Quando intraprendiamo un percorso di digitalizzazione di un singolo processo o dell’intera azienda, siamo sicuri che stiamo valutando adeguatamente anche tutti i possibili rischi informatici che corriamo? Spostando dati e informazioni dai server interni ai cloud esterni non possiamo perdere di vista la sicurezza informatica, soprattutto quando attiviamo bot che leggono dati riservati. Analizziamo, quindi, quali potrebbero essere i rischi della Robotic Process Automation (RPA) e come fare per garantire un’adeguata sicurezza dei sistemi legati all’RPA.
RPA: l’importanza della sicurezza nei processi coinvolti
La robotic process automation (RPA) è l’impiego dei robot software per registrare delle attività svolte da esseri umani e in seguito ripeterle senza l’intervento della persona. Nello specifico, i bot sono dei software deterministici che simulano le attività umane semplici. Adeguatamente programmato, un bot è in grado di immettere dati, elaborare immagini, automatizzare le comunicazioni tra i sistemi digitali o rispondere a richieste e informazioni standard come nel caso dei Chatbot.
I bot non sono intelligenti se ad essi non associamo l’Intelligenza Artificiale. Di base, non sono in grado di apprendere autonomamente, ma questo non li rende meno utili. Alla base dei processi aziendali complessi ci sono una moltitudine di azioni semplici e ripetitive che automatizzate libereranno tempo alle risorse e ridurranno drasticamente gli errori. Il vantaggio principale dell’RPA è la semplicità di implementazione che, in alcuni casi, richiede poca o nessuna attività di codifica.
Le organizzazioni che vogliono intraprendere un percorso di digitalizzazione dei processi non possono esimersi dall’integrare i bot e valutare l’automazione dei processi che non richiedono un apporto cognitivo umano. Dovranno, però, informarsi adeguatamente anche sui rischi che questo scenario apre.
Nei vari articoli pubblicati sul blog in merito all’automazione dei processi abbiamo identificato il funzionamento, i vantaggi e l’evoluzione ma è arrivato anche il momento di parlare dei rischi legati alla sicurezza informatica.
Quali sono i rischi dell’RPA?
La Robotic Process Automation maneggia dati. Li immette, li copia e incolla, li trasferisce da un sistema all’altro: insomma, accede ad informazioni e li gestisce al pari di un umano. Ovviamente, a differenza di quest’ultimo, i bot non hanno coscienza della delicatezza e della pericolosità del loro compito. Dovranno essere i programmatori, adeguatamente seguiti dai responsabili della sicurezza e della gestione del rischio, a definire un adeguato piano d’azione.
La gestione e lo spostamento dei dati espone i sistemi aziendali a due rischi principali : la frode e la perdita dei dati entrambi dovuti ad una falla nella gestione delle credenziali di accesso alle informazioni. Ma vediamo quali potrebbero essere, nello specifico, le problematiche legate alla sicurezza informatica e come fare per proteggere i processi robotizzati.
Accesso non autorizzato: limitare la diffusione delle credenziali
L’RPA per poter funzionare e per interagire con le applicazioni e i sistemi coinvolti (ERP, CRM) in un determinato processo necessita di credenziali di accesso privilegiate che spesso aprono le porte anche a dati aziendali sensibili. Se l’accesso ai robot RPA non è adeguatamente protetto e controllato si rischia di consentire a persone non autorizzate di accedere, manipolare o rubare informazioni sensibili.
Cosa fare? Innanzitutto limitare l’accesso dei bot alle attività strettamente necessarie allo svolgimento di una determinata azione che si vuole automatizzare. Ad esempio, se per scrivere una mail ho bisogno di compilare alcuni campi con i dati del cliente presenti in un database dovrò limitare gli accessi del bot a quel database solo alla lettura e non anche alla scrittura. Inoltre, è utile identificare, attraverso l’utilizzo di credenziali specifiche, i bot e i relativi processi RPA. In questo modo, nel caso di intrusione, siamo in grado di ritrovare immediatamente le credenziali compromesse e sostituirle. In quest’ottica, bisognerebbe implementare rigorose politiche di accesso per garantire che solo le persone autorizzate abbiano accesso privilegiato ai bot RPA. Infine, un altro suggerimento, è quello di utilizzare l’autenticazione a più fattori per proteggere l’accesso ai bot RPA e fortificare il blocco degli utenti non autorizzati.
Manipolazione dei dati: controllare costantemente le attività dei bot
L’attenzione non è mai troppa quando parliamo di software che manipolano grandi quantità di dati e che potrebbero provocare danni di milioni di euro. Se un robot RPA viene compromesso o manipolato da criminali informatici, potrebbe alterare, corrompere o distruggere grandi quantità di dati. La gravità di un tale rischio impatterebbe anche su altre operazioni aziendali connesse al processo automatizzato e sulla continuità del business.
