Quando si parla di vulnerabilità informatica in Cybersecurity emerge un fatto allarmante: nonostante gli investimenti crescenti in tecnologie di protezione sempre più sofisticate, il fattore umano rimane la principale causa di vulnerabilità. Il cosiddetto “fattore X” – l’elemento di incertezza legato al comportamento umano – continua a rappresentare l’anello debole della catena di sicurezza aziendale. Mentre le organizzazioni si concentrano sulla protezione da attacchi informatici esterni, spesso sottovalutano la vulnerabilità informatica causata dal comportamento dei propri dipendenti.
Come gestire, dunque, le vulnerabilità informatiche legate al fattore umano? La risposta a questa domanda è: la formazione. Scopriamo, all’interno di questo articolo realizzato dall’Osservatorio Cybersecurity & Data Protection del Politecnico della POLIMI School of Management cos’è la vulnerabilità informatica e quali sono le principali tipologie, il legame con il social engineering, e come difendersi e come sensibilizzare i propri dipendenti affinché si limiti il fattore umano come rischio alla Cybersicurezza.
Il concetto di vulnerabilità informatica può assumere diversi significati a seconda del contesto. Tradizionalmente, si identifica come una debolezza o un difetto del sistema informatico – come un bug di programmazione, configurazioni errate, mancanza di aggiornamenti di sicurezza o altre lacune nella progettazione del sistema – potenzialmente sfruttabile da un hacker per causare danni o ottenere accesso non autorizzato a informazioni o risorse.
Tuttavia, la vulnerabilità informatica può anche essere dovuta al fattore umano, ossia dagli errori compiuti dalle persone. I cybercriminali infatti sfruttano la debolezza, la curiosità, l’ingenuità e l’ignoranza delle persone per sferrare attacchi, noti come social engineering (in italiano “ingegneria sociale”).
Le vulnerabilità informatiche possono essere classificate in diverse categorie principali, ciascuna con caratteristiche e livelli di rischio specifici.
Queste vulnerabilità rappresentano le debolezze intrinseche dei sistemi informatici e dell’infrastruttura tecnologica aziendale e si dividono in:
Le vulnerabilità informatiche organizzative derivano da carenze nei processi aziendali, nelle policy di sicurezza e nella gestione strategica della cybersecurity:
Questa tipologia di vulnerabilità è legata al comportamento, alle competenze e alle decisioni delle persone all’interno dell’organizzazione e comprende:
Le cause della vulnerabilità informatica sono originate dalla rapida evoluzione tecnologica e dalla difficoltà di mantenere sistemi sempre aggiornati e sicuri, ma anche dalla mancanza di un’organizzazione aziendale e, come abbiamo già accennato, dal fattore umano.
Analizzando nello specifico le principali cause, possiamo identificare:
Si calcola che circa il 95% dei reati informatici siano causati dal fattore umano, a dimostrazione di come questa tipologia di vulnerabilità sia la più critica da gestire per le organizzazioni moderne.
I casi più emblematici di Cyber crime legato agli errori umani e che espongono le aziende alle vulnerabilità informatiche sono quelli di social engineering. Mediante questa tecnica di attacco informatico, gli hacker non sfruttano più soltanto le falle dei sistemi informatici, ma arrivano a manipolare la psicologia umana per ottenere informazioni sensibili dai dipendenti di un’azienda.
I rischi causati da questa tipologia di vulnerabilità sono all’ordine del giorno. L’esempio più comune sono le mail di phishing che contengono link malevoli, che rimandano a pagine web clonate simili in tutto e per tutto ai siti originali. All’interno di tali pagine l’utente viene spinto a inserire le proprie credenziali o a scaricare sul proprio dispositivo un allegato infetto.
In questo contesto, le persone costituiscono la vulnerabilità principale per la sicurezza informatica in azienda, a causa della mancata consapevolezza sui rischi cyber.
