Formazione sulla consapevolezza della sicurezza e controlli anti-phishing

I controlli tecnici — firewall, crittografia, MFA — sono essenziali, ma il fattore umano rimane la vulnerabilità più sfruttata nella maggior parte delle violazioni. La formazione sulla consapevolezza della sicurezza mira a creare una cultura attenta alla sicurezza, in cui i dipendenti riconoscano le minacce, seguano pratiche sicure e comprendano le conseguenze delle proprie azioni. L'esame Security+ verifica la vostra comprensione di come progettare e misurare programmi efficaci di sensibilizzazione, non solo degli argomenti da trattare. Un'inefficace attività annuale di semplice spunta ha un impatto minimo; un programma efficace è continuo, coinvolgente e misurabile.

Un programma efficace di sensibilizzazione alla sicurezza comprende diversi componenti che operano insieme. La formazione basata sui ruoli adatta i contenuti alle specifiche funzioni lavorative: i dirigenti hanno bisogno di consapevolezza su whaling e BEC, gli sviluppatori di formazione sulla programmazione sicura e il personale finanziario di procedure contro le frodi sui bonifici. Le simulazioni di phishing offrono esercitazioni realistiche e misurano i tassi di clic. La formazione just-in-time propone un momento formativo subito dopo un errore in una simulazione. Le newsletter sulla sicurezza e le comunicazioni mantengono alta l'attenzione sulla sicurezza. Metriche come i tassi di clic nelle simulazioni, i tassi di completamento della formazione e i tentativi di phishing segnalati misurano nel tempo l'efficacia del programma.

La simulazione di phishing sottopone i dipendenti a false email di phishing realistiche per misurarne la vulnerabilità e individuare le esigenze formative. Piattaforme come KnowBe4, Proofpoint Security Awareness e Cofense forniscono campagne preimpostate e strumenti di analisi. Le procedure consigliate includono: eseguire un test iniziale prima della formazione per misurare il tasso di clic di partenza, variare i modelli di phishing per coprire diversi pretesti (furto di credenziali, allegati, BEC), fornire una formazione immediata ai dipendenti che fanno clic, segmentare i risultati per reparto per individuare i gruppi ad alto rischio ed eseguire test ripetuti per verificare che i tassi di clic diminuiscano nel tempo. Non utilizzate mai le simulazioni come misura punitiva.

SPF (Sender Policy Framework) è un meccanismo basato su DNS che specifica quali server di posta sono autorizzati a inviare email per un dominio. Il proprietario del dominio pubblica un record SPF (un record TXT nel DNS) contenente gli indirizzi IP o i nomi host dei server autorizzati. Quando un server di posta ricevente riceve un'email che dichiara di provenire da example.com, interroga il DNS per ottenere il record SPF di example.com e verifica che l'indirizzo IP del server mittente sia autorizzato. Le email provenienti da server non autorizzati possono essere contrassegnate come spam o rifiutate. SPF, da solo, non protegge l'indirizzo From visibile, ma solo il mittente della busta (Return-Path).

DKIM (DomainKeys Identified Mail) aggiunge una firma crittografica ai messaggi email in uscita. Il server di posta mittente firma le intestazioni e il corpo dell'email con la chiave privata del dominio e include la firma in un'intestazione DKIM-Signature. Il server ricevente recupera la chiave pubblica corrispondente dal DNS (record TXT selector._domainkey.example.com) e verifica la firma. DKIM dimostra che l'email non è stata modificata durante il transito e che proviene da qualcuno che ha accesso alla chiave privata. A differenza di SPF, DKIM protegge l'indirizzo Header From e mantiene la validità anche dopo l'inoltro dell'email.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) si basa su SPF e DKIM specificando quale azione devono intraprendere i server di posta riceventi quando un'email non supera entrambi i controlli e fornendo inoltre funzionalità di reporting. Un criterio DMARC con p=reject ordina ai destinatari di scartare le email che non superano l'allineamento SPF e DKIM per il dominio. DMARC introduce anche il concetto di allineamento: il dominio Header From deve corrispondere al dominio convalidato da SPF/DKIM. I report aggregati DMARC (rua) mostrano chi invia email utilizzando il vostro dominio, rendendo visibili i mittenti non autorizzati e le campagne di spoofing attive.

