L’università è sempre più digitale. E se da un lato sistemi moderni e innovativi accrescono il valore dei servizi offerti e la forza competitiva degli atenei, dall’altro espongono un settore, fino a non molto tempo fa “analogico”, a nuovi, inattesi rischi.
L’enorme mole di dati accumulata e gestita dai software didattici e dalle tecnologie in uso agli Istituti di formazione, infatti, è estremamente preziosa e sempre più spesso diviene bersaglio di cybercrime.
Secondo il Report Clusit 2022, gli attacchi hacker a realtà con base in Italia sono aumentati più del 50% negli ultimi quattro anni. Mentre a livello mondiale si è assistito ad un aumento del 32% degli attacchi informatici gravi. I dati del 2021 confermano che la scelta delle vittime non è casuale e il 9% appartiene al settore dell’istruzione.
Ma quali sono le cause? Spesso vanno ricercate nella mancanza di consapevolezza del rischio e di investimenti nella cyber security.
Molte aziende sono restie ad investire in cyber security. E con esse le università. Questo a causa della convinzione di non essere in una posizione di rischio tale da giustificare investimenti in formazione e sensibilizzazione e in validi sistemi di sicurezza informatica.
Tuttavia, la famosa citazione di John Chambers, ex CEO di Cisco “Ci sono due tipi di aziende: quelle che sono state hackerate e quelle che non lo sanno ancora”, accompagnata dalle statistiche degli ultimi anni, descrive uno scenario ben diverso.
Tutti possono essere delle vittime. I dati possono essere rubati o criptati e “liberati” solo dietro pagamento di un riscatto. Spesso, però, non basta pagare. La vendita di informazioni riservate e dati personali sul dark web è pratica diffusa e ogni organizzazione ne raccoglie ogni giorno centinaia di migliaia.
I rischi che corre l’ateneo a seguito di un attacco hacker sono, dunque, diversi e vanno dal blocco più o meno lungo delle attività alla perdita definitiva di informazioni preziose, da ingenti danni economici alle conseguenze di tipo legale e reputazionale. Va, inoltre, tenuto a mente, che possono passare mesi dalla violazione della sicurezza alla sua manifestazione.
Per difendersi, come già accennato, ci sono due modi:
Tutti sono responsabili della sicurezza informatica dell’organizzazione a cui appartengono. Un uso errato dei dispositivi tecnologici, leggerezza nella scelta e nella conservazione di password e chiavi di accesso e una buona dose di ingenuità possono costituire un facile lasciapassare per malintenzionati.
Cosa può fare, concretamente, l’azienda, e in questo caso l’ateneo, per costruire una cultura della sicurezza informatica forte, che aiuti a prevenire eventuali brecce nei software didattici?
Innanzitutto, è possibile avviare specifiche campagne di sensibilizzazione. Una di queste può consistere nell’invio premeditato di email di phishing a studenti, docenti e staff.
Di fatto, una mail ingannevole, imitando il layout e il tone of voice dell’Istituto stesso mira ad ottenere dati quali, ad esempio, e-mail, nome utente e password, che verranno poi utilizzati come una sorta di cavallo di Troia, per accedere pian piano ad account sempre più importanti all’interno dell’organigramma.
Dipendenti e studenti dovrebbero saper riconoscere le mail sospette e agire di conseguenza, così da non mettere a rischio la sicurezza informatica dell’ateneo.
Inoltre, tra i comportamenti a cui prestare attenzione rientra un uso accorto dei dispositivi in caso di smart working, come ad esempio:
Quando si parla di sicurezza informatica, oggi si parla di “Modello Zero Trust”, in altre parole “fidarsi è bene, non fidarsi è meglio”. Con spazi di lavoro sempre più ampi, ibridi, delocalizzati e in cloud, il vecchio modello di sicurezza informatica non è più sufficiente a proteggere le organizzazioni.
Zero Trust significa “verificare sempre”. Cosa?
Prestare attenzione a questi indicatori permette di rendere l’ambiente IT molto più sicuro e dunque meno appetibile per chi vuole tentare di aggirare i sistemi di sicurezza.
