Nel terzo episodio della nostra serie di podcast sulla conformità continua, "L’etica del pagamento: conformità e conseguenze", Darren Thompson, Field CTO di Commvault per l’area EMEA, e Jakub Lewandowski, Associate General Counsel per l’area EMEA, approfondiscono il tema critico del ransomware con Danielle Sheer, Chief Trust Officer.
Un’interessante discussione sulle questioni etiche, legali e pratiche legate ai pagamenti in caso di ransomware e sull’importanza di una solida strategia di resilienza informatica; continuate a leggere per un riassunto della discussione.
La violazione causata dal ransomware di Oracle: un campanello d’allarme
Danielle ha parlato della violazione causata dal ransomware subita da Oracle all’inizio dell’anno. Sebbene la quantità di dati compromessi sia ancora in fase di definizione, al momento della registrazione del podcast Oracle non aveva accettato di pagare un riscatto.
Quando Danielle ha chiesto spiegazioni su questa decisione, Darren ha risposto: «Il consiglio che do alle persone è di avere un piano sufficientemente valido, [in modo che] non sia mai necessario pensare di pagare un riscatto».
Un solido piano di Recovery informatico può fornire la sicurezza necessaria per ripristinare le operazioni senza cedere alle richieste dei criminali informatici. La decisione sarebbe sicuramente più facile se si disponesse di un piano di resilienza informatica ben preparato e collaudato.
Considerazioni etiche sul pagamento del riscatto
Il pagamento di un riscatto è una questione controversa e il podcast ha approfondito le implicazioni etiche di questa decisione. Sebbene possa sembrare una soluzione rapida, il pagamento di un riscatto spesso non garantisce il recupero dei dati e può alimentare ulteriori attacchi.
Jakub ha sottolineato che il pagamento di un riscatto non soddisfa gli obblighi normativi e può comportare ulteriori rischi legali e di reputazione. I relatori hanno sottolineato che le organizzazioni dovrebbero concentrarsi sulla creazione e sulla verifica di piani di ripristino per ripristinare rapidamente le operazioni e proteggere i dati.
Approccio multidisciplinare al ransomware
Gli attacchi ransomware richiedono un approccio multidisciplinare per essere affrontati in modo efficace. I nostri relatori hanno discusso alcune considerazioni da tenere presenti quando ci si trova di fronte a una richiesta di riscatto:
- Aspetti tecnici: le organizzazioni devono disporre di solide capacità di resilienza informatica, compresa la capacità di ripristinare i dati e riprendersi dagli attacchi.
- Aspetti legali: i processi decisionali devono essere ben documentati per poter essere utilizzati come prova nei confronti delle autorità di regolamentazione e in caso di eventuali controversie. La conformità a leggi quali quelle antiriciclaggio, ai regimi sanzionatori e alle normative sulle esportazioni è fondamentale.
- Aspetti economici: è necessario valutare l’impatto finanziario del pagamento di un riscatto rispetto ai costi legati alla continuità operativa e al ripristino.
- Aspetti reputazionali: il potenziale danno alla reputazione di un’organizzazione e l’impatto sulla fiducia dei clienti, soprattutto se sono minacciati dati sensibili, rappresentano preoccupazioni significative.
Proposta del governo britannico di vietare i pagamenti dei ransomware
Il podcast ha affrontato anche la proposta del governo britannico di estendere il divieto di pagamento dei riscatti da ransomware all’intero settore pubblico e agli operatori delle infrastrutture critiche nazionali. Questa proposta è considerata un approccio all’avanguardia a livello mondiale per scoraggiare gli attacchi ransomware, interrompendo il flusso di pagamenti ai criminali.
Tuttavia, i nostri relatori hanno evidenziato alcune potenziali conseguenze indesiderate di un simile divieto, tra cui l’impressione che si stiano punendo le vittime e la mancanza di solidi piani di resilienza informatica nel settore pubblico. Se il divieto venisse applicato, le organizzazioni dovrebbero fare affidamento sui propri piani di risposta agli incidenti e sulle proprie capacità di resilienza informatica per riprendersi, anziché pagare il riscatto.
Una recente ricerca di Censuswide, commissionata da Commvault, ha dimostrato che il 94% degli intervistati è favorevole a un divieto nel settore pubblico e il 99% in quello privato. Tuttavia, il 75% ha ammesso che pagherebbe comunque un riscatto se ciò significasse salvare la propria azienda.
Creare una strategia completa di resilienza informatica
Per evitare di dover pagare riscatti, si torna sempre alla stessa idea: prepararsi con una strategia completa di resilienza informatica. Ecco alcuni consigli dei nostri relatori:
- Conoscere i propri dati: sapere quali sono i dati critici per l’azienda e come proteggerli.
- Definire la redditività minima: stabilire e comprendere quali sono i dati e i sistemi essenziali per la continuità operativa.
- Testare i piani di ripristino: testare e verificare regolarmente i piani di ripristino, in modo da essere certi che funzionino efficacemente in una situazione reale.
- Crittografia dei dati: implementare una crittografia avanzata dei dati per migliorare la sicurezza.
- Procedure chiare di risposta agli incidenti: definire e documentare procedure chiare per rispondere agli attacchi ransomware.
Pagare o non pagare, questo è il dilemma. Gli attacchi ransomware rappresentano una minaccia significativa e in crescita, e la decisione di pagare un riscatto comporta sfide etiche, legali e pratiche.
Sebbene speriamo che non vi troviate mai nella posizione di dover prendere in considerazione il pagamento di un riscatto, se dovesse capitare, questo podcast vi aiuterà a comprendere meglio i fattori da considerare. Guardatelo oggi stesso per ascoltare i nostri esperti discutere delle ultime tendenze e fare il primo passo verso la sicurezza futura della vostra organizzazione.
