Ma quali Hacker! Gli Attori dello Spygate Sono Veri Insider Threats

Quando si parla di cybercrime, la mente va subito alle cyber gang criminali che violano i sistemi dall’esterno. Premesso che il significato di “hacker” oggi lo abbiamo completamente ridefinito, una minaccia altrettanto pericolosa, proviene dall’interno delle organizzazioni: si tratta dei cosiddetti “insider” o dipendenti infedeli.

Studi recenti e diversi casi di cronaca tutti italiani sottolineano come sia sempre più diffuso oggi un mercato nero disposto a pagare somme ingenti per ottenere dati sensibili di aziende e istituzioni direttamente dall’interno.

Gli insider, infatti, possiedono già le autorizzazioni necessarie, consentendo loro di accedere facilmente alle informazioni riservate, riducendo la necessità di complessi attacchi di hacking dall’esterno.

Casi di Insider Threat in Italia

In Italia, uno dei casi più eclatanti è stato quello riguardante la scoperta di una rete di spionaggio informatico che ha coinvolto vari individui e istituzioni, compromettendo circa 800 mila dossier e vedendo 51 indagati, tra cui persino funzionari pubblici e database istituzionali.

Un altro caso recente ha visto Carmelo Miano, accedere alla casella di posta di ben 46 magistrati, tra cui Nicola Grattieri, grazie al possesso delle loro credenziali. Sebbene in questo caso l’hacking è una parola più vicina ai fatti anche in questo fatto di cronaca il fenomeno dell’insider threat risulta importante.

Infatti entrambi gli episodi rivelano quanto oggi sia vulnerabile il sistema di sicurezza interno quando le credenziali vengono abusate o vendute.

Chi sono i dipendenti infedeli?

Per dipendenti infedeli si intendono coloro che, per motivi personali, economici o ideologici, utilizzano la propria posizione all’interno dell’organizzazione per accedere e divulgare informazioni riservate o sensibili. Questo fenomeno è noto come insider threat ed è considerato tra le minacce più difficili da gestire. I dipendenti infedeli possono vendere i dati a competitor o a cybercriminali, esponendo le aziende a gravi rischi legali e reputazionali.

Le aziende, quindi, devono adottare strategie per identificare e gestire questi rischi. Alcune pratiche comuni includono il monitoraggio delle attività, l’implementazione di strumenti per rilevare l’uso anomalo delle credenziali, e la sensibilizzazione dei dipendenti sulla protezione dei dati e sull’etica aziendale.

Inoltre, è fondamentale ricordare che i dipendenti sono una risorsa preziosa e, se dotati di accessi amministrativi a sistemi critici, non dovrebbero essere forniti da aziende terze o subappaltatori, ma dovrebbero far parte del personale interno dell’organizzazione.

Come limitare gli Insider threat

Gli insider threat rappresentano una delle sfide più insidiose per la sicurezza delle informazioni, poiché coinvolgono dipendenti o collaboratori che, a causa di malintesi, vendetta o semplicemente negligenza, possono compromettere la sicurezza dei dati aziendali. Tuttavia, le organizzazioni che operano in Europa devono affrontare anche sfide legate alla conformità con le normative sulla protezione dei dati, in particolare il Regolamento generale sulla protezione dei dati (GDPR).

Limitazioni al Monitoraggio nella Comunità Europea

In Europa, il monitoraggio delle attività dei dipendenti è soggetto a regolamenti rigorosi. Il GDPR stabilisce vari principi fondamentali:

1. Principio di Trasparenza: Le organizzazioni devono informare i dipendenti riguardo alle pratiche di monitoraggio e giustificare la necessità di tali misure. Questo implica che i dipendenti debbano essere a conoscenza di quali dati vengono raccolti e come verranno utilizzati.
2. Limitazione delle Finalità: I dati raccolti per il monitoraggio devono essere utilizzati esclusivamente per scopi specifici, legittimi e definiti. Non è consentito l’uso di dati per finalità diverse rispetto a quelle dichiarate.
3. Proporzionalità e Necessità: Qualsiasi misura di monitoraggio deve essere proporzionata rispetto agli obiettivi da raggiungere. Ciò significa che il monitoraggio deve essere giustificato e non deve violare la privacy dei dipendenti più del necessario.
4. Minimizzazione dei Dati: Le organizzazioni devono raccogliere solo i dati strettamente necessari per il monitoraggio, evitando la raccolta di informazioni superflue.
5. Diritti degli Interessati: I dipendenti hanno diritti specifici riguardo ai propri dati personali, inclusi i diritti di accesso, rettifica e cancellazione. Le organizzazioni devono garantire che questi diritti siano rispettati.

Sistemi e Pratiche per Limitare gli Insider Threat

Nonostante le limitazioni legali, esistono diverse strategie che le organizzazioni possono implementare per limitare gli insider threat, garantendo al contempo la conformità alle normative europee.

1. Data Loss Prevention (DLP): Implementare soluzioni DLP per monitorare e controllare l’accesso ai dati sensibili. Questi sistemi possono impedire la trasmissione non autorizzata di informazioni critiche, fornendo un ulteriore strato di sicurezza.
2. Monitoraggio delle Attività: Utilizzare sistemi di logging e monitoring delle attività degli utenti. È essenziale che questi strumenti siano configurati per rispettare la privacy dei dipendenti e che vengano comunicati chiaramente agli utenti.
3. Analisi del Comportamento degli Utenti (UBA): Implementare strumenti di analytics per analizzare il comportamento degli utenti e identificare attività anomale. Questi strumenti possono aiutare a rilevare comportamenti sospetti prima che si traducano in danni.
4. Controllo degli Accessi Basato su Ruoli (RBAC): Implementare un sistema di accesso basato su ruoli che garantisca che i dipendenti abbiano accesso solo alle informazioni necessarie per le loro mansioni. Questo riduce il rischio di accessi non autorizzati ai dati sensibili.
5. Implementazione della Multi-Factor Authentication (MFA): Integrare l’autenticazione a più fattori per aggiungere un ulteriore livello di sicurezza agli accessi ai sistemi critici. La MFA richiede agli utenti di fornire due o più forme di identificazione, riducendo significativamente il rischio di accessi non autorizzati anche in caso di compromissione delle credenziali. Questa misura non solo protegge i dati sensibili, ma promuove anche una cultura della sicurezza all’interno dell’organizzazione.
6. Formazione e Sensibilizzazione: Offrire programmi di formazione regolari per educare i dipendenti sui rischi associati agli insider threat e sulle migliori pratiche di sicurezza. La consapevolezza dei dipendenti può ridurre il rischio di comportamenti involontari che potrebbero compromettere la sicurezza.
7. Implementazione di una Politica di Sicurezza dei Dati: Stabilire politiche chiare riguardanti la gestione e la protezione dei dati, assicurando che i dipendenti comprendano le loro responsabilità e le conseguenze di violazioni.
8. Procedure di Risposta agli Incidenti: Avere un piano di risposta agli incidenti che includa protocolli per affrontare potenziali insider threat. Questo piano dovrebbe prevedere procedure per l’identificazione, la segnalazione e la gestione degli incidenti.
9. Audit e Valutazioni di Sicurezza: Condurre regolarmente controlli di sicurezza per garantire che le politiche e le pratiche siano efficaci e conformi alle normative.

Conclusione

Limitare gli insider threat in un contesto normativo come quello europeo richiede un approccio bilanciato che consideri sia la necessità di sicurezza che i diritti dei dipendenti. Implementando misure adeguate e pratiche di monitoraggio consapevoli, le organizzazioni possono proteggere le loro informazioni sensibili senza compromettere la privacy e i diritti dei lavoratori. La chiave è adottare un approccio proattivo e integrato alla sicurezza dei dati, che rispetti le normative vigenti e promuova una cultura della sicurezza all’interno dell’organizzazione.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Stefano Gazzella

Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Aree di competenza: Privacy, GDPR, Data Protection Officer, Legal tech, Diritti, Meme

Visita il sito web dell'autore