Se pensate che un attacco ransomware sia la cosa peggiore che possa capitare alla vostra organizzazione, mi dispiace dirvelo, ma è solo l’inizio.
Non fraintendetemi: un attacco è terribile. Ma dopo un attacco, vi ritrovate un po’ come una gazzella ferita, con i predatori che iniziano a girarvi intorno. Anche se potreste non essere responsabili dell’attacco in sé, se gestite in modo errato la Recovery, gli adempimenti normativi e la comunicazione, potreste andare incontro a multe e azioni legali. E come se non bastasse: gli autori degli attacchi, i concorrenti e persino potenziali acquirenti e attivisti potrebbero cogliere l’occasione per sferrare il colpo.
Ecco perché, in qualità di responsabile legale e della conformità e membro indipendente del consiglio di amministrazione, ritengo sia necessario disporre di un piano di protezione dei dati collaudato e ben rodato ben prima che i dati vengano compromessi. Per aiutarvi in questo senso, ecco quattro passaggi che adotterei per valutare e rispondere a un attacco:
#1 Proteggete il vostro perimetro. Al primo segnale di attacco, dovete chiudere la porta a chiave e fermare l’emorragia. CrowdStrike ha recentemente stimato che la finestra di attacco sia di 84 minuti. È il tempo a vostra disposizione prima che i dati vengano compromessi, sottratti o distrutti. Non c’è tempo per discutere e, nel momento in cui dovete chiudere tutti i punti di ingresso e di accesso alla vostra azienda, un attacco ransomware non può essere l’occasione per riunire per la prima volta il team interfunzionale composto da IT, Sicurezza, Ufficio Legale e altri reparti. Dovete essere una macchina ben oliata e agire rapidamente. Esercitatevi come se fosse un’esercitazione. Sapete quali risorse avete a disposizione, a cosa danno accesso – e siate pronti a disattivarle tutte.
#2 Valutare i danni. Una volta messo in sicurezza il perimetro, è necessario valutare i danni. Quali dati sono stati esposti o sottratti? Quali danni sono stati causati? Qual è il vostro obbligo contrattuale in materia di manutenzione e protezione dei dati dei clienti o degli utenti? Quali sono le ripercussioni in termini di normative di settore, statali, federali e internazionali? All’orizzonte si profilano ulteriori obblighi di divulgazione e, come ha recentemente osservato PwC nel suo sondaggio “Global Digital Trust Insights 2023”, “solo il 9% degli intervistati si dichiara altamente fiducioso di poter soddisfare efficacemente tutti gli obblighi di divulgazione”. Quanto prima il vostro team si impegnerà nel processo di pianificazione, valutazione e rimedio, tanto meglio sarà.
#3 Sei stato vittima di un attacco o hai agito con negligenza? Hai lasciato il perimetro non protetto? I controlli di sicurezza o di accesso erano insufficienti? Hai un piano di protezione dei dati in atto? Quando hai effettuato l’ultima simulazione o gli ultimi test di sistema? Erano in atto i controlli adeguati per prevenire (o rilevare rapidamente) l’attacco? Hai organizzato corsi di formazione sulla sicurezza informatica per i dipendenti, affinché abbiano imparato a identificare i tentativi di phishing? I clienti si aspettano che, quando ti affidano i loro dati, tu li protegga. Disporre di un piano o di una soluzione per la protezione dei dati è il prezzo da pagare per fare affari. Senza di esso, non sei una vittima.
#4 Comunicare. Comunicare. Comunicare. Siate trasparenti con i vostri stakeholder chiave. La tempistica con cui divulgate le informazioni può richiedere un delicato equilibrio, poiché state ancora valutando l’impatto, individuando la causa principale e porvi rimedio. Ovviamente, il vostro CEO e i dirigenti di alto livello devono esserne informati il prima possibile e dovrete avvisare il vostro Consiglio di Amministrazione. Ma le persone più importanti con cui dovete comunicare sono quelle colpite dalla violazione, come i vostri clienti, partner o dipendenti. Dovete informarli il prima possibile.
In sintesi: gli hacker sono alle porte, diventano ogni giorno più astuti e il tempo non gioca a vostro favore. Queste misure vi aiuteranno a individuare un attacco e a riprendervi più rapidamente, oltre a darvi la certezza di aver adottato misure responsabili e consapevoli per proteggere i vostri dati.
