SecureMail: aumentare la sicurezza delle e-mail per le PMI

L’Ufficio federale della cibersicurezza (UFCS) segnala settimanalmente attacchi di phishing via e-mail, ransomware diffusi tramite e-mail oppure spam che, nel migliore dei casi, si limita a intasare le caselle di posta elettronica. Le piccole e medie imprese sono bersagli prediletti dai criminali informatici. Da un lato perché in genere sono meno protette delle grandi imprese, dall’altro perché mancano di know-how interno in materia di sicurezza informatica. Per questo motivo, per molte PMI svizzere la sicurezza delle e-mail rappresenta il tallone d’Achille del proprio sistema di sicurezza. Ma non necessariamente: con pochi semplici accorgimenti, le PMI possono proteggere efficacemente le loro comunicazioni e-mail strategiche, e quindi i loro dati sensibili.

Per molte imprese le e-mail sono il canale di comunicazione principale. Per questo motivo, per penetrare in un sistema IT e causare danni i criminali informatici preferiscono utilizzare la casella di posta elettronica. Le minacce più comuni:

• Phishing: con questa truffa, i criminali informatici inviano e-mail false per indurre i destinatari a rivelare informazioni riservate come password o dati delle carte di credito. Spesso le e-mail appaiono ingannevolmente autentiche e sembrano provenire da un mittente affidabile. Leggete qui come proteggervi dal phishing.
• Malware: i criminali informatici inviano software malevolo tramite e-mail. Basta un clic su un allegato o un link per permettere loro di accedere al sistema, bloccarlo o cancellare, rubare e vendere dati. Spesso chiedono un riscatto per sbloccare nuovamente il sistema o i dati. Leggete qui come proteggervi dal ransomware.
• Spam: i criminali informatici utilizzano la posta indesiderata per inondare e bloccare le caselle di posta elettronica, compromettendo così la produttività dei destinatari. Le e-mail di massa sono spesso tentativi di phishing oppure contengono malware. Lo spam rappresenta quindi un rischio per la sicurezza delle e-mail.
• Frode: i criminali informatici inviano e-mail con fatture false o manipolate. Nelle frodi con manipolazione di fatture, inviano ad esempio una vecchia fattura con un nuovo numero IBAN o chiedono che in futuro il denaro venga trasferito su un altro conto. Lavorano con trucchi di social engineering, facendo riferimento ad esempio a precedenti comunicazioni via e-mail.

Le conseguenze (dalle fughe di dati, passando per le perdite finanziarie e i tempi di inattività, fino ai danni alla reputazione) possono mettere a repentaglio l’esistenza stessa di un’impresa. A prescindere dalle sue dimensioni. Leggete qui come proteggervi dagli attacchi degli hacker.

In una strategia di sicurezza a 360°, le misure tecniche di protezione sono una componente fondamentale. Con queste misure le PMI possono proteggere efficacemente i propri account e-mail e quindi i loro dati:

• Password: delle password forti costituiscono la prima linea di difesa di un sistema di sicurezza e proteggono da accessi non autorizzati all’account e-mail. Una password sicura è lunga almeno 12 caratteri, è variegata (lettere maiuscole e minuscole, numeri e caratteri speciali), casuale, unica e individuale. Verificate qui la sicurezza della vostra password.
• 2FA (o MFA): l’autenticazione a due fattori rappresenta un ulteriore livello di sicurezza. Per accedere alle e-mail, oltre alla password è necessario un secondo fattore, ad esempio un codice di sicurezza inviato sullo smartphone. Questo rende l’accesso molto più difficile per i criminali informatici. Leggete qui come proteggere la vostra rete e i vostri dati con 2FA e MFA.
• Cifratura: le e-mail che, ad esempio, vengono cifrate con PGP (Pretty Good Privacy) o S/MIME possono essere aperte e lette solo dal destinatario corretto. Sono disponibili inoltre servizi di facile utilizzo come SEPPmail, sviluppato in Svizzera e Germania e conforme all’RGPD.
• Formato sicuro: assicuratevi di inviare e ricevere e-mail solo in formati sicuri ed evitate ad esempio le e-mail in formato HTML. I criminali informatici amano infatti nascondere nel codice HTML link dannosi o codice malware eseguibile.
• Visualizzazione delle immagini: i contenuti esterni, come le immagini presenti nelle e-mail HTML, possono caricare ed eseguire automaticamente codice dannoso. È pertanto opportuno disattivare la visualizzazione di contenuti esterni nel proprio programma di posta elettronica.

La persona è spesso l’anello più debole di un sistema di sicurezza. Per questo motivo la sensibilizzazione e la formazione del personale sono importanti almeno quanto le misure tecniche di protezione. Un’adeguata informazione dei collaboratori e delle collaboratrici riduce notevolmente i rischi di attacchi informatici. È pertanto fondamentale che essi ricevano una formazione regolare su come riconoscere le e-mail fraudolente, identificare i messaggi sospetti e reagire in modo appropriato per evitare danni. I possibili argomenti di formazione includono:

• Fatture false: collaboratori e collaboratrici imparano a riconoscere le fatture false e a non farsi ingannare da richieste di pagamento fraudolente.
• Frode del CEO: collaboratori e collaboratrici apprendono come operano i truffatori che si fingono ad esempio CEO di un’azienda, come riconoscere questi tentativi di frode e come segnalarli al meglio.
• E-mail di phishing: collaboratori e collaboratrici imparano a riconoscere le e-mail di phishing e vengono sensibilizzati e sensibilizzate in merito alle caratteristiche specifiche di questo tipo di attacco.
• Allegati e link: collaboratori e collaboratrici imparano a gestire in modo sicuro gli allegati o i link presenti nelle e-mail di lavoro, riducendo così al minimo il rischio di infezione da malware.
• Protezione dei dati: collaboratori e collaboratrici imparano come i dati personali vanno trattati, archiviati e protetti in conformità alla Legge federale sulla protezione dei dati e al Regolamento generale sulla protezione dei dati dell’Unione europea, in modo che non finiscano nelle mani sbagliate.

Il tutto è più della somma delle sue parti. Le singole misure sono efficaci, tuttavia realizzano il loro pieno potenziale solo nell’interazione. Grazie alle giuste misure, anche le piccole e medie imprese possono aumentare la sicurezza delle e-mail con uno sforzo relativamente ridotto. Ciò include, ad esempio, l’uso di password forti e l’autenticazione a due fattori per gli account di posta elettronica, la cifratura delle e-mail, la limitazione a formati sicuri, la sensibilizzazione e la formazione regolare dei collaboratori e delle collaboratrici. Inoltre, le PMI dovrebbero introdurre direttive in materia di protezione dei dati e monitorare costantemente i propri sistemi per rilevare eventuali attività sospette.

Calcolate subito quanto costa una cyber assicurazione per la vostra impresa, oppure fissate una consulenza. I nostri esperti e le nostre esperte sapranno consigliarvi soluzioni di sicurezza su misura per la vostra impresa.