Come prevenire le violazioni dei dati nel settore della vendita al dettaglio

Nel settore della vendita al dettaglio vengono gestiti quotidianamente ingenti volumi di dati relativi ai clienti, che spaziano dai dettagli di pagamento e dalle informazioni relative all’ e personale fino ai dati relativi al personale e alle comunicazioni con i fornitori. Ciò rende il settore della vendita al dettaglio un bersaglio frequente di attacchi informatici di tipo “ ”, di phishing e di frodi. 

Per prevenire una violazione dei dati non basta un solo strumento o una sola politica. Ciò richiede una visione chiara dei rischi, controlli più rigorosi, migliori abitudini da parte dei dipendenti e una sicurezza dei dati in grado di stare al passo con le modalità effettive di funzionamento delle operazioni di vendita al dettaglio.

1. Valutate il vostro attuale livello di sicurezza

Il primo passo per  prevenire le violazioni dei dati nell'ambito dell' e consiste nel comprendere la propria esposizione attuale. Il primo passo consiste in una valutazione completa dei rischi.

1. Individuare dove risiedono i dati sensibili relativi al settore retail nei sistemi POS, nelle piattaforme di e-commerce, negli strumenti CRM, nei dispositivi mobili, e negli endpoint dei dipendenti. 
2. Mappi il flusso delle informazioni sui clienti, dei dati di pagamento e dei registri interni attraverso i sistemi, i punti vendita, gli strumenti cloud e i fornitori terzi. 
3. Esaminate attentamente gli incidenti storici, le vulnerabilità ricorrenti e i punti di esposizione più comuni, quali dispositivi condivisi , sistemi di autenticazione poco sicuri o trasferimenti di file non gestiti.
4. Verificare la sicurezza dei fornitori. I partner esterni possono creare un rischio per la catena di approvvigionamento qualora le responsabilità relative al trattamento, alla trasmissione o all’archiviazione dei dati non siano chiare.

Le consigliamo inoltre di esaminare le lacune in materia di conformità. Confronti le Sue attuali misure di controllo con lo standard PCI DSS, che il PCI Security Standards Council descrive come una linea guida di requisiti tecnici e operativi per la protezione dei dati relativi ai conti di pagamento. 

Se operate negli Stati Uniti e trattate dati personali di residenti in California, anche il California Consumer Privacy Act (CCPA) è rilevante. Il Procuratore Generale della California afferma che il CCPA garantisce ai consumatori un maggiore controllo sui dati personali raccolti dalle aziende.

2. Implementare controlli di accesso rigorosi

I rivenditori dovrebbero applicare controlli di accesso basati sul principio del “privilegio minimo”(), in modo che i dipendenti possano accedere solo ai sistemi e ai dati necessari per lo svolgimento delle loro mansioni. Ciò significa limitare l’accesso alle piattaforme relative ai punti vendita (POS), all’ , alla gestione delle scorte, alla contabilità e al servizio clienti, rimuovere gli account inattivi ed eliminare, ove possibile, le credenziali condivise .

Anche le revisioni periodiche sono altrettanto importanti. Le autorizzazioni degli utenti cambiano man mano che i dipendenti cambiano ruolo, il personale stagionale entra in servizio, i collaboratori esterni ( ) o i fornitori ottengono un accesso temporaneo. Senza una pulizia regolare, gli accessi non necessari possono rimanere attivi per un periodo di tempo troppo lungo.

L'autenticazione a più fattori dovrebbe essere la norma per gli account amministrativi, l'accesso remoto e i sistemi cloud. I controlli centralizzati sull’identità di aiutano i team a individuare comportamenti di accesso insoliti, tentativi falliti ripetuti e modelli di accesso a rischio. Anche i timeout delle sessioni e l’autenticazione sicura rivestono importanza per le postazioni di lavoro condivise nel settore della vendita al dettaglio, dove il ricambio del personale e i turni ravvicinati rendono più facile l’uso improprio qualora i controlli siano carenti.

