Mese della consapevolezza della cybersicurezza 2023

20 anni di Mese della consapevolezza della sicurezza informatica

L'ottobre 2023 segna i 20 anni del Cybersecurity Awareness Month, un mese dedicato alla sensibilizzazione sulla sicurezza digitale e alla possibilità per tutti di proteggere i propri dati personali dalle forme di criminalità digitale.

Quest'anno, i leader governativi e i dirigenti del settore stanno esaminando i progressi compiuti negli ultimi 20 anni e la strada da percorrere per garantire il nostro futuro digitale.

Leggete il nostro blog: Fattori chiave per una partnership ventennale di successo: Exclusive Networks e Fortinet condividono il loro segreto

In qualità di specialista globale di cybersecurity per le infrastrutture digitali, Exclusive Networks è impegnata ad accelerare la transizione verso un mondo digitale totalmente affidabile. Continuiamo a collaborare con i nostri fornitori e partner per mettere in sicurezza la tecnologia, proteggere le infrastrutture critiche e colmare il divario di carriere nella cybersecurity attraverso soluzioni, servizi e formazione all'avanguardia per dotare il nostro mondo delle guardie informatiche di domani, di cui c'è bisogno. Questo include la nostra iniziativa Exclusive Academy, un programma di formazione specializzato per coinvolgere giovani talenti e fornire loro esperienza pratica sul campo e formazione teorica da parte degli esperti di Exclusive Networks.

Siamo lieti di sostenere ufficialmente il Cybersecurity Awareness Month 2023.

Quest'anno il Mese della Consapevolezza della Cybersecurity promuove i seguenti quattro comportamenti chiave per la cybersecurity, creati per essere semplici e praticabili sia per i singoli che per le aziende:

1. Creare password forti e utilizzare un password manager
2. Attivare l'autenticazione a più fattori
3. Aggiornare il software
4. Riconoscere e segnalare i tentativi di phishing

Sebbene aiutiamo i partner e i loro clienti a mantenere i loro dati protetti in molti modi, seguire questi pochi e semplici passi può fare una grande differenza per aiutare tutti a rimanere sicuri e protetti online.

Creare password forti e utilizzare un password manager

Le password deboli o rubate sono responsabili dell'81% delle violazioni dei dati. Ci credereste che le password più utilizzate nel 2023 saranno ancora "123456789" e "password"? I criminali informatici possono decifrare una password debole o facilmente indovinabile in poche ore. Le password più complesse e "forti", invece, possono richiedere più di una vita per essere decifrate.

Microsoft definisce una password forte come:

• Almeno 12 caratteri, ma meglio se 14 o più.
• Una combinazione di lettere maiuscole, minuscole, numeri e simboli.
• Non una parola che si possa trovare in un dizionario o il nome di una persona, un personaggio, un prodotto o un'organizzazione.
• Una password significativamente diversa da quelle precedenti: le password rubate sono spesso condivise online per essere utilizzate da altri criminali informatici.
• Facile da ricordare ma difficile da indovinare, ad esempio una frase memorabile come "6MonkeysRLooking^".

Per mantenere gli account e i dispositivi al sicuro, non condividete mai nomi utente o password con nessuno ed evitate di scriverli. Considerando che l'utente medio ha 27 applicazioni di lavoro diverse che devono essere verificate, un gestore di password può essere di grande aiuto se avete molti account e fate fatica a memorizzare più password. Molti gestori di password aggiornano automaticamente le password memorizzate, le mantengono criptate e richiedono l'autenticazione a più fattori per l'accesso.

A causa dei rischi derivanti da una scarsa igiene delle password, molte aziende stanno passando all'autenticazione senza password.

