La natura umana della sicurezza informatica

Può sembrare strano, ma apri una nuova scheda e fai una rapida ricerca su Google Immagini digitando "cybersecurity". Fatto? Che cosa hai visto? Forse una miriade di immagini futuristiche di lucchetti sovrapposti a schede elettroniche e piogge digitali in stile Matrix? Come immaginavo. Per noi e per il nostro Senior Director of Information Security, Product Security and Global Response, Quentyn Taylor, questa rappresentazione è del tutto fuorviante, perché le fondamenta del settore sono quanto di più umano esista.

È vero, le competenze tecniche coinvolte sono numerosissime, su questo non ci sono dubbi, ma il team di Quentyn è stato selezionato anche per la sua conoscenza della natura umana. Perché? Purtroppo, c'è una verità di fondo: spesso le persone sono l'elemento più vulnerabile nella sicurezza di un'azienda. E altre persone, i cybercriminali, sono incredibilmente abili nello sfruttare i comportamenti umani: la nostra inclinazione a fidarci, la curiosità, l'abitudine e persino l'eccessiva sicurezza di sé. Eppure, anche loro restano esseri umani e spesso agiscono in modi che lasciano perplessi. Con tutta questa psicologia in gioco, vediamo alcuni modi in cui si manifesta in un team di cybersecurity ad alte prestazioni come il nostro.

Flessibilità

"Non importa quanto sia avanzato il tuo modello di IA, sono gli esseri umani che sanno integrare con flessibilità fonti di dati diverse, fisiche e digitali", afferma Quentyn. "Le persone possono compiere salti logici tra tipi differenti di tecnologia o dati, mentre gli strumenti di IA devono essere addestrati." Questo è del tutto logico: oggi l'IA può lavorare solo con i dati a sua disposizione, mentre gli esseri umani possono ipotizzare, ragionare in modo laterale e prendere decisioni rapide. Siamo in grado di raccogliere velocemente molte informazioni diverse, in formati differenti, e valutarle allo stesso livello: una capacità con cui gli strumenti di sicurezza basati su IA hanno ancora difficoltà.

Intuizione

Non si tratta solo di andare a sensazione: l'intuizione può essere la manifestazione del riconoscimento di schemi, influenzata e modellata dall'esperienza diretta. "E può essere potente, anche se spesso viene scartata con leggerezza", afferma Quentyn. "Ci sono centinaia di casi in cui qualcuno ha detto che 'qualcosa non quadrava' e poi si è scoperto che aveva ragione." Tuttavia, sottolinea anche che, poiché ogni persona è diversa, l'intuizione può essere condizionata da un'altra caratteristica molto umana: il pregiudizio. "Bisogna fare attenzione, certo. Ma comunque, al momento non esiste un'IA capace di eguagliare l'intuizione umana quando si combina con buoni dati, formazione e un attimo di riflessione."

Diversità

"Non tutti gli autori degli attacchi sono uguali", sottolinea Quentyn. Può sembrare scontato, ma significa anche che i team di cybersecurity devono riflettere questa varietà. "Quando si costruisce un team, è assolutamente fondamentale avere diversità in tutti i sensi: istruzione, esperienze, cultura, provenienza geografica, interessi, preferenze e così via. Se dobbiamo difenderci da persone di ogni tipo, è logico." Fornisce un ottimo esempio: in un attacco informatico particolarmente distruttivo furono trovati riferimenti a Dune di Frank Herbert nel codice del malware. Era molto prima che il romanzo diventasse una saga cinematografica, quindi qualcuno nel team investigativo doveva conoscerlo. E sì, fu proprio la passione per la fantascienza di un membro del team a consentire di individuare quelle parole chiave e collegarle ad altri attacchi, raccogliendo nuove informazioni.

Istinto

Intuizione e istinto vengono spesso confusi, ma se l'intuizione è un calcolo, l'istinto è un impulso. A prima vista può sembrare irrazionale agire d'istinto in situazioni ad alto rischio, come un attacco informatico, ma l'istinto collettivo di un team può diventare una forza straordinaria. "Quando si uniscono prove e istinto, il risultato può essere incredibilmente potente", afferma Quentyn. "Per esempio, se bisogna prendere una decisione e tutti i dati disponibili non ti indicano una direzione chiara, allora entra in gioco l'istinto. Se un intero team percepisce istintivamente che una direzione è preferibile a un'altra, non conviene fidarsi? Io direi di sì."

Percezione

Le persone sono imprevedibili. Fino a quando non lo sono più. E nella cybersecurity a volte è sufficiente un approccio un po' diverso o uno sguardo alternativo per comprendere cosa stia facendo un criminale. "Molto spesso, il problema che cerchi di risolvere non è altro che un essere umano che si comporta come tale." Quentyn racconta l'esempio di un attacco che continuava a interrompersi e a ripartire, all'apparenza senza alcuna logica. "Facevano partire l'attacco, poi lo sospendevano per un paio d'ore. Successivamente registravamo un'attività minore, poi un'altra pausa, e soltanto più tardi prendeva avvio la parte principale dell'attacco." Si capì che in realtà si trattava di uno schema: prima del lavoro, durante la pausa pranzo e dopo il lavoro. Questa scoperta permise di identificare rapidamente l'origine dell'attacco.

Pensiero critico

Inganni, piccole anomalie, social engineering, exploit tecnici... L'elenco è infinito e le decisioni da prendere sono numerose. "Il nostro lavoro quotidiano incarna perfettamente il concetto 'da umano a umano'", spiega Quentyn. "In pratica, due persone che cercano di capirsi a vicenda, qualcosa di antico quanto il tempo." Non si tratta solo di analizzare ciò che si ha davanti: è la somma di tutto quanto detto: valutazione ragionata, intuito, capacità di agire su fonti multiple di informazioni e decisioni rapide, attingendo all'esperienza del team per dare un nome e un contesto a un'attività insolita. Queste capacità si estendono anche al resto dell'organizzazione, poiché gli specialisti di cybersecurity possono usarle per promuovere comportamenti più sicuri online.

In definitiva, siamo molto lontani dallo stereotipo del professionista della sicurezza informatica e, in realtà, dall'intero concetto di cybersecurity così come viene comunemente immaginato. La verità è che, al posto dei lucchetti digitali che hai visto su Google, dovresti trovare immagini di team diversificati che lavorano insieme. Da umano a umano.

Scopri di più sulle carriere in Canon.