Save the Children, un faro di speranza e cambiamento, si dedica da oltre un secolo a migliorare la vita dei bambini. Fondata a Londra, oggi è presente in 29 nazioni, con 844 dipendenti nel solo Regno Unito e oltre 3600 volontari formali coinvolti. Mentre associazioni benefiche e organizzazioni non profit come Save the Children proseguono il loro lavoro guidato dalla missione, si trovano ad affrontare una serie crescente di sfide legate alla sicurezza informatica.
In questo articolo del blog, approfondiamo queste problematiche ed esploriamo le soluzioni con gli spunti di Gareth Packham, Direttore della Sicurezza delle Informazioni e della Protezione dei Dati presso Save the Children International (SCI), e Sean Costigan, Managing Director of Resilience Strategy presso Red Sift.
Guarda l'interessante discussione tra Sean e Gareth qui.
Il panorama della sicurezza informatica per le organizzazioni non profit
Le associazioni benefiche e le organizzazioni non profit proseguono la loro trasformazione digitale gestendo al contempo grandi quantità di dati sensibili, comprese informazioni personali (PII) e finanziarie di donatori, beneficiari e dipendenti. Proteggere questi dati è fondamentale non solo per mantenere la fiducia, ma anche per rispettare le normative nazionali e internazionali sulla protezione dei dati, come il GDPR. Tuttavia, i vincoli operativi unici delle organizzazioni non profit, come budget e risorse limitati, rendono la sicurezza informatica una sfida formidabile.
Le violazioni dei dati rappresentano una minaccia costante, con il numero di violazioni pubblicamente note in aumento del 20% nel 2023, mettendo a rischio di esposizione informazioni personali e finanziarie. Una violazione può comportare gravi perdite finanziarie, danni alla reputazione ed erosione della fiducia, oltre a ripercussioni legali. Anche gli attacchi ransomware sono aumentati, con pagamenti che hanno superato 1 miliardo di dollari USA nel 2023. Questi attacchi possono paralizzare le operazioni di un'organizzazione, bloccando dati e sistemi critici fino al pagamento di un riscatto, e le organizzazioni non profit sono state spesso un bersaglio.
I criminali informatici hanno spesso successo perché le organizzazioni non sono riuscite a fare le cose di base correttamente. In altri casi, attori malintenzionati più sofisticati potrebbero cercare di arrecare danni reputazionali alle organizzazioni non profit o raccogliere informazioni sulle loro attività. Per le organizzazioni non profit, il phishing rimane un metodo comune utilizzato dai criminali informatici per ingannare i dipendenti e indurli a rivelare informazioni sensibili, spesso portando a violazioni significative della sicurezza.
Ma molte organizzazioni non profit faticano a destinare fondi e risorse sufficienti alla sicurezza informatica, con conseguenti vulnerabilità nelle loro difese, in un ambiente che alcuni hanno definito "povero di risorse informatiche/ricco di bersagli". Inoltre, a livello globale il settore della sicurezza informatica sta vivendo una significativa carenza di talenti, rendendo difficile per le organizzazioni non profit trovare e trattenere professionisti qualificati.
Domande chiave per esperti di sicurezza informatica e rischio
Per approfondire ulteriormente queste questioni critiche, Gareth Packham e Sean Costigan hanno affrontato le seguenti domande chiave:
In che modo le associazioni benefiche e le organizzazioni non profit possono gestire e mitigare efficacemente i rischi associati alle violazioni dei dati per proteggere le informazioni personali e finanziarie sensibili?
In che modo le organizzazioni non profit possono migliorare la formazione dei dipendenti e la loro cultura della sicurezza per aumentare la resilienza contro le minacce informatiche?
Quali strategie possono implementare le organizzazioni non profit per migliorare le risorse dedicate alla sicurezza informatica e prevenire i crimini informatici, in particolare gli attacchi ransomware?
In che modo le organizzazioni non profit possono valutare e proteggere i propri sistemi dalle vulnerabilità introdotte da servizi e fornitori terzi?
In che modo le organizzazioni possono collaborare con governi e fornitori per migliorare la sicurezza informatica delle organizzazioni non profit?
I criminali informatici traggono profitto dalle organizzazioni non profit
La Croce Rossa ha scoperto una significativa violazione dei dati nel 2022, che ha sfruttato una vulnerabilità non corretta e ha compromesso i dati personali di oltre 500.000 persone vulnerabili. Questo incidente ha evidenziato le gravi implicazioni delle violazioni dei dati, compresi i potenziali danni alle persone e alla reputazione dell'organizzazione.
Un altro esempio degno di nota è l'attacco informatico all'American Cancer Society nel 2019. Gli hacker hanno ottenuto l'accesso al sistema di elaborazione delle carte di credito dell'organizzazione, portando al furto di dati di carte di credito che sono stati venduti o utilizzati per ulteriori frodi. Questo attacco non solo ha causato perdite finanziarie, ma ha anche eroso la fiducia dei donatori.