La protezione efficace dalle vulnerabilità informatiche richiede un approccio che combini misure tecniche, organizzative e comportamentali. Ecco le azioni concrete che ogni azienda dovrebbe implementare:
L’implementazione graduale di queste misure, partendo dalle più critiche per il proprio business, permette di costruire una difesa efficace contro le vulnerabilità informatiche più comuni.
Per mitigare la vulnerabilità informatica legata alle risorse umane, le aziende devono sviluppare programmi di sensibilizzazione mirata per formare i dipendenti sui temi della Cyber Security e della protezione dei dati.
Come si definisce, dunque, un piano strategico per la gestione del fattore umano per ridurre la vulnerabilità informatica?
Innanzitutto, è necessario definire un budget dedicato alla formazione, che deve essere in linea con la posizione e le esigenze dei dipendenti.
A questo punto, per limitare i rischi legati alla vulnerabilità informatica, occorre il supporto del top management, che deve considerare la sicurezza informatica come un tema strategico. Infatti, un potenziale danno alla sicurezza informatica può danneggiare gravemente l’azienda in termini economici e reputazionali e occorre una vera e propria cultura alla sicurezza per saperla gestire.
Infine, serve la formazione vera e propria, con programmi educativi, simulazione di attacchi phishing e test periodici sul grado di consapevolezza aziendale riducono notevolmente gli incidenti e aumentano l’attenzione verso queste tematiche.
Per contrastare la vulnerabilità informatica, la quasi totalità delle aziende italiane delle aziende ha già avviato un piano di formazione dei propri dipendenti sui temi della Cyber Security. Tali programmi vengono implementati con diversi obiettivi:
Nell’era in cui il fenomeno del BYOD (Bring Your Own Device) è sempre più diffuso all’interno delle aziende, si sono moltiplicati i casi in cui il furto o lo smarrimento di un dispositivo (dal portatile, al telefono o tablet, alla chiavetta USB), provocano la conseguente esposizione di dati riservati o di informazioni che mettono a rischio la sicurezza dei sistemi aziendali.
Nel marzo 2021 la motorizzazione californiana ha subito un data breach di 38 milioni dati di registrazione dei veicoli dello stato americano. Gli attori malevoli sono riusciti a entrare nel database aziendale grazie a una campagna di spear phishing verso un utente di un fornitore esterno della motorizzazione.
Il famoso servizio di wallet per bitcoins è stato vittima di un attacco phishing verso i suoi utenti. Gli hacker hanno precedentemente compromesso il database di Mailchimp, l’operatore di mailing list, da cui sono stati estratti i nominativi e indirizzi e-mail corretti per rendere più veritieri i messaggi di phishing verso gli utenti di Trezor.
Anche il caso “WannaCry”, avvenuto a maggio 2017 e declinatosi in una campagna di attacco massiva che ha infettato i sistemi di centinaia di migliaia di vittime in oltre 150 Paesi, ha avuto all’origine il fattore umano. L’attacco, che ha sfruttato una vulnerabilità di Windows per generare una diffusione di ransomware, ha infatti utilizzato come strumento di ingresso nel perimetro delle organizzazioni alcune e-mail di phishing.
La gestione delle vulnerabilità informatiche rappresenta una delle sfide più critiche per le organizzazioni moderne. Per difendersi non basta dotarsi di tecnologie avanzate: serve una maggiore consapevolezza, sia a livello aziendale che individuale.
Il fattore umano continua a essere l’elemento più vulnerabile della catena di sicurezza, ma può trasformarsi nella risorsa più preziosa attraverso programmi di formazione mirati e una cultura aziendale orientata alla Cybersecurity.
Per le aziende, investire nella riduzione delle vulnerabilità informatiche non è più un’opzione, ma una necessità strategica per proteggere dati, reputazione e continuità del business in un panorama di minacce in costante evoluzione.
Contenuti suggeriti dell’Osservatorio Cybersecurity & Data Protection
