La dura vita dell’amministratore IT

Sicurezza

Ogni giorno è come svegliarsi in un forte assediato. Le minacce possono provenire da ogni parte, in ogni forma e volte, gli attacchi possono arrivare anche dall’interno

La vita dei responsabili dei sistemi IT in generale, e della sicurezza in particolare, è ogni giorno movimentata da mille problemi e altrettante insidie. E’ vero che in alcune rare occasioni tutto fila liscio e allora ci si può quasi permettere di tirare un sospiro di sollievo. Ho detto quasi perché anche quando non si è impegnati a fronteggiare un’emergenza è sempre bene prevenire eventuali problemi procedendo a una serie di attività e controlli di routine. Se così non fosse, il minimo livello di proattività in grado di assicurare a questi personaggi il mantenimento dell’equilibrio nervoso verrebbe meno, e dopo vani tentativi a recuperare situazioni ormai compromesse, non resterebbe che gettare la spugna. Nel corso di questo articolo cerchiamo quindi di esaminare quali sono le principali fonti di preoccupazione per gli amministratori IT e quali potrebbero essere i comportamenti consigliati per riuscire a garantirsi un minimo di tranquillità. L’anello debole Ormai l’abbiamo ripetuto infinite volte e fino ad ora non è ancora stato trovato un valido rimedio a quello che in ogni società rappresenta il punto debole: il fattore umano. Per quanto un responsabile della sicurezza dei sistemi informatici possa impegnarsi, troverà sempre un dipendente che in tutta ingenuità deciderà di aprire un determinato allegato, di effettuare operazioni di carico/scarico da floppy/Cd/chiavette Usb o di provare l’ebrezza di scaricare qualcosa da un sito Internet. E’ vero che nel corso di numerosi articoli abbiamo evidenziato una nutrita serie di Best Practice in grado di mettere i sistemi al riparo dai comportamenti più rischiosi. E’ altresì vero che se tutte le contromisure suggerite venissero messe in atto contemporaneamente, nessuno potrebbe essere più in grado di fare nulla. In una tale situazione la vita dell’amministratore verrebbe notevolmente complicata dalle numerose operazioni di creazione delle policy e dei permessi che consentano alle diverse figure professionali presenti in azienda di poter effettuare le operazioni necessarie alla loro attività. Il modus operandi è comunque quello corretto e da sempre si afferma che un corretto piano di sicurezza prende il via dal blocco totale di ogni permesso e dalla chiusura di ogni servizio e porta sia in ingresso sia in uscita. Partendo da questa situazione ‘blindata’ e sicuramente non produttiva, i passi successivi constano nel valutare ogni singolo servizio, ogni singola porta e permesso abilitando poco per volta quelli che vengono ritenuti indispensabili. Grazie a questo percorso evolutivo, a partire da una situazione totalmente blindata si dovrebbe giungere alla costituzione di un ambiente equilibrato, sicuro e controllato. In ogni caso, perché i dipendenti risultino produttivi, qualche concessione deve essere prevista, ed è proprio questo il caso in cui si potrebbero creare delle situazioni a rischio. Molto spesso i comportamenti scorretti in grado di generare dei rischi alla sicurezza dei sistemi e imputabili ai dipendenti vengono eseguiti per mancanza di conoscenza. In numerose occasioni ho personalmente avuto modo di verificare come attività rischiose date per scontate dai responsabili della sicurezza, e quindi non illustrate ai dipendenti responsabili, venissero da questi ultimi eseguite normalmente in piena incoscienza e comunque, in completa innocenza perché assolutamente ignari dei rischi ai quali andavano incontro. Conoscere=prevenire In quasi ogni azienda il settore più esposto a tali comportamenti risulta essere la segreteria, sia che si tratti dell’ufficio generale sia della responsabile privata di qualche dirigente. Queste figure professionali sono abituate a ricevere giornalmente una vera e propria valanga di documenti di tutti i generi. E’ vero che nel tempo l’esperienza consente di sviluppare una sorta di sesto senso che porta a scartare immediatamente i messaggi inutili e rischiosi, ma è anche vero che nessuna segretaria ignorerà automaticamente mail segnalate come importanti, fondamentali, urgenti etc. Peccato che la maggior parte dei worm e delle minacce informatiche vengano oggi veicolate attraverso questo tipo di messaggi. Per evitare l’apertura di messaggi a rischio e per elevare il grado di sicurezza intrinseco a questo reparto aziendale, il responsabile della sicurezza IT potrebbe organizzare una sorta di newsletter interna con la quale avvisare i dipendenti degli ultimi rischi segnalati dai laboratori di ricerca dei principali produttori. Inoltre non finiremo mai di ripeterlo, il sistema migliore per aumentare la sicurezza interna è quello di informare/formare adeguatamente il personale. Sacrificare settimanalmente un’oretta per aggiornare i dipendenti sui comportamenti a rischio e sulle minacce più recenti in circolazione potrebbe evitare tempi decisamente più lunghi per riparare a una violazione della sicurezza, e renderebbe il personale più motivato e partecipe nel contribuire alla ‘salute’ della propria azienda. Conclusioni Il cruccio di ogni responsabile della sicurezza IT è quasi sempre rappresentato dai comportamenti ‘incoscenti’ del personale interno. Non a caso è stato utilizzato il termine incosciente che seppure un po’ forte rappresenta perfettamente la situazione. Qualsiasi dipendente infatti, se non viene reso ‘cosciente’ dei rischi legati a un suo determinato comportamento non può poi essere accusato di aver contribuito a minare il sistema di sicurezza aziendale. E’ compito del responsabile della sicurezza IT quello di rendere ‘consci’ i dipendenti dei rischi in essere, facendone virtualmente dei propri collaboratori. Un dipendente deve sapere che esiste una legge sulla privacy e che il copiare determinati tipi di dati su una chiavetta Usb è un’azione estremamente rischiosa per la sicurezza aziendale. La segreteria o i responsabili della ricezione/smistamento della posta esterna devono conoscere quali sono le minacce attualmente in circolazione, quali le tipologie di messaggi da gestire con cautela e quali le tecniche di attacco attraverso lo strumeto che utilizzano quotidianamente. Tutto il personale aziendale dovrebbe conoscere i rischi principali che possono essere corsi navigando in Internet, scaricando la posta e aprendo gli allegati. Il responsabile IT che riesce nell’impresa di sensibilizzare il personale aziendale e a porsi come punto di riferimento per qualsiasi evento non conosciuto ma al quale si è comunque allertato qualsiasi dipendente si troverebbe finalmente ad essere circondato da preziosi collaboratori, e non da potenziali cause di problemi per la sicurezza.

Autore: ITespresso
Clicca per leggere la biografia dell'autore  Clicca per nascondere la biografia dell'autore