3. Crittografare e proteggere i dati sensibili del settore retail

La prevenzione delle violazioni nel settore della vendita al dettaglio dipende dalla protezione dei dati sia in fase di archiviazione che in fase di trasmissione. I registri dei pagamenti, i dati dei clienti e le informazioni aziendali interne devono essere crittografati utilizzando standard rigorosi e aggiornati. Per le transazioni, le e-mail e i trasferimenti di file è inoltre opportuno utilizzare protocolli sicuri , in modo che le informazioni sensibili non vengano esposte durante il trasferimento tra i sistemi .

Tale protezione dovrebbe estendersi ai dispositivi mobili e ai terminali POS, in particolare negli ambienti di vendita al dettaglio distribuiti in cui il personal e può utilizzare tablet, dispositivi portatili o dispositivi condivisi.

Anche i backup richiedono lo stesso livello di attenzione. Crittografate i backup, archiviateli in ambienti protetti fuori sede o nel cloud e verificate regolarmente il ripristino d . Un backup è utile solo se consente di ripristinare le operazioni di vendita al dettaglio a seguito di un incidente di sicurezza. Anche l’adozione di pratiche sicure di gestione delle chiavi e di rotazione delle chiavi nell’ambito dell’ e riveste grande importanza, poiché una gestione inadeguata delle chiavi può compromettere la sicurezza di una crittografia altrimenti solida.

4. Rafforzare la sicurezza della posta elettronica e delle comunicazioni

L'e-mail rimane uno dei modi più semplici con cui gli hacker possono contattare i dipendenti del settore della vendita al dettaglio. Un messaggio di phishing di tipo “” che si presenta come un aggiornamento da parte di un fornitore, una fattura, una richiesta di reimpostazione della password o una richiesta da partedi un dirigente può portare al furto delle credenziali, alla diffusione di malware di tipo “” o a una fuga di dati di tipo “”.

I rivenditori dovrebbero implementare un sistema di rilevamento avanzato delle minacce di tipo “” in grado di identificare link dannosi, allegati pericolosi, domini contraffatti e tentativi di usurpazione d’identità. DMARC,  i controlli anti-phishing e l'analisi comportamentale contribuiscono a rafforzare tali difese. Mimecast offre una difesa basata sull’intelligenza artificiale (AI) di tipo “” contro il phishing, il BEC e l’usurpazione di identità del marchio su piattaforme di posta elettronica e di collaborazione, il che risulta particolarmente rilevante per gli ambienti di vendita al dettaglio in rapida evoluzione .

Anche il monitoraggio in uscita è importante. Il controllo per la prevenzione della perdita di dati è in grado di analizzare le e-mail e gli allegati alla ricerca di dati relativi ai clienti, informazioni finanziarie e dati personali identificativi. In base alle politiche, i messaggi possono essere bloccati, crittografati o contrassegnati automaticamente. Estendere tale protezione agli strumenti di collaborazione e messaggeri i consente di ridurre i punti ciechi al di là della casella di posta in arrivo.

5. Formare e istruire i dipendenti del settore della vendita al dettaglio

La tecnologia da sola non è in grado di contrastare ogni minaccia informatica. I dipendenti del settore della vendita al dettaglio rappresentano spesso la prima linea di difesa, soprattutto negli ambienti di “ ”, caratterizzati da dispositivi condivisi, un elevato volume di transazioni e un’interazione costante con i clienti.

I corsi di formazione periodici sulla sicurezza informatica dovrebbero insegnare al personale come individuare casi di phishing, ingegneria sociale, richieste di accesso sospette e richieste insolite di informazioni sui clienti. Sessioni brevi e ricorrenti di “ ” (formazione sul posto di lavoro) di solito danno risultati migliori rispetto a un corso di formazione annuale una tantum. Le simulazioni di phishing possono rafforzare quanto appreso in modo più concreto.

Creare una cultura incentrata sulla sicurezza con Formazione sulla consapevolezza in materia di sicurezza di Mimecast.

