Londra, Regno Unito, 24 aprile 2007 – La ricerca, condotta tra 370 società britanniche dimostra come il 65% delle aziende corra inutilmente dei rischi perché sottovaluta la minaccia posta alla sicurezza della loro rete da stick USB, unità flash, iPod e PDA.

I risultati del sondaggio, condotto da una società di telecomunicazioni indipendente, sono stati annunciati oggi nel corso di Infosecurity Europe 2007 da GFI Software, società internazionale sviluppatrice di software di protezione della rete, sicurezza del contenuto e messaggistica.

Sebbene il 49% delle aziende britanniche intervistate sia preoccupato dal problema del furto di dati, il 65% non considera una minaccia di sicurezza l'utilizzo dei suddetti dispositivi sulla propria rete. Il 71%, invece, ritiene che l'utilizzo dei dispositivi di memoria portatile siano importanti o molto importanti ai fini della gestione dell'azienda.

Quasi metà degli intervistati ha ammesso di non avere la minima idea del numero di dipendenti che adopera stick USB o iPod in ufficio, ma mentre il 37% ha affermato che la politica aziendale prevedeva il controllo dei dispositivi di memoria portatili, soltanto il 22% di esse disponeva di una qualche forma di hardware o software installato per controllarne l'utilizzo sulla rete.

"L’utilizzo incontrollato di dispositivi di memoria portatili da parte dei dipendenti costituisce una vera minaccia alla sicurezza e stabilità di qualsiasi attività commerciale. Purtroppo, molte aziende sono inconsapevoli oppure ignorano la minaccia finché accade davvero qualcosa", ha spiegato Andre Muscat, Direttore della divisione Prodotti di protezione della rete di GFI Software.

Le società di sicurezza già da tempo allertano sui pericoli dei dispositivi endpoint, ma violazioni recenti dimostrano che le aziende non hanno ancora imparato la lezione e si mettono sempre più a rischio, consegnando tali dispositivi ai loro dipendenti e incoraggiandone l'utilizzo.

Secondo la ricerca commissionata da GFI, l'83% delle società britanniche intervistate ammette di offrire ai dipendenti stick USB o PDA, e che i dispositivi di memoria portatili hanno consentito la mobilità del lavoro (76%) e facilitato la condivisione dei dati (61%).

I dispositivi di memoria portatili rappresentano una notevole minaccia se le aziende non dispongono di alcuna documentazione registrata dei file che sono stati trasferiti dalla rete al dispositivo e viceversa. Con soltanto il 29% di loro che registra effettivamente quali sono i dati trasferiti da e verso la rete, le aziende stanno adottando davvero un approccio ingenuo nei confronti di questa minaccia alla sicurezza delle loro reti. Tale situazione è stata confermata nello scorso mese di febbraio, allorquando l'NCC (la maggiore organizzazione associativa di società del settore informatico del Regno Unito), nell'ambito di un invito anonimo dal titolo "Per la Sua occasione di partecipare alla maggiore celebrazione della sua vita", ha inviato 500 stick USB a direttori finanziari di società quotate. Secondo l'NCC, quasi metà dei direttori finanziari e due terzi delle società di telecomunicazioni hanno inserito i loro stick di memoria non identificati nei loro computer. Benché si sia trattato di un incidente innocuo, dimostra che basta un semplice stick USB per caricare un virus in un sistema e un solo stick USB da 4GB per copiare tutti i dati commerciali aziendali più sensibili.

"Si tratta di un problema in crescita per le aziende e la nostra ricerca dimostra chiaramente come, sebbene le società siano preoccupate dal furto di dati, sia necessario renderle consapevoli delle vere minacce e da dove provengono", ha aggiunto Muscat.

Nonostante il 99% delle società britanniche abbia affermato di aver installato antivirus, antispam e firewall, il 78% di esse non ha fatto nulla per controllare l'utilizzo dei dispositivi di memoria portatili  e soltanto il 9% ha detto di utilizzare altre misure o prodotti di protezione.

"Le minacce interne sono in crescita e le società devono essere più consapevoli della minaccia perché le ripercussioni possono essere enormi", ha dichiarato Muscat.

