Introduzione a Human Risk: la prossima generazione di consapevolezza della sicurezza

Irrisolto, ma sempre presente 

Sin dalla sua prima pubblicazione nel 2008, il Data Breach Investigations Report (DBIR) di Verizon ha costantemente evidenziato che l'errore umano è il principale responsabile delle violazioni (74% nel 2023). Questa constatazione è diventata così ampiamente accettata che la maggior parte dei professionisti della sicurezza la considerano semplicemente un dato di fatto, la considerano un problema irrisolvibile e passano alla protezione di reti, dispositivi e applicazioni. Ciò è stato in gran parte dovuto alla mancanza di una visibilità guidata dai dati sul problema e di approfondimenti praticabili per capire se interventi come la formazione o le simulazioni di phishing stessero riducendo il rischio umano-centrico. Il risultato? Programmi con un approccio unico, che hanno fatto poco per dimostrare una vera riduzione del rischio. Era il momento di cambiare. 

Mimecast acquisisce Elevate Security

Data la pervasività dell'errore umano nelle violazioni, la strategia di protezione di un'organizzazione deve includere una comprensione del rischio umano-centrico e gli strumenti per mitigare in modo dimostrabile questo rischio. Ecco perché nel gennaio 2024, Mimecast ha acquisito Elevate Security, il fornitore leader nella gestione del rischio umano. Questa acquisizione strategica dimostra il continuo impegno di Mimecast nel migliorare la protezione dei clienti e nel fornire approfondimenti proattivi e una visibilità più profonda sui comportamenti umani e sui rischi, aiutando i clienti a proteggere meglio il loro spazio di lavoro digitale. La piattaforma Elevate aiuta le organizzazioni a identificare in modo proattivo gli utenti ad alto rischio e ad automatizzare le risposte e le protezioni. Se combinate con l'offerta di Mimecast’s Awareness Training! e con le suite di sicurezza e-mail e di collaborazione di livello mondiale, queste capacità possono aiutare a ridurre il rischio e l'esposizione complessiva delle aziende come mai prima d'ora.

Che cos'è la gestione di Human Risk? 

Sebbene la maggior parte degli incidenti di sicurezza coinvolga l'elemento umano, è una percentuale molto piccola quella degli utenti che causano effettivamente questi incidenti. Il principio guida della gestione del rischio umano è che la formazione e i controlli di sicurezza non devono essere uguali per tutti. Piuttosto, dovrebbero essere applicate in base al livello di rischio che i singoli utenti rappresentano, sia in base alle azioni, alla frequenza degli attacchi o al ruolo. La possibilità di applicare una formazione o dei controlli di sicurezza su misura consentirà alle organizzazioni di investire i livelli appropriati di risorse e di attenzione sugli utenti più a rischio, riducendo al contempo l'attrito per coloro che presentano un rischio minore. 

Ecco alcuni casi d'uso: 

• La gestione del rischio umano può aiutare ad adattare gli interventi di sicurezza ai singoli utenti, consentendo di assegnare dinamicamente le politiche e i controlli alle persone o ai gruppi in base ai loro rischi effettivi. Questo può rendere la strategia politica più intuitiva, efficace e automatizzata per i clienti. 
• "La combinazione delle capacità di identificazione del rischio di Elevate e della roadmap di Mimecast’s Awareness Training! promette di fornire ai clienti una visione più completa del rischio dell'utente, consentendo loro di personalizzare in modo dinamico strategie di formazione mirate che possono essere più efficaci nell'incidere sui comportamenti a rischio rispetto a un programma di formazione generico."   
• L'inserimento della piattaforma dati di Elevate nella suite di prodotti Mimecast consentirà l'integrazione di un maggior numero di dati provenienti da una più ampia varietà di fonti, fornendo un'intelligence migliore che può in ultima analisi considerare i rischi umani basati sulle azioni delle persone, sugli attacchi a loro rivolti e sui loro livelli di accesso ai sistemi aziendali. Ciò consentirà ai clienti di prendere decisioni molto più informate sulle loro posizioni di sicurezza, poiché offriamo insieme una migliore visibilità e mitigazione dei rischi. 