Un Secure Email Gateway (SEG) analizza tutte le email in entrata e in uscita alla ricerca di contenuti dannosi prima della consegna. I SEG combinano diverse tecnologie di rilevamento: filtro antispam, verifica SPF/DKIM/DMARC, riscrittura degli URL (conversione dei link in versioni proxy per una scansione sicura), sandboxing degli allegati (esecuzione di file sospetti in ambienti isolati) e prevenzione della perdita di dati (analisi delle email in uscita alla ricerca di dati sensibili). Tra i fornitori più diffusi di SEG figurano Proofpoint, Mimecast, Microsoft Defender for Office 365 e Cisco Secure Email. I SEG costituiscono la prima linea di difesa tecnica contro gli attacchi basati sulle email.

Uno dei risultati più preziosi della formazione sulla consapevolezza della sicurezza è la creazione di un ambiente in cui i dipendenti si sentano al sicuro nel segnalare attività sospette, senza timore di colpevolizzazioni o derisione. Se i dipendenti temono una punizione per aver fatto clic su un link di phishing, lo nasconderanno invece di segnalarlo, concedendo agli aggressori più tempo all'interno della rete. Una cultura della segnalazione senza colpevolizzazioni significa ringraziare i dipendenti che segnalano email sospette (anche i falsi positivi), utilizzare gli errori nelle simulazioni come opportunità di apprendimento anziché come punizioni e rendere la segnalazione semplice tramite alias email dedicati o plugin del browser. L'obiettivo è rilevare rapidamente le minacce, non ottenere prestazioni umane perfette.

I controlli tecnici completano la formazione intercettando i tentativi di phishing che raggiungono gli utenti. La protezione anti-phishing del browser utilizza database in tempo reale sulla reputazione degli URL (Google Safe Browsing, Microsoft SmartScreen) per avvisare gli utenti prima che visitino siti notoriamente dannosi. I DNS sinkhole risolvono i domini dannosi in indirizzi non instradabili, bloccando l'accesso a livello di rete senza richiedere alcuna azione sul client. Il filtro proxy consente di bloccare le categorie di URL. La combinazione della formazione degli utenti con questi controlli tecnici crea molteplici opportunità indipendenti per intercettare i tentativi di phishing prima che provochino la compromissione delle credenziali o l'installazione di malware.

I programmi di sensibilizzazione alla sicurezza devono essere misurati per giustificare gli investimenti e promuovere il miglioramento continuo. Tra gli indicatori chiave delle prestazioni figurano: tasso di clic sul phishing (valore iniziale rispetto a quello successivo alla formazione), tempo medio di segnalazione di un'email di phishing, tasso di completamento della formazione per reparto, numero di incidenti confermati che coinvolgono errori umani e riduzione delle violazioni basate sulle credenziali nel tempo. I report per la direzione devono mostrare le tendenze (in miglioramento o in peggioramento) ed evidenziare i reparti che necessitano di interventi mirati. Allineate le metriche al rischio aziendale: un tasso di clic del 5% nel reparto finanziario comporta un rischio maggiore rispetto allo stesso tasso del 5% nel reparto manutenzione.

La formazione sulla consapevolezza deve essere supportata da policy applicabili. Una Acceptable Use Policy (AUP) definisce come i dipendenti possono e non possono utilizzare i sistemi, le reti e i dati dell'organizzazione. I dipendenti devono accettare l'AUP ogni anno e ogni volta che le policy cambiano, sottoscrivendo un accordo. L'AUP fornisce le basi giuridiche per adottare provvedimenti disciplinari quando i dipendenti violano le policy di sicurezza: fare clic su un link di phishing è un fallimento della formazione; condividere deliberatamente le credenziali è una violazione della policy. Tra le altre policy rilevanti figurano una policy sui social media (cosa condividere sull'organizzazione), una policy sulla gestione dei supporti e una policy sulla scrivania pulita.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: programmi efficaci di consapevolezza della sicurezza combinano formazione basata sui ruoli, simulazioni di phishing, apprendimento just-in-time e KPI misurabili per ridurre il rischio legato al fattore umano; SPF, DKIM e DMARC collaborano per autenticare i mittenti delle email e impedire lo spoofing dei domini; e i secure email gateway forniscono difese tecniche stratificate, tra cui sandboxing degli allegati, riscrittura degli URL e DLP per le email in entrata e in uscita. Nella prossima lezione esamineremo i tipi di malware e il loro comportamento.