Lo scorso febbraio, l'istituto bancario Nationwide Building Society è stato multato dell'importo di £ 980.000 dall'autorità di vigilanza sui servizi finanziari Britannica (la FSA, o Financial Services Authority) dopo che i dettagli di quasi 11 milioni di clienti erano stati messi a rischio da un dipendente che aveva scaricato i dati dalla rete aziendale. La FSA ha detto che l'incapacità della banca di gestire o controllare i download di grossi quantitativi di dati sui dispositivi di memoria portatili era indicativa del controllo limitato che Nationwide aveva sulle informazioni detenute in questo modo o sulle modalità con cui venivano utilizzate.

In molti casi, le violazioni alla sicurezza passano inosservate oppure gli amministratori non sono consapevoli della loro esistenza. La ricerca GFI dimostra che il 28% delle aziende intervistate non aveva idea se avessero sperimentato violazioni della sicurezza interna o furto di dati dovuti all'utilizzo incontrollato di dispositivi portatili.

Nonostante esistano alcune contromisure interne che le società possono adottare per prevenire l'utilizzo di dispositivi portatili, tali misure non rappresentano la perfetta soluzione. Il divieto di dispositivi di memoria portatili nella sede aziendale, il blocco fisico delle porte di accesso ai computer o l'utilizzo dei Criteri di gruppo di Windows rappresentano delle pratiche comuni, però limitano coloro che dipendono da tali dispositivi per lavorare, come dimostra la ricerca GFI. "L'unica soluzione efficace per contrastare le minacce costituite dai dispositivi portatili consiste nel distribuire una soluzione software che consenta di distinguere fra l'utilizzo legittimo e illegale dei dispositivi, in conformità ai criteri di protezione personalizzati impostati dall'azienda. Anche quando consente l'accesso, la soluzione dovrebbe consentire di registrare tutta l'attività, in modo tale da poter rintracciare se e quando la violazione di sicurezza si verifica effettivamente", ha spiegato Muscat.

Inoltre, gli amministratori devono rendersi conto che la gestione del rischio è sempre economicamente più conveniente di dover reagire a violazioni o incidenti. In un ambiente collegato in rete sempre più in crescita, dove il rischio sta diventando un timore sempre maggiore, gli amministratori devono anticipare le minacce e non reagire passivamente agli incidenti. A parte le ripercussioni finanziarie immediate rappresentate da perdite di affari, l'azienda deve fare i conti con una durevole situazione d'imbarazzo e con la perdita di credibilità. Per una società orgogliosa della protezione dei dati dei suoi clienti, una singola violazione potrebbe avere ripercussioni irreversibili.

E si tratta di una conseguenza che la maggioranza delle società britanniche intervistate da GFI sembra ignorare facilmente.

Per maggiori dettagli sulla protezione degli endpoint e sull'iPod slurping, visitare le seguenti pagine http://www.gfi-italia.com/italia/whitepapers/pod-slurping-an-easy-technique-for-stealing-data.pdf e http://www.gfi-italia.com/italia/whitepapers/threat-posed-by-portable-storage-devices.pdf.

Informazioni su GFI
GFI è una società leader nello sviluppo di software, che offre agli amministratori di rete un’unica fonte in grado di soddisfare le loro esigenze di protezione della rete, sicurezza del contenuto e messaggistica. Grazie alla tecnologia vincitrice di numerosi riconoscimenti, ad una politica tariffaria aggressiva e alla particolare attenzione rivolta alle piccole e medie aziende, GFI riesce a soddisfare le esigenze di continuità e produttività aziendali delle organizzazioni in generale. Costituita nel 1992, GFI ha uffici a Malta, Londra, Raleigh, Hong Kong, Adelaide, e Amburgo, a supporto di oltre 200.000 installazioni in tutto il mondo. GFI è orientata alla collaborazione con partner e si avvale infatti di oltre 10.000 partner in tutto il mondo. GFI è inoltre Microsoft Gold Certified Partner. Maggiori informazioni su GFI sono reperibili sul sito http://www.gfi-italia.com.

Tutti i prodotti e le aziende nominate sono marchi registrati dei rispettivi proprietari.