Alcune delle metodologie che possono essere introdotte con poco sforzo, ma ottima efficacia, si basano sul controllo dell’indirizzo IP dal quale avviene l’accesso, così da individuare in tempo reale comportamenti anomali, come accessi da aree geografiche molto distanti in tempi ridotti (Impossible Travel). Lo stesso viene fatto sui dispositivi hardware, determinandone l’affidabilità (Compliance) e adottando politiche che valutano l’accesso in base alla condizione (Conditional Access), rafforzando i controlli in casi specifici come, ad esempio, l’utilizzo di un dispositivo non aziendale.
L’autenticazione a più fattori, poi, costituisce uno dei sistemi più semplici, ma ad impatto maggiore sulla riduzione del furto di credenziali (il 99,99% degli attacchi viene bloccato, secondo Microsoft).
Sistemi di monitoraggio come i SIEM, invece, assicurano la gestione delle informazioni e degli eventi di sicurezza, permettono di intercettare le anomalie in real-time e isolare eventuali sistemi o dispositivi danneggiati, riducendo i danni.
Il loro funzionamento si basa su 4 pillar:
Inoltre, grazie all’utilizzo di machine learning e Intelligenza Artificiale, il SIEM permette di prevedere e analizzare il comportamento di utenti e entità, riconoscere le vulnerabilità e gestire sia le minacce che potrebbero compromettere la business continuity, sia i dati relativi alla conformità normativa e alla reportistica.
La scalabilità del cloud e le tecnologie di intelligenza artificiale, unite all’esperienza accumulata negli anni dagli esperti nel settore, permettono, infatti, di ottenere risposte proattive a possibili minacce, riducendo i falsi positivi e permettendo di far fronte anche a minacce non prevedibili e non precedentemente rilevate.
Investire in sicurezza, per università e organizzazioni legate al settore Education, significa proteggere non solo il proprio patrimonio informativo, ma anche prevenire i costi che potrebbero derivare da una violazione della sicurezza.
Dotarsi di sistemi di cybersecurity, a più livelli, impatta circa il 10% del budget aziendale, mentre un fermo delle attività e la perdita dei dati hanno un costo non prevedibile e potenzialmente molto più alto.
Quando si manifesta un attacco informatico, infatti, anche sistemi per la protezione della continuità del servizio come il Disaster Recovery, pensato per proteggere l’infrastruttura dal disastro fisico, risultano inefficaci e non sono in grado di impedire lo stop ai sistemi.
Quest’ultimo, se si verifica, ad esempio, in momenti di punta, come il periodo di immatricolazione o quello degli esami e delle lauree, può avere un impatto significativo a più livelli:
La Student Experience ne verrebbe danneggiata: chi, ad esempio, aveva intenzione di iscriversi, potrebbe decidere di rivolgere la propria attenzione altrove. Mentre gli studenti potrebbero veder slittare la data di laurea o non riuscire ad ottenere la quantità di crediti necessaria a richiedere le borse di studio entro i termini previsti.
Il personale docente e amministrativo subirebbe un fermo forzato alle attività lavorative.
L’intera organizzazione ne uscirebbe danneggiata sia da un punto di vista di immagine che economico.
È importante, comunque, tenere a mente che nel settore della cybersecurity, il tema non è l’eventualità di essere o meno attaccati, ma quando.
La differenza, di fronte a una minaccia così estesa e difficilmente prevedibile, la fanno proprio i sistemi di prevenzione. Intercettare un accesso anomalo o in tentativo di sabotaggio quando questo si verifica, permette di reagire con prontezza e di limitare i danni. Quando, invece, l’attacco si manifesta, dopo mesi dal suo inizio effettivo, è ormai troppo tardi per correre ai ripari.
Per questo le armi più efficaci per la protezione dei software didattici continuano ad essere formazione , adozione di best practice e utilizzo di sistemi efficaci di monitoraggio, capaci di automatizzare i controlli e rilevare immediatamente le anomalie.
Investire in sicurezza informatica, significa investire nella protezione del patrimonio informativo dell’ateneo e delle persone che vivono quotidianamente l’ambiente universitario.