La cybersecurity rappresenta il peggior “incubo” per gli MSP di tutto il mondo.
La ragione?
Gli attacchi da parte dei criminali del web che vengono sferrati alle PMI aumentano ogni giorno sempre di più e di conseguenza aumentano anche le sfide che gli MSP devono affrontare per garantir loro maggior sicurezza.
Tuttavia, molto spesso diventa difficile vendere prodotti e servizi a supporto della sicurezza informatica nel momento in cui i clienti sono fermamente convinti di essere “intoccabili” e non vulnerabili agli attacchi.
Convincere le aziende a investire nella sicurezza informatica può diventare un’impresa non da poco.
Ecco quindi che gli MSP come te devono trovare “escamotage”, essere creativi e, soprattutto, devono armarsi di documentazione per far prendere coscienza della gravità dei pericoli cui vanno incontro.
Le PMI sono sotto attacco ma lo negano
Una volta, tendenzialmente erano solo le grosse imprese, le più redditizie, ad esser prese di mira.
Oggi il trend è mutato.
Le PMI sono allo stesso modo bersaglio di numerosi attacchi informatici e vengono aggredite con la stessa forza e frequenza.
Il problema però è che le PMI, a differenza dei colossi, non sono preparate ad affrontare le conseguenze degli attacchi moderni e soprattutto non hanno abbastanza risorse per fronteggiarle.
Se in più consideriamo che la maggior parte non pensa di poter essere una potenziale vittima… possiamo dire che lo scenario non è dei migliori.
Secondo recenti studi condotti da Datto, il 60% degli MSP ha segnalato attacchi ransomware subiti da PMI clienti di cui l’11% ne ha ricevuto più di uno al giorno.
Eppure secondo un sondaggio condotto invece da BullGuard, il 60% delle PMI intervistate ha affermato di non essere stata colpita da attacchi e una su cinque, inoltre, dichiara di non avere vulnerabilità.
Secondo lo stesso sondaggio poi, il 50% delle PMI ha affermato che i propri dipendenti non hanno ricevuto alcuna formazione in ambito sicurezza informatica, meno del 10% ha personale IT dedicato e una su tre si affida a strumenti di sicurezza informatica gratuiti o di livello “consumer”.
Questa vera e propria disconnessione tra percezione e realtà gli MSP la conoscono bene.
Ecco perché è importante lavorare sui clienti eccessivamente fiduciosi o “positivi” per convincerli a investire nella sicurezza informatica.
Non farlo significherebbe essere carenti nel proprio lavoro e questo un MSP come te non può permetterselo se vuole fare la differenza.
Utilizzo dei dati a supporto della cybersecurity
Le percentuali presentate poco fa sono solo alcuni dei dati che abbiamo a disposizione per analizzare lo scenario in quesitone.
In realtà sono numerosi i report trimestrali/annuali che includono preziose statistiche sulle minacce informatiche e che soprattutto contengono dati monetari capaci di illustrare lo scenario mondiale di riferimento allo stato attuale.
E quale unità di misura rende fede alla realtà, e la fa comprendere, meglio della valuta?
Bravo, nessuna!
Il denaro è un forte motivatore in qualsiasi ambito e, in questo caso, può far capire meglio di qualsiasi altro indicatore che è tempo di agire.
Tutti questi documenti e dati rappresentano uno strumento efficace che un MSP può usare a proprio vantaggio per parlare di cybersecurity coi propri clienti più testardi convinti che “a noi non accadrà mai”.
Comprensione e utilizzo dei report
Prima di intervenire con i tuoi clienti, i primi punti che dovresti studiare sono i loro punti deboli che si manifestano nell’atteggiamento un po’ “restio” nei confronti del tema cybersecurity.
Questo ti consentirà di capire su cosa focalizzare il tuo piano di intervento.
Facciamo un esempio.
Mettiamo che tu voglia lavorare su un cliente con un limitato livello di protezione e che non offre corsi di formazione per sensibilizzare i propri dipendenti ai pericoli che si nascondono dietro la ricezione delle email (in particolare parliamo di phishing).
In questo caso una strategia efficace che potrebbe essergli d’aiuto, sarebbe e quella di programmare delle campagne di phishing simulato.
Si tratta di una un’attività relativamente semplice che consiste nel creare una sequenza pilotata, più o meno lunga, di email di phishing e quindi fasulle per indurre i dipendenti di un’azienda ad aprirle e fare click sui link che si trovano all’interno. Il contenuto delle email può essere di vario tipo, per esempio può riguardare delle promozioni, il cambio dell’IBAN di un fornitore, la segnalazione di un pacco in giacenza presso un corriere o ancora la richiesta urgente di eseguire un bonifico da parte di un superiore.
Il vantaggio di questa attività di formazione è che le email non sono davvero pericolose, se un dipendente cadesse nella trappola cliccando su un link o eseguendo l’azione richiesta nel messaggio non succederebbe nulla di grave. Sullo schermo del PC comparirebbe un avviso con il quale verrebbe segnalato che si tratta di un’azione da non fare se nella realtà si dovesse ricevere un’email simile e, inoltre, verrebbe fornita una panoramica che spiega quali sono i pericoli e le insidie che si celano dietro alcuni tipi di email.
Al termine della campagna si analizzano i risultati per capire quante persone hanno aperto le email e quante di queste hanno fatto click ed eseguito le azioni richieste come ad esempio fornire propri dati personali o credenziali.
Una campagna del genere dovrebbe poi essere accompagnata da dati statistici che facciano comprendere il reale pericolo delle vere email di phishing attraverso, per esempio, quante campagne del genere vengono lanciate ogni giorno, quante aziende vengono colpite, quanto costa loro un data breach o un attacco ransomware.
Un’altra strategia è quella di riportare ai tuoi clienti statistiche rilevanti per il loro settore merceologico di appartenenza.
Secondo alcuni studi condotti da Datto, la sanità, ad esempio, è il settore più preso di mira dagli attacchi informatici, seguito da aziende che operano nel campo dei servizi finanziari e delle assicurazioni.
Riportiamo di seguito alcuni tra i report e i sondaggi più utili che potresti consultare in caso volessi iniziare a intraprendere azioni mirate sui tuoi clienti:
- FBI Internet Crime Report (IC3): nonostante non sia incentrato esclusivamente sulle PMI, questo report presenta statistiche pertinenti che illustra le varie tipologie di crimini e degli attacchi informatici, inclusa una suddivisione per paese relativa all’entità delle vittime di questi attacchi e le perdite che hanno subìto.
- Datto State of the Channel Ransomware Report: eccellente risorsa annuale che riepiloga i risultati di sondaggi effettuati sugli MSP di Datto e che include statistiche ricche di dati come il costo medio dei tempi di inattività sostenuto dalle PMI, il riscatto medio pagato in seguito a un attacchi ransomware, i settori più sensibili e colpiti da ransomware e così via.
- Phishers’ Favorites Year-in-Review: il report annuale di Vade che mette in evidenza i brand più “usati” negli attacchi di phishing e include esempi di email di phishing reali che sono state ricevute dalle PMI.
- Data Breach Investigations Report: il report annuale di Verizon che include una sezione dedicata alle violazioni della sicurezza informatica delle PMI, compresi i dati sulla frequenza degli attacchi, i “modelli” principalmente usati, gli attori e le motivazioni.
- Rapporto Clusit: report tutto italiano sulla sicurezza. Da qui è possibile prendere numeri e dati che riguardano specificatamente il nostro Paese.
Tratto dal blog di Vade
