Dovrebbe essere saltato agli occhi di tutti, Microsoft da maggio con wannacry ha preso a rilasciare patch anche per Windows 2003 e XP, anche se commercialmente non esistono più per microsoft....o forse invece ne esistono ancora troppi?

I nostri desktop e portatili ormai sono Windows 7, 8 o per la maggiore Windows 10, ma il fatto che MS abbia deciso di rilasciare patch per due sistemi ormai chiusi da anni è significativo e ci deve far riflettere. Ovvero Microsoft sa di per certo che c'è una parte "importante" di servizi in cui ancora i vecchi window non riescono ad essere sostituiti, e quando ci sono eventi eccezionali... l'unica soluzione è riattivare il patching di questi prodotti ormai chiusi.

Ma quali sono gli ambienti in cui questi sistemi non riescono ad essere aggiornati e perché? Ci sono ambienti in cui il software è fortemente "sedimentato" al punto che sostituire o aggiornare il sistema operativo corrisponde spesso a cambiare l'intero macchinario. Abbiamo provato a fare una lista non esaustiva di quelli che sono gli ambienti in cui i vecchi Windows sono ancora in funzione e non possono essere sostituiti

• Macchine industriali certificate con Windows XP o con Windows 2003
• Macchine a controllo numerico il cui software gira solo su queste piattaforme
• Sistemi ATM (per la verità pochi in Italia ma in altre parti del mondo lo scenario è ben diverso...)
• Registratori di cassa, magari con dispositivi barcode non più supportati
• Stazioni self service
• Totem e pannelli informativi
• Sistemi di Automazione industriale:
  • controllo accesso varchi
  • gestione illuminazione
  • gestione climatizzazione
• I dispositivi sanitari

in ognuno di questi ambiti spesso si è diffidati dal fare anche i normali aggiornamenti di sicurezza. Purtroppo l'impossibilità di aggiornare questi sistemi a versioni Windows più recenti è, nella maggior parte dei casi, da addebitare al software che ci gira sopra, progettato specificatamente per operare con un certo ambiente e con cervt versioni di librerie di sistema. Un aggiornamento del sistema operativo nella migliore delle ipotesi causa un blocco di alcune funzioni e nella peggiore l'impossibilità di fare qualsiasi cosa.

E quindi le aziende si tengono le loro piattaforme comprate oltre 10, 15 anni fa e pagate care, perché sostituire windows XP o Windows 2003 vorrebbe dire buttare via e ricomprare tutto ex novo; un investimento che una grossa azienda può anche fare, ma che certo una PMI difficilmente si può sostenere.

Mi domando, il Garante Privacy dove sta? le misure minime che prevedono "aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente" dove sono applicate in questi contesti? qualcuno mi dirà che sulle macchine a controllo numerico non ho un trattamento di dati personali o sensibili e quindi non ha senso, verissimo ma quella macchina potrebbe essere un vettore di attacco o infezione per quei sistemi che effettuano il trattamento. in caltri casi invece il trattamento di dati personali o sensibili è palese, come per il registratore di cassa o per tutto l'ambito sanitario.

Sappiamo bene tutti che l'ufficio del Garante è sotto dimensionato, ma invece di andare a fare ispezioni rigorosissime alle aziende che usano l'informatica come strumento per realizzare il loro business, forse... sarebbe il caso di andare a controllare se chi apparati appliance, allinone e software che mette all'interno di tanti dispositivi si impegna a rilasciare aggiornamenti che permettano di mantenere aggiornato e in sicurezza il sistema.

Non possiamo pensare che il controllo accessi di un'azienda debba rimanere su Windows XP perché non esiste una versione per windows 10 e che l'alternativa sarebbe cambiare il sistema controllo accessi, né che una macchina per la molatura metalli a controllo numerico continui a girare su Window XP perchè altrimenti devo cambiare macchina, tantomeno possiamo accettare che il registratore di cassa che accetta la nostra carte di credito e scannerizza la nostra tessera fedeltà giri solo su Windows XP, per non parlare del mondo sanitario dove sicuramente nessuno è disposto ad accettare che l'ecografo continui a funzionare ancora con il Windows XP rilasciato il 21 ottobre 2001 trattando i nostri dati sanitari. Tutto questo per non parlare di tutto l'Internt of Things!!!

Sicurezza informatica: quando manca l'awarness

La criminalità informatica continua a minacciare le aziende con attacchi più frequenti e sofisticati. È stato riportato che una piccola e media impresa subisce un attaco hacker in UK  ogni 19 secondi e che ci sono più di 60.000 tentativi di hacking al giorno .  Sebbene le soluzini tecnologice   di sicurezza svolgano un ruolo importante, la vigilanza dei tuoi dipendenti rimane la  migliore linea di difesa.

Sfortunatamente, i dipendenti commettono una serie di errori che possono portare a violazioni dei dati. Dalla mancata installazione degli aggiornamenti di sicurezza del software all'utilizzo di password deboli e alla caduta di e-mail truffa, l'errore umano può avere conseguenze devastanti sulla protezione dei dati e sulla sicurezza del sistema. Secondo uno studio di Cybint, l'errore umano è la principale causa del 95% delle violazioni della sicurezza informatica. 

Una polizza sul cyber rischio può fornire protezione in caso di violazione dei dati. Tuttavia, non c'è soluzione migliore di avere personale  ben formato e preparato sui rischi della sicurezza informatica.