I dipendenti dovrebbero sentirsi a proprio agio nel segnalare e-mail o attività sospette senza temere di essere biasimati. I promemoria sulla sicurezza possono essere integrati nel processo di inserimento, nei controlli da parte dei responsabili e nei flussi di lavoro di routine del settore retail. Il riconoscimento dei team che adottano pratiche efficaci può contribuire a garantire una maggiore uniformità nei comportamenti in materia di sicurezza tra i vari punti vendita e reparti.

6. Monitoraggio dei sistemi e gestione degli incidenti

I rivenditori necessitano di una visibilità costante su ciò che accade a livello di endpoint, reti e strumenti cloud. La registrazione dei log, il monitoraggio degli endpoint e la generazione di avvisi possono aiutare a individuare accessi insoliti, trasferimenti di dati sospetti e tentativi falliti di accesso prima che si trasformino in problemi più gravi.

Una dashboard centralizzata consente di monitorare più facilmente l'attività delle minacce in tempo reale e di agire con maggiore rapidità. Questo è importante quando una piccola anomalia di tipo “ ” potrebbe rappresentare l’inizio di una violazione più grave.

Altrettanto importante è disporre di un piano di risposta agli incidenti ben definito. Definire le responsabilità dei reparti IT, legale, conformità, dirigenza, e dei partner esterni. Si descriva in che modo gli incidenti vengono contenuti, indagati, segnalati ai livelli superiori e resi noti. Le esercitazioni da tavolo possono aiutare a verificare se il piano funziona effettivamente in situazioni di stress, anziché rimanere solo sulla carta.

7. Rivedere e aggiornare regolarmente le politiche di sicurezza

Gli ambienti commerciali sono in rapida evoluzione. Nuovi dispositivi, assunzioni stagionali, cambiamenti di fornitori, aggiornamenti dell’e-commerce e flussi di lavoro relativi all’ e dei pagamenti possono tutti comportare nuovi rischi.

Ecco perché le politiche di sicurezza dovrebbero essere riviste regolarmente. Le regole di accesso, le procedure di gestione dei dati, l’uso accettabile dei dispositivi e le procedure di escalation devono tutte rispecchiare le attuali operazioni di vendita al dettaglio. Le politiche dovrebbero inoltre stare al passo con l’evoluzione delle minacce e dei requisiti di conformità.

Gli audit interni e quelli condotti da soggetti terzi possono aiutare a verificare se i Suoi controlli funzionano come previsto. I risultati dovrebbero essere integrati nella formazione, nei miglioramenti tecnici e nelle iniziative più ampie di gestione dei rischi. È proprio la revisione continua che aiuta i rivenditori di a migliorare progressivamente il proprio livello di sicurezza, anziché limitarsi a reagire solo a seguito di una violazione.

Strategie di difesa a più livelli per la sicurezza dei dati nel settore della vendita al dettaglio

Per prevenire le violazioni dei dati nel settore della vendita al dettaglio è necessario adottare un approccio a più livelli. I rivenditori necessitano del giusto equilibrio tra tecnologia, consapevolezza dei dipendenti in materia di " " e politiche applicabili per proteggere i dati dei clienti, ridurre i rischi informatici e mantenere la fiducia dei clienti.

La posta elettronica e il rischio legato al fattore umano dovrebbero rimanere al centro di tale strategia. Molte violazioni hanno origine da un messaggio convincente, da un clic affrettato o da un errore di accesso che si sarebbe potuto evitare. Ecco perché èfondamentale disporre di un sistema di sicurezza integrato, e basato sull’intelligenza artificiale. Mimecast contribuisce a proteggere la posta elettronica e i canali di collaborazione, migliorando il rilevamento e riducendo i rischi legati al fattore umano.

Questo è il momento giusto per riesaminare i vostri attuali sistemi di controllo, individuare le lacune più significative e valutare se i vostri attuali strumenti di “ ” vi aiutino a prevenire le violazioni o si limitino a reagire alle stesse solo dopo che il danno è stato fatto.

La collaborazione con Mimecast può aiutare i rivenditori a rafforzare le misure di prevenzione grazie a una protezione più integrata su tutti i canali di comunicazione dell’ , dove spesso hanno origine le violazioni.