Il rapporto di Proofpoint sulla sicurezza dimostra quando sia importante la formazione dei dipendenti

Per stendere l'edizione 2020 del rapporto State of the Phish, Proofpoint ha intervistato 3.500 lavoratori e 600 professionisti IT in sette stati, fra i quali purtroppo manca l'Italia (sono USA, Australia, Francia, Germania, Giappone, Spagna e Regno Unito). L'azienda non si è limitata alle interviste e ha steso il rapporto anche sulla base delle email sospette segnalate dai suoi clienti, sia attraverso la simulazione di attacchi di phishing e simili tecniche, scagliando 50 milioni di finti attacchi.

Gli utenti? Scarsamente informati e poco attenti alla sicurezza

Non stupisce il fatto che non tutti conoscano termini come smishing e vishing (varianti del phishing che usano come vettori rispettivamente SMS o telefonate) ma lascia perplessi scoprire che il 38% del campione non abbia idea di cosa sia un ramsomware, nonostante questo termine sia da tempo usato anche sui media generalisti. Ancora peggio scoprire che c'è un 10% di intervistati che non imposta alcun blocco sul telefono, nemmeno con un banale PIN. 

Certo, non tutti devono fare gli esperti di cybersecurity nella vita, ma la scarsa conoscenze di alcune nozioni fondamentali può mettere a rischio la sicurezza delle aziende per cui queste persone lavorano, dal momento che usano gli strumenti aziendali come computer e smartphone anche per scopi personali (svago, navigazione, social network) e spesso estendono questo "privilegio" ai familiari.

Chi ha raggiunto i risultati migliori? Nel riconoscere i termini non certo i più giovani e nemmeno i millenials: i più anziani, i baby boomer, sono risultati quelli più "colti". Non i più accorti però: con l'aumentare dell'età aumenta la percentuale di chi non ne vuole sapere di bloccare il suo telefono con un qualche metodo. 

Le aziende non stanno a guardare

Chi lavora in ambito IT sa bene quanto sia importante che i dipendenti dell'azienda cooperino, evitando comportamenti insicuri e rispettando le policy aziendali. Il 95% dei professionisti intervistati da Proofpoint dichiara di addestrare la sua forza lavoro a riconoscere e difendersi dagli attacchi di phishing, con vari metodi: sessioni di training, di persona e via computer, attacchi simulati, anche lasciando chiavi USB in giro per vedere se qualcuno cede alla tentazione di inserirle in un computer.

"Per essere efficaci, i programmi di formazione sulla sicurezza devono focalizzarsi su aspetti e comportamenti critici per un’azienda e la sua mission” - ha dichiarato Joe Ferrara, senior vice president e general manager of Security Awareness Training di Proofpoint - "Il nostro consiglio è quello di adottare un approccio alla sicurezza focalizzato sulle persone, combinando iniziative di sensibilizzazione e corsi mirati sulle minacce IT. L’obiettivo è di formare gli utenti per far sì che siano in grado di riconoscere e segnalare eventuali attacchi".