Se è vero che, per ogni rischio, si possono tendenzialmente individuare delle contromisure per mitigarlo, per il cyber crime si palesa evidente una difficoltà sui generis: siamo di fronte ad un fenomeno dalle mille sfaccettature, che combina assieme bug tecnologici e vulnerabilità umane, che evolve e si adatta continuamente secondo il tipo di vittima, in cui a fianco ad elementi noti, ci sono elementi imponderabili, che non possono essere previsti.

Un rischio, quindi, in cui l’opacità è la sua caratteristica principale, che richiede per il suo contenimento un approccio design thinking basato su una visione strategica lungimirante proattiva.

Classificazione degli attacchi degli economy criminal hacker: strategia e tattiche utilizzate

Approccio design thinking contro il cyber crimine

Questo approccio dovrà tenere conto di quello che sarà l’evoluzione del cyber crime in futuro, dove strumenti come l’intelligenza artificiale, l’offerta di affiliazione a gang criminali specializzate, la ricerca e sviluppo di malware a noleggio particolarmente efficienti, nonché l’elaborazione di inganni sempre più sofisticati incentrati sullo studio delle vulnerabilità umane, avranno un notevole sviluppo.

Questo è particolarmente preoccupante, vista anche l’altissima resa di questi crimini a fronte di rischi penali molto bassi. Esistono dati con trend molto precisi che portano a immaginare uno scenario molto simile a quello descritto e ciò pone il problema di come affrontarlo da parte delle organizzazioni.

È utile, quindi, un approccio design thinking: da questo scenario futuro ragionevolmente immaginato, bisogna effettuare una retropolazione per trarre conclusioni sulle scelte da fare oggi, alla luce di quello che sarà lo scenario futuro del cyber crime^[1].

Questo porta a ricercare una visione strategica lungimirante proattiva sul come approcciarsi oggi al problema cyber da parte delle organizzazioni.

Il fattore tempo nella formazione del personale

Una prima riflessione di chi scrive è che c’è un problema relativo al fattore tempo che le organizzazioni devono considerare. Mentre le tecnologie di protezione dei sistemi informatici sono implementabili in tempi rapidi^[2], la formazione del personale è molto più lenta, richiedendo anni perché un’organizzazione maturi tra i propri membri una solida cultura della sicurezza informatica.

Anche perché, saper riconoscere un attacco di social engineering per poi agire correttamente, richiede non solo conoscenza, ma anche una specifica abilità, che deriva da una forma mentis particolare, che solo una formazione flessibile può fornire, richiedendo tempo perché attecchisca.

Se questo è vero, allora le organizzazioni dovrebbero preoccuparsi di iniziare la formazione il prima possibile per prepararsi a sviluppare quella capacità di resilienza in grado di resistere ad attacchi anche molto sofisticati basati sulle vulnerabilità umane, dove l’abilità del personale di riconoscere l’attacco ed agire correttamente, può fare la differenza per la stessa sopravvivenza dell’organizzazione.

Conclusioni

Le classificazioni sin qui esaminate costituiscono un utile strumento, anche didattico, per formare il personale a maturare quella forma mentis che fa propria la cultura della cyber security.

Si tratta di un atteggiamento mentale flessibile in grado di allertarsi, per quanto ragionevolmente possibile, anche di fronte a nuovi attacchi molto sofisticati, proprio come il conducente di un’autovettura che non conosce tutte le strade e tutte le situazioni che potrebbero presentarsi, ma con la giusta prudenza ed esperienza, riesce a percorrere anche strade mai viste, strade che portano verso il futuro, perché sono sempre le persone che fanno la differenza e possono diventare la prima linea di difesa della propria organizzazione, come veri e propri robusti firewall umani.

 

NOTE

1. Questa è una nota tecnica di design utilizzata da Siemens con le proprie “Pictures of the Future”, come facilmente ricercabile tramite motori di ricerca. ↑

2. Si pensi che i software più evoluti, come quelli che utilizzano l’intelligenza artificiale per monitorare i sistemi informatici per rilevare attività anomale, possono essere messi a regime nell’ordine di qualche mese, non di anni, centralizzando la gestione da parte del reparto IT. ↑

@RIPRODUZIONE RISERVATA