Nel 2024 la Federal Trade Commission ha presentato un reclamo contro Blackbaud, un'organizzazione che fornisce "dati, raccolta fondi e servizi finanziari a oltre 45.000 aziende, comprese organizzazioni non profit, fondazioni, istituzioni educative e organizzazioni sanitarie". Nel 2020 Blackbaud ha subito una violazione – apparentemente a causa di controlli utente inadeguati – che ha compromesso le informazioni personali di milioni di consumatori. La violazione ha avuto effetti a cascata e duraturi per migliaia di organizzazioni non profit.
Nel maggio 2024, il governo degli Stati Uniti ha pubblicato un avviso di sicurezza informatica che ha evidenziato lo sfruttamento da parte della Corea del Nord di politiche di record DNS Domain-based Message Authentication, Reporting and Conformance (DMARC) configurate in modo errato per nascondere tentativi di ingegneria sociale. Molte organizzazioni non profit con sede negli Stati Uniti sono state colte alla sprovvista, permettendo agli aggressori nordcoreani di veicolare spear phishing tramite email contraffatte. L'abilità della campagna e dell'exploit ha fatto sembrare che queste email provenissero dallo scambio di posta elettronica di un dominio legittimo.
Anche le minacce persistenti avanzate prendono di mira le organizzazioni non profit, rappresentando attacchi mirati a lungo termine volti a rubare informazioni sensibili o a frodare donatori e altri soggetti nel corso di periodi prolungati. Anche in questo caso, l'ingegneria sociale può indurre le persone a divulgare informazioni riservate o a compiere azioni che compromettono la sicurezza.
Questi esempi sottolineano l'urgente necessità di solide misure di sicurezza informatica nel settore non profit.
Strategie per rafforzare la sicurezza informatica nelle organizzazioni non profit
Ecco alcuni suggerimenti chiave consigliati alle organizzazioni non profit per migliorare la propria postura di sicurezza informatica:
- Una gestione efficace dei rischi di violazione dei dati coinvolge sia elementi tecnologici sia umani. Le organizzazioni non profit dovrebbero sfruttare framework e linee guida per mettere in atto politiche adeguate.
- Le soluzioni tecnologiche integrano l'implementazione di crittografia robusta, autenticazione multifattore, controlli di sicurezza regolari, backup diligenti e solidi controlli di accesso per proteggere le informazioni sensibili.
- Inoltre, favorire una cultura della sicurezza basata sulla fiducia è fondamentale. I dipendenti dovrebbero essere formati per riconoscere potenziali minacce e comprendere l'importanza di salvaguardare i dati. Sviluppare una solida cultura della sicurezza in cui tutti si sentano responsabili della sicurezza informatica può ridurre significativamente il rischio di violazioni e contribuire alla resilienza.
- Le organizzazioni non profit possono imparare le une dalle altre e organizzare workshop e simulazioni regolari per rimanere reciprocamente informate sulle ultime tattiche di crimine informatico e sulle migliori pratiche di sicurezza.
- I governi offrono risorse preziose, come il Cyber Essentials del Regno Unito o il NIST Cybersecurity Framework statunitense. Inoltre, molti fornitori di sicurezza informatica affidabili offrono prezzi agevolati per le organizzazioni non profit.
Conclusione
Man mano che i loro patrimoni digitali crescono, le organizzazioni non profit devono dare priorità alla sicurezza informatica come rischio aziendale. Sebbene i fondi siano spesso limitati, investire nella formazione e in strumenti di sicurezza essenziali come la protezione di email e dominio può prevenire incidenti costosi che intaccano la fiducia e la reputazione. Esplorare partnership e sovvenzioni specifiche per la sicurezza informatica può inoltre fornire risorse aggiuntive. Per mitigare i rischi associati ai servizi di terze parti, le organizzazioni non profit possono cercare di condurre valutazioni approfondite dei rischi e la dovuta diligenza prima di collaborare con i fornitori.
Le organizzazioni non profit potrebbero anche prendere in considerazione l'acquisto di un'assicurazione per la responsabilità informatica, ma ciò richiede un'attenta valutazione dei rischi e delle esigenze specifiche di un'organizzazione. Fattori come il potenziale impatto finanziario degli incidenti informatici, le misure di sicurezza esistenti e la tolleranza al rischio complessiva dell'organizzazione dovrebbero influenzare questa decisione. Ricorda: l'assicurazione può fornire una preziosa rete di sicurezza, ma dovrebbe integrare, non sostituire, le buone pratiche di sicurezza informatica.
Mentre organizzazioni non profit come Save the Children continuano il loro lavoro fondamentale, salvaguardare i dati sensibili e mantenere la fiducia è essenziale. Affrontando le sfide multiformi della sicurezza informatica attraverso una difesa approfondita, la pianificazione strategica, la formazione dei dipendenti, mezzi tecnici e una solida gestione del rischio, le organizzazioni non profit possono proteggersi meglio e garantire la continuità delle loro missioni vitali.