Ecco alcuni degli errori umani più frequenti e non intenzionali che portano a violazioni dei dati:

• Truffe e frodi via Email
• Invio di dati ad destinatari errati via e-mail
• Pubblicazione di dati riservati
• Sicurezza della password
• Aggiornamenti di sicurezza
• Truffe di phishing

Truffe e frodi via Mail

L'aumento del lavoro a distanza ha rappresentato un'opportunità speciale per i criminali informatici. Quando si lavora in un ambiente d'ufficio, potremmo aver espresso il nostro sospetto di un'e-mail ai colleghi circostanti, creando una discussione e la condivisione delle conoscenze. Lavorare da soli significa che ci affidiamo alle nostre conoscenze e al nostro giudizio in quel momento e può comportare la cadere in una email truffaldina, mettendo a rischio l'azienda.

Invio di dati ad destinatari errati via e-mail: data breach

L'invio di un'e-mail al destinatario sbagliato è una minaccia comune alla sicurezza dei dati spesso ignorata. Chi non utilizza le funzioni di suggerimento automatico durante l'invio di e-mail? È facile inviare accidentalmente informazioni riservate alla persona sbagliata o, peggio ancora, a gruppi di persone.

Nel 2020, l'azienda UK Sonos ha accidentalmente esposto gli indirizzi e-mail di centinaia di clienti. In totale, 450 indirizzi e-mail sono stati inavvertitamente esposti quando sono stati copiati (CC), piuttosto che copiati alla cieca (BCC), in un'e-mail. 

Questo è un tipico esempio di errore basato sull'abilità. Il dipendente aveva familiarità con il processo corretto ma mancava di cura e attenzione durante l'esecuzione del compito.

Data breach

Nell'agosto 2020, quasi 400 persone a Powys sono state colpite da una violazione dei dati dopo aver contratto il COVID-19. Public Health Wales ha ammesso l'errore, spiegando che i dati erano stati caricati accidentalmente su un server pubblico.

Tuttavia, i dati di oltre 18.000 persone erano disponibili per la visualizzazione online per 20 ore prima di essere rimossi a causa di questo errore. I dati erano stati visualizzati 56 volte, ma non c'erano prove di uso improprio. 

Sicurezza della password

Secondo il rapporto del 2019 del National Center for Cyber ​​Security, 123456 è la password più popolare a livello globale e il 45% delle persone riutilizza la password del proprio account di posta elettronica principale su altri servizi. 

Oltre a non creare password complesse e univoche, le persone sono colpevoli di mantenere le password sui post-it in vista aperta o di condividerle con i colleghi. Questo è un altro chiaro esempio di dipendenti che dimostrano una mancanza di consapevolezza della sicurezza.

Aggiornamenti di sicurezza

Il software non aggiornato è un  boccone ghiotto per gli hacker. I dipendenti che ignorano gli aggiornamenti software, disabilitano le funzionalità di sicurezza o scaricano software non autorizzato rendono più facile l'hacking per i criminali informatici.

Quando vengono scoperte lacune nel software di sicurezza, I produttori di quesl Software risolvono la vulnerabilità e inviano aggiornamenti a tutti gli utenti prima che i criminali informatici possano compromettere più dispositivi. Questo è il motivo per cui gli utenti devono installare gli aggiornamenti di sicurezza sui propri computer non appena sono disponibili.

Truffe di phishing

Un'e-mail di phishing si basa sull'inganno della vittima per rubare informazioni riservate. Le vittime di phishing vengono indotte a interagire con le e-mail perché credono che l'e-mail sia genuina. I criminali informatici in genere utilizzano le e-mail di phishing per chiedere:

• data di nascita
• numeri di telefono
• dettagli della carta di credito
• indirizzo di casa
• informazioni sulla password.

Queste informazioni vengono poi utilizzate per svolgere attività fraudolente. In alternativa, un'e-mail di phishing potrebbe contenere un collegamento che, se cliccato, rilascia malware nel sistema. I criminali potrebbero richiedere un riscatto per riportare i tuoi sistemi alla normalità.

Si stima che i britannici siano stati truffati per 3,5 milioni di sterline nei primi due mesi di blocco, con i criminali informatici che hanno incassato l'incertezza causata dalla pandemia.  A maggio 2020, l'agenzia per la criminalità informatica del Regno Unito aveva scoperto 7.796 e-mail di phishing collegate al COVID-19. ⁷

Adotta alcuni di questi semplici approcci per prevenire la violazione dei dati:

• Aumentare la consapevolezza
  Aumentare la formazione e la consapevolezza su come rilevare una truffa tramite e-mail di phishing. Organizza sessioni di formazione per i tuoi dipendenti con scenari fittizi per aiutarli a identificare le e-mail di phishing.
• Installa il software antivirus
  Assicurati che il software antivirus sia aggiornato su tutte le tue apparecchiature aziendali.
• Crea un piano di ripristino
  Aiuta a ridurre al minimo i danni causati da una violazione informatica. Il tuo piano dovrebbe comprendere come recuperare rapidamente i dati, assicurando che la tua attività continui a funzionare nel modo più fluido possibile.
• Stipula un'assicurazione di responsabilità informatica
• L'assicurazione informatica è ormai diventata una copertura essenziale per le piccole imprese. Parlaci del livello di assicurazione richiesto dalla tua attività.