L’accelerazione di alcune tendenze, negli ultimi mesi, ha reso sempre più evidente la necessità di garantire la sicurezza aziendale e di verificare le vulnerabilità dei sistemi e delle infrastrutture. In aiuto delle imprese, giungono i servizi di ethical hacking, capaci di portare alla luce queste criticità, permettendo così di adottare i correttivi più efficaci.

La superficie di attacco che il cyber crime può sfruttare oggigiorno è, infatti, enormemente aumentata a causa della crescita esponenziale del remote working e del ricorso al BYOD (Bring Your Own Device), alle reti domestiche e alle piattaforme di collaborazione. A questi si aggiungono le nuove criticità dei sistemi di fabbrica, causate dalla progressiva digitalizzazione. L’aumento del 40% degli attacchi nello scorso anno è confermato dall’Osservatorio Cyber Security & Data Protection del Politecnico di Milano: lo studio evidenza come le imprese coinvolte abbiano registrato, nel periodo giugno-ottobre 2020, un numero di attacchi (soprattutto ramsoware) notevolmente superiore a quelli dell’anno precedente.

In questo scenario, essere consapevoli delle vulnerabilità dei sistemi aziendali è la premessa per adottare tutte le misure capaci di chiudere i varchi che costituiscono la via d’accesso ai potenziali attacchi informatici e per adottare soluzioni di difesa dinamiche ed efficaci.

Dall’ethical hacking un aiuto per scovare le vulnerabilità

Se l’attività svolta dagli hacker è la faccia oscura, dall’altro lato della medaglia si pone l’ethical hacking: praticato dai white hat, rappresenta un’importante risorsa per prevenire gli attacchi dei cyber criminali. Ai cosiddetti hacker buoni viene, infatti, richiesto di mettere in campo tutte quelle tecniche che utilizzerebbero i criminali, assumendone anche la mentalità, con l’obiettivo di individuare nei sistemi aziendali le falle e le vulnerabilità. I white hat dispongono di competenze, metodologie e strumenti analoghi a quelli degli hacker malevoli, impiegati, al contrario, al fine di scovare le criticità presenti nei sistemi dell’organizzazione e, di conseguenza, adottare le migliori soluzioni per proteggerli.

Le attività e gli strumenti dell’ethical hacking

Una delle tecniche di massima efficacia consiste nella simulazione di un attacco (penetration test) con l’obiettivo di valutare il rischio e la probabilità che un attaccante malevolo sia in grado di sottrarre dati sensibili dai sistemi aziendali o di provocare disservizi con ripercussioni sul business e sull’immagine aziendale.

I principali obiettivi di questa tecnica sono:

  • individuare i punti deboli attraverso i quali un hacker malevolo o un’organizzazione cyber criminale potrebbero violare i sistemi di sicurezza;
  • identificare i rischi per specifici sistemi o dati aziendali di particolare valore;
  • valutare se le attuali strategie di protezione e di contenimento del rischio sono adeguate.

Durante i penetration test, i sistemi vengono messi alla prova per capire se un virus (un trojan o altri malware), sarebbe in grado di sottrarre dati critici (brevetti, informazioni riservate, dati di clienti, ecc.) o di bloccare l’attività aziendale.

I controlli possono includere anche tecniche di social engineering volte a valutare quali rischi possano provenire dal fattore umano, andando ad analizzare le reazioni e il comportamento delle persone operanti all’interno dell’azienda e che possono rappresentare l’anello debole del sistema di sicurezza.

L’ethical hacking va commissionato a partner competenti e affidabili

La grande maggioranza delle organizzazioni non possiede internamente il know-how necessario per poter effettuare analisi di sicurezza dei propri sistemi attraverso tecniche efficaci come l’ethical hacking. È, dunque, consigliabile avvalersi di un servizio di esterno, selezionando con grande attenzione un partner specializzato in questa particolare area della sicurezza.

Il committente di un ethical hacking deve, infatti, essere consapevole che questa scelta, se non coinvolge partner seri e professionali, potrebbe esporre ad alcuni rischi; da un lato il penetration test è una tecnica invasiva che interferisce con i sistemi e con l’infrastruttura aziendale, dall’altra il white hat può venire a contatto con informazioni riservate.

L’azienda può evitare di incorrere in queste criticità, avvalendosi di partner affidabili, in grado di offrire un servizio di ethical hacking basato su metodologie e strumenti certificati. Specialisti della sicurezza informatica con cui definire chiari impegni contrattuali che indichino, in modo chiaro e trasparente, le responsabilità e le modalità di conduzione delle attività.

Comments

comments