Cosa fare? Innanzitutto, bisogna partire da un monitoraggio costante dell’attività dei bot e da controlli di integrità dei dati per rilevare eventuali anomalie o comportamenti sospetti. Ecco perché è fondamentale cambiare frequentemente le credenziali di accesso dei bot, spesso condivise e utilizzate più volte, e soprattutto conservarle in una posizione centrale criptata. Quando si mantengono le stesse credenziali d’accesso e non si provvede a una loro adeguata protezione si rischia di permettere le intrusioni non solo degli hacker esperti ma anche dei dipendenti interni, dotati di privilegi amministrativi, che vogliono arrecare danni all’azienda (come nel caso degli internal threat)
L'RPA gestisce e sposta dati esponendo i sistemi aziendali a due rischi principali : la frode e la perdita dei dati entrambi. Per questo è indispensabile prevedere un piano di sicurezza informatica. Condividi il Tweet
Vulnerabilità dei sistemi RPA: aggiornare i sistemi di sicurezza
Quando procediamo con l’evoluzione dei sistemi RPA nella rete aziendale, magari automatizzando altri processi connessi, non dobbiamo mai dimenticare di aggiornare anche il piano per la sicurezza attuato nella fase di implementazione dell’RPA. Dopo l’automazione di un processo, dovrò personalizzare il software affinché sia in grado di rilevare delle anomalie specifiche di quel processo attraverso degli allarmi che segnalino la compromissione dei dati in tempo reale. Ad ogni modifica del software RPA, dovrò far seguire un aggiornamento del relativo sistema informatico che lo monitora. L’obsolescenza del software per la sicurezza informatica rende i sistemi RPA vulnerabili e rallenta i tempi di risposta ad un’intrusione dannosa.
Cosa fare? Partendo dall’affiancare sempre un piano di sicurezza informatica a quello di implementazione del software RPA dovrò poi programmare degli aggiornamenti costanti che includano i nuovi processi automatizzati ma anche quelli già rodati ad essi connessi. Inoltre, è fondamentale eseguire test periodici di sicurezza durante l’integrazione tra i sistemi per garantire che siano implementate misure di sicurezza appropriate a quel tipo di concatenazione dei processi. Infine, quando si esaminano gli script RPA, bisogna prestare particolare attenzione alle vulnerabilità della logica aziendale.
Phishing e attacchi di social engineering: l’importanza di riconoscerli
I bot RPA sono esposti, al pari di qualsiasi altro sistema, al rischio di attacco informatico. I malware che attaccano un singolo processo potrebbero, in poco tempo, diffondersi all’interno dell’infrastruttura IT aziendale. Quali sono le minacce più frequenti? Gli attacchi di phishing o social engineering. Facciamo un esempio. Un hacker potrebbe inviare e-mail o messaggi falsi che sembrano provenire dai robot RPA al fine di ottenere le credenziali di accesso ad un database. Il dipendente, che non ha un’adeguata formazione o che in quel momento è distratto, potrebbe non accorgersi di qualche lieve anomalia del messaggio e inserire i dati richiesti fornendo le chiavi per l’accesso ai dati all’hacker di turno.
Cosa fare? Il primo passo è sempre quello di aggiornare i sistemi informatici costantemente visto che le minacce informatiche sono in continua evoluzione. Subito dopo, bisogna formare i dipendenti affinché siano in grado di identificare gli attacchi di phishing e segnalarli in tempo. Infine, bisogna implementare misure di sicurezza come l’autenticazione a più fattori che, nella sua semplicità, riduce notevolmente il rischio di compromissione dei dati.
Fallimento della sicurezza nei sistemi RPA: assicurarsi la completezza dei registri
Cosa succede se la sicurezza di un sistema RPA fallisce? I responsabili della sicurezza informatica dovranno fare un’analisi approfondita dei registri RPA per capire in che punto si è presentata una falla e provvedere, il prima possibile, alla sua chiusura. Solitamente le aziende alimentano i registri RPA all’interno di un sistema separato, appositamente progettato per il loro archivio. In questo modo, si aumenta il livello di sicurezza e affidabilità. Un secondo passo, ugualmente importante dovrebbe essere quello di assicurarsi che non siano presenti lacune nei registri RPA. Solo così, in caso di fallimento del sistema di sicurezza, il responsabile della gestione del rischio sarà in grado di identificare con certezza il problema attraverso un’analisi dei registri generati automaticamente dall’RPA.
