Per illustrare al meglio il punto della valutazione dei rischi, consideriamo due casi pratici:
CASO PRATICO 1:
Un’azienda di servizi finanziari decide di condurre una valutazione dei rischi per proteggere il proprio patrimonio informatico.
1. Valutazione delle minacce esterne
L’azienda riconosce che gli attacchi informatici sono una delle principali minacce esterne. Considerando casi recenti di attacchi di phishing e ransomware nel settore finanziario, l’azienda prende atto che i dipendenti potrebbero essere esposti a e-mail o siti web dannosi. Considera inoltre anche le minacce di attacchi DDoS (Distributed Denial of Service) che potrebbero interromperne i servizi online.
2. Analisi delle vulnerabilità interne
Le vulnerabilità informatiche interne possono dipendere da molteplici fattori tra cui uno staff poco formato in materia di cybersecurity. Dunque, l’azienda valuta la possibilità che i suoi dipendenti possano commettere errori come accedere a informazioni riservate da dispositivi non protetti o condividere dati sensibili.
3. Valutazione degli impatti
L’azienda valuta la portata e l’entità dei potenziali impatti derivanti da tali minacce e vulnerabilità. Considera gli effetti finanziari di un eventuale attacco ransomware capace di compromettere l’accesso ai dati e richiedere un riscatto per il ripristino. Ma valuta anche l’impatto dello stesso sulla sua reputazione in caso di violazione e divulgazione dei dati finanziari dei clienti.
4. Definizione di misure di protezione
Sulla base della valutazione dei rischi, l’azienda sviluppa un piano per mitigare i rischi identificati. Adotta misure come la formazione periodica dei dipendenti sulla sicurezza IT, l’implementazione di filtri antispam e antivirus per ridurre il rischio di attacchi di phishing,
l’installazione di firewall e sistemi di rilevamento delle intrusioni a protezione della rete informatica aziendale e la crittografia dei dati sensibili sia in transito che a riposo.
5. Monitoraggio e revisione continua
Dopo aver implementato le opportune misure di protezione, l’azienda monitora con continuità la propria infrastruttura attraverso specifici strumenti capaci di individuare eventuali anomalie o attività sospette. Periodicamente, esegue anche revisioni dei processi e delle politiche di sicurezza per assicurarsi che siano aggiornate rispetto alle nuove minacce e alle best practice di settore.
CASO PRATICO 2:
Un’azienda di e-commerce valuta i rischi legati al proprio patrimonio informatico.
1. Valutazione delle minacce esterne
L’azienda riconosce che le minacce esterne potrebbero corrispondere a tentativi di accesso non autorizzato ai dati dei clienti o attacchi volti a
compromettere i pagamenti online. Considera dunque i casi di violazioni dei dati delle carte di credito che hanno colpito altri negozi online.
2. Analisi delle vulnerabilità interne
L’azienda valuta le vulnerabilità interne come l’utilizzo di password deboli da parte dei dipendenti. Riconosce inoltre che gli stessi potrebbero effettuare modifiche non autorizzate al sistema.
3. Valutazione degli impatti
L’azienda valuta gli impatti potenziali, inclusi i danni finanziari derivanti da una violazione dei dati dei clienti, come sanzioni o risarcimenti. Inoltre, considera l’effetto negativo sulla fiducia dei clienti e sulla sua reputazione.
4. Definizione di misure di protezione
L’azienda adotta differenti misure tra cui l’implementazione di un sistema di autenticazione a due fattori per l’accesso ai dati dei clienti, l’uso di crittografia SSL per proteggere le transazioni online, la scansione periodica del sito web per rilevare vulnerabilità e la formazione dei dipendenti sulla sicurezza delle password e sulle pratiche di sicurezza informatica.
5. Monitoraggio e revisione continua
L’azienda monitora costantemente il traffico di rete, l’accesso ai dati sensibili e i log di sistema allo scopo di individuare comportamenti anomali o sospetti. Inoltre, periodicamente, esegue test di penetrazione per identificare eventuali punti deboli nel sistema e verifica l’aggiornamento delle politiche di sicurezza in base alle nuove minacce o alle nuove leggi e regolamenti sulla protezione dei dati.
Questi esempi realistici evidenziano l’importanza della valutazione dei rischi come base per sviluppare una strategia di protezione del patrimonio informatico personalizzata per ogni azienda.
