato la protezione indipendentemente dalla posizione del dipendente.
- La gestione delle vulnerabilità come processo continuo, sia per la rete interna che per gli IP esposti.
- Implementazione di un WAF, Web Application Firewall per proteggere i siti più importanti dell’azienda.
- Siamo protetti dagli attacchi DDoS.
- Stiamo implementando l’autenticazione a doppio fattore (MFA), che ci consentirà di migliorare la protezione contro gli attacchi di ingegneria sociale (protezione per VPN e MS Office 365).
- Manteniamo aggiornato il programma di sensibilizzazione in materia di sicurezza, che include e-learning con messaggi chiave, campagne di phishing, corsi per i dipendenti che cadono in campagne di phishing simulate, pillole informative e, inoltre, questo nuovo spazio in Codere Actualidad, per condividere le anticipazioni più rilevanti.
P.- Quali sono le nostre principali sfide ora?
La protezione è la migliore strategia per prevenire o ridurre al minimo gli attacchi informatici, perché abbiamo già visto che molti si verificano perché l’utente stesso non è in grado di rilevare una pagina Web fraudolenta o accetta inconsapevolmente un software dannoso.
In Codere, disponiamo di una strategia di Cybersecurity adattata al modello di business e ai nostri sistemi. La sfida principale è che la sicurezza informatica sia un’area strategica per il business e che i dipendenti siano coinvolti attivamente.
P.- Che livello di consapevolezza abbiamo su questo tema all’interno dell’organizzazione?
Negli ultimi due anni abbiamo migliorato il livello di consapevolezza nell’organizzazione, ma abbiamo ancora molta strada da fare, poiché nell’ultima campagna di phishing il 3,58% dei dipendenti ha compromesso le proprie credenziali, segno che dobbiamo continuare a rafforzare la consapevolezza e livelli di protezione.
Per questo motivo, continueremo a sviluppare queste competenze con più formazione, campagne di phishing continue e nuovi contenuti.