Per saperne di più sui dispositivi senza password FIDO2 di Thales

Per saperne di più

Abilitare l'autenticazione a più fattori

L'autenticazione a più fattori (MFA) fornisce un ulteriore livello di sicurezza oltre alle password, per impedire agli utenti non autorizzati di accedere ad account e dispositivi, anche quando la password è stata indovinata o rubata. Richiede più di una credenziale per l'accesso. L'MFA si presenta in diverse forme, tutte in grado di garantire che l'utente sia l'unico a poter accedere al proprio account.

I metodi MFA includono:

• Qualcosa che si conosce: Password, PIN e domande di sicurezza
• Qualcosa che si possiede: Token hardware o software, certificati, e-mail, SMS e telefonate.
• Qualcosa che si è: Impronte digitali, riconoscimento facciale, scansioni dell'iride e scansioni dell'impronta della mano
• La vostra posizione: Intervalli IP di origine e geolocalizzazione

L'uso crescente del cloud, dei dispositivi mobili e delle catene di fornitura estese spingono le organizzazioni a cercare soluzioni MFA forti. I metodi di cui sopra si basano su una serie di tecnologie, tra cui spiccano le One-Time Password (OTP) e le infrastrutture a chiave pubblica (PKI). Ecco come funzionano queste tecnologie, secondo Thales.

Le OTP sono una forma di autenticazione "simmetrica", in cui una one-time password viene generata simultaneamente in due luoghi: sul server di autenticazione e sul token hardware o software in possesso dell'utente. Se l'OTP generato dal token corrisponde a quello generato dal server di autenticazione, l'autenticazione ha successo e l'accesso è consentito.

L'autenticazione PKI è una forma di autenticazione "asimmetrica" in quanto si basa su una coppia di chiavi di crittografia diverse, ovvero una chiave di crittografia privata e una chiave di crittografia pubblica. I token hardware basati su certificati PKI, come le smart card e i token USB, sono progettati per memorizzare in modo sicuro la chiave di crittografia privata. Quando ci si autentica al server di rete della propria organizzazione, ad esempio, il server emette una "sfida" numerica. Questa sfida viene firmata utilizzando la chiave di crittografia privata. Se c'è una correlazione matematica, o "corrispondenza", tra la sfida firmata e la vostra chiave di crittografia pubblica (nota al server di rete), l'autenticazione ha successo e vi viene concesso l'accesso alla rete.

Guardate La scienza della segretezza con Simon Singh per saperne di più sulla crittografia a chiave pubblica.

Guarda qui

Aggiornare il software

Molti utenti pensano che gli aggiornamenti del software vengano rilasciati per introdurre nuove funzionalità del prodotto, ma includono anche importanti patch per risolvere vulnerabilità e bug della sicurezza informatica. Lo stesso vale per i sistemi operativi dei dispositivi (OS). Avere un software aggiornato è un modo essenziale per stare un passo avanti rispetto agli attori delle minacce che prosperano sulle vulnerabilità del software.

La maggior parte dei team IT distribuisce aggiornamenti software automatici per le applicazioni aziendali e i sistemi operativi dei dispositivi. Questo è ciò che di solito richiede il riavvio del dispositivo. Quando aggiornate il software da soli, assicuratevi sempre di scaricarlo da una fonte ufficiale, poiché il software non ufficiale spesso contiene malware. Molti dispositivi e applicazioni hanno un'opzione di aggiornamento automatico, il che significa che non dovete preoccuparvi di versioni obsolete o di perdere importanti patch di sicurezza.

Scansionate le vulnerabilità in tutta la vostra organizzazione con Tenable Nessus

Per saperne di più

Riconoscere e segnalare i tentativi di phishing

Il phishing è una truffa progettata per rubare informazioni sensibili o password, compromettere dispositivi o inviare denaro ai criminali informatici. Di solito si presenta sotto forma di e-mail, ma può anche assumere la forma di messaggi di testo ingannevoli (noti come smishing, una combinazione di SMS e phishing), post sui social, pop-up sul web, telefonate (note come vishing, o phishing vocale) e persino strumenti di collaborazione come Microsoft Teams, un nuovo tipo di rischio.

