Attacco ransomware

Consapevolezza. Gestione del rischio. Professionalità e collaborazione con esperti del settore. Preparazione. Sono questi gli antidoti principali a una minaccia che negli ultimi anni è diventata sempre più attuale e a cui nessuna azienda può dirsi immune: parliamo del “rischio cyber” e più precisamente della tipologia di attacco “Ransomware”, i cui risvolti possono essere più grandi di quanto si possa ingenuamente pensare. Anche per le piccole e medie imprese, e specialmente per quelle che non dispongono di strutture ICT tipiche delle grandi organizzazioni, il rischio cyber impone dunque grande attenzione e un’accorta preparazione.

Di Luca Previtali Head of the Technology, Data and Innovation Department, BancaStato

Di cosa stiamo parlando 

Chiariamo subito di cosa stiamo parlando. L’attacco Ransomware è un attacco con cui i criminali informatici entrano nei sistemi informatici, esfiltrano e cifrano dati aziendali rendendoli indisponibili e minacciando di renderli pubblici sul web. Viene richiesto un riscatto (solitamente in criptovaluta) legato alla promessa di fornire la chiave di decriptazione dei dati e di non divulgarli sulla rete. Il tutto avviene in un contesto estremamente stressante per l’azienda, contraddistinto ad esempio da forti pressioni e da un’”escalation” da parte dei criminali, dall’indisponibilità dei sistemi informatici e dall’incertezza sull’entità e sulla ramificazione dell’attacco. I “costi” possono andare oltre all’aspetto monetario e contemplare anche perdita di tempo e di produttività, la corruzione o la perdita di dati, lasciando il campo anche a implicazioni di ordine reputazionale e legale.

È dunque opportuno prepararsi al meglio a questa eventualità, sperando naturalmente che non si realizzi.

Rivolgersi a professionisti 

Ma quali sono i primi passi da compiere per chi, parlando di questo rischio informatico, vuole valutare il proprio “stato di salute”? Va innanzitutto detto che, di principio, il rischio cyber va gestito analogamente agli altri rischi che i gestori patrimoniali esterni sono già abituati a padroneggiare quotidianamente. Richiede specifiche competenze e organizzazioni: in altri termini, occorrono professionalità, competenza e risorse. Se queste risorse non sono sufficientemente presenti “in casa” può essere utile far capo a esterni affidabili che abbiano possibilmente la massa critica sufficiente a fornire personale e conoscenze adeguate. Inoltre, una buona idea è quella di contattare un’azienda indipendente specializzata in sicurezza informatica, alla quale richiedere di valutare la postura di sicurezza, di identificare eventuali lacune (grazie a cosiddetti “penetration tests”) e di suggerire rimedi o migliorie. La Svizzera, fortunatamente, abbondano di ottime società specializzate in tal senso.

Parola chiave: consapevolezza 

Spesso e volentieri tale approccio permette dunque di rendere visibile un rischio fino a quel momento sottovalutato e, dunque, di poterlo integrare nelle politiche e nelle misure strategiche dell’azienda. Essendo consapevoli del proprio livello di esposizione è possibile valutare aspetti chiave e sciogliere domande solo in apparenza semplici quali: “Se dovessi venire attaccato e la mia infrastruttura fosse bloccata per due settimane, a chi mi rivolgo? Quali sono i primi passi che compio? Come informo la clientela? Cosa dico ai miei dipendenti?”.

Non essere preparati può costare molto caro

Sia chiaro: il “rischio zero” non esiste e ciò vale specialmente parlando di rischi informatici. Eppure è estremamente importante mitigarli il più possibile. Innanzitutto, come detto, occorre una gestione professionale dei propri dati e dei propri sistemi informatici: affinamento della struttura informatica, inventari, antivirus e antispam, gestione delle vulnerabilità, backup offline, test sono concetti che devono diventare organici alla propria azienda.

La formazione del proprio personale è altrettanto cruciale: collaboratrici e collaboratori devono essere istruiti a riconoscere e-mail, allegati sospetti o attività di “social engineering”; parallelamente, devono sapere a chi rivolgersi per segnalare tali evenienze.

Un’altra dimensione basilare è la preparazione, “l’allenamento”, a gestire la crisi. Anche in questo frangente le società specializzate forniscono un aiuto tangibile e concreto a chiarire processi, assegnare compiti e responsabilità, tracciare piani di comunicazione interna ed esterna: attività che se non programmate sarebbe molto difficile condurre con efficienza e razionalità durante le concitate fasi di un attacco Ransomware, quando il fattore tempo è essenziale per minimizzare i danni.

Occorre poi contattare e stipulare collaborazioni le aziende e gli specialisti di supporto che saranno fondamentali per le attività forensi, la bonifica e il ripristino dei sistemi attaccati, la negoziazione con i criminali: anche per questi aspetti occorre muoversi per tempo.

È infine vivamente consigliato sottoporsi a una simulazione di attacco. Questo tipo di esercizio teorico (in gergo “tabletop exercise”), che può durare anche solo mezza giornata e dai costi contenuti, è uno strumento utilissimo per verificare la prontezza di reazione e affinare ulteriormente la propria preparazione.

In conclusione, affrontare il rischio cyber in modo proattivo, con una gestione professionale dei sistemi ICT e dei dati e un’adeguata preparazione, permette non solo di ridurre l’esposizione agli attacchi ma anche di affrontare possibili incidenti in modo ordinato e mitigarne le conseguenze.

Biografie

Luca Previtali è responsabile del Dipartimento Tecnologie, dati e innovazione di BancaStato da marzo 2022. A tale Dipartimento è conferito anche il compito di gestire secondo le normative FINMA i rischi ICT e Cyber oltre che assicurare una corretta evoluzione della gestione dei dati della Banca.

Precedentemente, Luca Previtali ha ricoperto per oltre vent’anni di attività diversi ruoli dirigenziali al Politecnico federale di Zurigo collezionando una vasta esperienza nella definizione e implementazione di strategie ICT e aziendali, nell’ideazione ed esecuzione di trasformazioni tecnologiche (ad esempio innovazione digitale, adozione public cloud, concetti e strategie di sicurezza) e organizzative (quali riorganizzazioni, turnarounds, integrazione post-merger, modelli operativi), nonché nello sviluppo di piattaforme ICT e soluzioni per la gestione dei dati.

Ha conseguito un diploma in Ingegneria Elettrotecnica (ETH Zürich, 2001) e un Executive MBA (Università di Oxford, 2020).