Quando il rischio diventa abitudine: Comportamento dei dipendenti e sicurezza organizzativa

Secondo "Exposing Human Risk", il comportamento umano è un fattore di rischio significativo e spesso trascurato nella cybersecurity organizzativa. Il rapporto evidenzia come le azioni rischiose dei dipendenti - come cadere negli schemi di phishing, scaricare malware o violare le policy di navigazione - possono creare vulnerabilità che espongono le aziende alle minacce informatiche. I risultati offrono spunti critici per capire come le organizzazioni possono ridurre il rischio puntando su comportamenti specifici dei dipendenti. 

Comportamento a rischio e delinquenti abituali 

Uno dei risultati chiave dello studio è l'impatto sproporzionato di un piccolo numero di dipendenti che assumono comportamenti a rischio. Queste persone, note come "trasgressori abituali", sono responsabili di una parte considerevole degli incidenti di cybersecurity all'interno delle organizzazioni: 

• Ad esempio, 5% di dipendenti responsabili di violazioni della navigazione hanno generato il 62% di tutti gli incidenti di questo tipo. 
• Tra i comportamenti di phishing, malware e navigazione, solo 5% di utenti hanno rappresentato il 75% degli eventi rilevati.  
• Solo 1% degli utenti è all'origine del 44% di tutte le e-mail di phishing cliccate. 

Cosa dimostra questo schema? Concentrarsi sul comportamento di alcuni utenti ad alto rischio potrebbe produrre miglioramenti sostanziali nella riduzione del rischio complessivo. 

Comportamenti a rischio multipli 

La ricerca mostra anche che mentre molti dipendenti si impegnano in una sola forma di comportamento a rischio, un piccolo gruppo di individui si impegna in più azioni pericolose. Dei 48% dipendenti che hanno dimostrato comportamenti a rischio, la maggior parte ha commesso solo un tipo di comportamento. Tuttavia, 13% si sono impegnati in due tipi, e meno di 1% ha trasgredito in tre o più aree. 

È interessante notare che i tassi di fallimento più elevati si verificano con i tentativi di phishing reali piuttosto che con i test di phishing simulati. Circa 3% dei dipendenti hanno fallito sia i test di phishing reali che quelli simulati, mentre 1% ha fallito il phishing reale ma non le simulazioni.  

I test di phishing simulati sono fuorvianti? 

C'è un netto contrasto tra le risposte dei dipendenti agli attacchi di phishing simulati e quelli reali. I dati indicano che le percentuali di clic per il phishing simulato sono molto più alte rispetto agli attacchi reali, il che potrebbe implicare che i dipendenti sono più bravi a riconoscere i messaggi di phishing reali. Ciò solleva la questione se i test di phishing simulati siano troppo complessi o poco realistici, potenzialmente in grado di fuorviare i dipendenti sull'aspetto di un vero tentativo di phishing. 

Il ruolo della funzione lavorativa nell'esposizione al rischio 

Un'altra importante scoperta dello studio riguarda il modo in cui i ruoli separati all'interno dell'organizzazione influenzano l'esposizione agli attacchi di phishing. I manager, i dirigenti e il personale di vendita ricevono un volume più elevato di e-mail di phishing a causa dei loro ruoli più rivolti al pubblico e dei livelli di accesso più elevati. Tuttavia, tendono ad avere tassi di clic più bassi rispetto agli altri dipendenti.  

È interessante notare che, mentre i manager sono presi di mira più frequentemente, la loro maggiore esposizione si traduce in una maggiore probabilità di successo degli attacchi, suggerendo che una protezione più proattiva di questi dipendenti potrebbe essere più efficace della semplice formazione aggiuntiva. 

La linea di fondo  

Exposing Human Risk sottolinea l'importanza di comprendere e gestire il rischio umano nella cybersecurity. Mentre le minacce esterne rimangono significative, i comportamenti dei dipendenti - in particolare quelli che si impegnano costantemente in azioni rischiose - rappresentano una sfida persistente.  

Identificando gli utenti ad alto rischio e adattando le strategie di intervento, le organizzazioni possono ridurre i rischi di cybersecurity. Una formazione regolare, simulazioni di phishing più accurate e protezioni specifiche per i ruoli ad alto rischio sono passi fondamentali per migliorare la postura di cybersecurity di un'organizzazione. 

Per saperne di più su cosa succede quando i comportamenti a rischio diventano abitudini, legga il rapporto completo.