Ulteriori informazioni su Bloccate virus, malware e phishing con Mimecast Protection for Microsoft Teams

Per saperne di più

Nel phishing, i criminali informatici utilizzano l'ingegneria sociale per indurvi a condividere dati privati e riservati, come numeri di conto corrente o informazioni di login. Possono chiedere il nome, le informazioni sul conto, la data di nascita, le password e altre informazioni sensibili o segrete. Spesso vi indurranno ad aprire un link o un file in un messaggio dall'aspetto legittimo. Assicuratevi sempre di passare prima il mouse su un link per verificare che sia legittimo e, in caso di dubbio, non cliccateci sopra e segnalatelo. Attenzione:

Nel phishing, i criminali informatici utilizzano l'ingegneria sociale per indurvi a condividere dati privati e riservati, come numeri di conto corrente o informazioni di accesso. Possono chiedere il vostro nome, le informazioni sul conto, la data di nascita, le password e altre informazioni sensibili o segrete. Spesso vi indurranno ad aprire un link o un file in un messaggio dall'aspetto legittimo. Assicuratevi sempre di passare prima il mouse su un link per verificare che sia legittimo e, in caso di dubbio, non cliccateci sopra e segnalatelo. Fate attenzione a:

• Un mittente non specifico, qualcuno che non conoscete o che non corrisponde all'indirizzo "da".
• saluti non familiari, insoliti o generici
• Errori ortografici e grammaticali
• un link sospetto che non corrisponde all'URL della pagina web contenuta nell'e-mail
• Un link a immagini o video di persone non conosciute
• Un link o un allegato per visualizzare qualcosa di inaspettato, ad esempio per rintracciare un pacco sconosciuto
• Allegati con nomi di file errati o sospetti o estensioni di file sospette (.bin, .com, .exe, .html, .pif, .vbs, .zip, .zzx)
• Immagini a bassa risoluzione

Per tracciare e crittografare le e-mail aziendali inviate contenenti dati sensibili, prendete in considerazione RPost.

Per saperne di più

Il phishing generico e quotidiano di solito non è mirato ed è più facile da individuare. Altri tipi di phishing sono:

• Spear phishing: si rivolge a una persona specifica e la studia per poter scrivere un messaggio più convincente e dall'aspetto legittimo per indurla ad abbassare la guardia e condividere informazioni sensibili.
• Whaling: si rivolge in particolare agli amministratori delegati e ai membri dei team di leadership.
• Phishing di documenti condivisi: imita un'e-mail proveniente da siti di condivisione di file come Dropbox, Google Drive o OneDrive per dire che un documento è stato condiviso con voi, ma il link è una falsa pagina di login che ruba le credenziali del vostro account.

Per combattere il phishing, molte organizzazioni stanno investendo in modo significativo nell'educazione formale alla consapevolezza della cybersecurity per i propri dipendenti, trasformandoli nella loro più preziosa linea di difesa contro i cyberattacchi.

Per saperne di più sulla piattaforma di formazione per la sensibilizzazione alla sicurezza e di simulazione del phishing di Proofpoint

Per saperne di più

La sicurezza informatica non deve essere complicata o opprimente. Anche solo praticare questi 4 passi fondamentali aiuta a sviluppare abitudini sicure che possono essere facilmente incorporate nella vita quotidiana. Quando ogni persona e ogni organizzazione fa la sua parte, riduciamo collettivamente i rischi informatici e manteniamo il nostro stile di vita digitale protetto e affidabile.

Per saperne di più

Per saperne di più sui modi in cui le organizzazioni possono sostenere l'adozione di competenze di cybersecurity:

• Corsi di formazione Exclusive Networks
• Costruire la prossima generazione di professionisti della cybersecurity: il modello "Exclusive Academy".
• Informazioni sul Mese della consapevolezza della sicurezza informatica