Unire la gestione di Human Risk e la formazione di sensibilizzazione alla sicurezza 

Mentre le organizzazioni evolvono la loro strategia di formazione alla consapevolezza della sicurezza per considerare tutti gli aspetti del rischio umano, è importante essere consapevoli che la formazione alla consapevolezza e la gestione del rischio umano non sono in opposizione l'una all'altra, ma al contrario, sono migliori insieme.

La consapevolezza della sicurezza si concentra su ciò che i dipendenti conoscono sulla sicurezza, una parte importante ma incompleta dell'equazione. La gestione del rischio umano colma le lacune, ma fornisce una comprensione di ciò che i dipendenti fanno in relazione alla sicurezza: quali decisioni buone e cattive in materia di sicurezza prendono regolarmente? Sono recidivi? Con quale frequenza vengono attaccati? Grazie a questa comprensione, i professionisti della sicurezza sono in grado di ottenere un quadro della distribuzione dei dipendenti a rischio all'interno della loro organizzazione. Le analisi di Elevate mostrano che l'otto per cento degli utenti causa l'80 per cento degli incidenti. Non tutti gli utenti sono uguali per quanto riguarda la consapevolezza della sicurezza e il rischio umano che rappresentano.

Questa visibilità consente un'applicazione molto più precisa degli interventi di sicurezza come la formazione, il feedback e i nudge alla forza lavoro, permettendo di fornire la formazione giusta alla persona giusta al momento giusto. Questo massimizza la capacità di un'organizzazione di proteggersi in modo proattivo, riducendo al contempo le ore di formazione inutili o gli attriti sulla sicurezza.

Sebbene l'e-mail rimanga il principale vettore di minacce, una strategia efficace di gestione del rischio umano richiede l'input di una gamma più ampia di segnali che possono fornire una misurazione delle principali aree di errore umano, come cliccare su quel link di phishing, scaricare malware, gestire male i dati o compromettere un account. La tecnologia di Elevate ingerisce dati da oltre 50 fonti diverse per raccogliere il contesto dell'utente, quindi elabora oltre due miliardi di punti dati per determinare il rischio predittivo che segnala con precisione gli individui a rischio.

La suite di prodotti Mimecast, in combinazione con le capacità di Elevate, offre ai professionisti la possibilità di portare i loro programmi di sensibilizzazione alla sicurezza a un livello superiore: 

• Valutazione del rischio basata sul comportamento, piuttosto che sull'autovalutazione o sulla simulazione. 
• Un risk scoring avanzato che dà un senso a tutti i dati disparati degli utenti per capire cosa è veramente rischioso e dove risiede all'interno dell'organizzazione. 
• Nudging e intervento che consente di rispondere al comportamento con una formazione applicabile e pertinente nel momento in cui viene dimostrato un comportamento a rischio. 
• Formazione adattativa e consapevole del contesto, che equipaggia i team di sicurezza, IT e di sensibilizzazione per affrontare effettivamente i rischi specifici del dipendente. 
• Raccomandazioni per mettere a punto i controlli di sicurezza delle e-mail per proteggere meglio i dipendenti più a rischio. 
• Vere e proprie soluzioni di cambiamento del comportamento che vanno oltre le simulazioni di phishing. 

La linea di fondo 

Le ricerche dimostrano che una minoranza di utenti causa la stragrande maggioranza degli incidenti di sicurezza. Adattare la formazione e i controlli di sicurezza a ciascun dipendente, in base ai livelli di rischio individuali, può aiutare a fare passi da gigante verso una migliore postura di sicurezza. Con l'incorporazione della tecnologia Elevate Security nella suite Mimecast, i clienti Mimecast saranno in grado di non limitarsi a spuntare una casella di conformità, ma di ottenere in modo proattivo intuizioni e una visibilità più profonda sui comportamenti umani e sui rischi, aiutandoli a responsabilizzare la loro forza lavoro.