La premessa è che: la sicurezza informatica è un processo ed è costituita da numerosi elementi e come ben noto parlando di cyber security, il rischio zero non esiste!
Non esistono dispositivi o software in grado di proteggere sistemi ed infrastrutture IT da potenziali incidenti o attacchi cyber. Non esiste, ad oggi, alcuna possibilità di disporre di sistemi non vulnerabili e non dimentichiamoci che l’errore umano risulta determinante nella stragrande maggioranza degli incidenti ed attacchi cyber odierni. Le assicurazioni sul cyber risk agevolano la mitigazione dei rischi residui ma non possono sostituirsi alle attività di Prevenzione Protezione e Formazione.
Le violazioni cyber sono tra i rischi più diffusi e costosi per le aziende. Eppure solo poche aziende sono in grado di quantificare realmente la propria esposizione al rischio informatico, compromettendo la capacità di proteggersi in modo efficace.
Il Rapporto CLUSIT 2019, afferma che il 2018 è stato l’anno peggiore di sempre in termini di evoluzione delle minacce “cyber” e dei relativi impatti, non solo dal punto di vista quantitativo ma anche e soprattutto da quello qualitativo, evidenziando un trend di crescita degli attacchi, della loro gravità e dei danni conseguenti mai registrato in precedenza. Nell’ultimo biennio il tasso di crescita del numero di attacchi gravi è aumentato di 10 volte rispetto al precedente. Non solo, la Severity media di questi attacchi è contestualmente peggiorata, agendo da moltiplicatore dei danni. Dal punto di vista numerico, nel 2018 il CLUSIT ha raccolto e analizzato 1.552 attacchi gravi (+ 37,7% rispetto all’anno precedente), con una media di 129 attacchi gravi al mese (rispetto ad una media di 94 al mese nel 2017, e di 88 su 8 anni).
Dalla pubblicazione dell’ultima ricerca a cui ho partecipato WHITE PAPER - Cyber Risk Exposure e Cyber Insurance il mercato delle polizze cyber anche in italia è cresciuto molto, ormai le assicurazioni sono in grado di offrire soluzioni più o meno personalizzate.
Seppure le grandi aziende si stiano organizzando e stiano aumentando i budget stanzianti per la sicurezza, nelle medie e piccole aziende italiane non cresce sufficientemente la consapevolezza dell’importanza della gestione della sicurezza e della privacy.
Si stima che nel 2018 gli attacchi informatici alle aziende, in Veneto e Friuli abbia fatto danni per 300 milioni (rif. Key4biz).
Per aiutare i responsabili delle aree IT alla sensibilizzazione aziendale voglio citare in concreto alcuni danni che un attacco di tipo cyber potrebbe portare in azienda:
- Danni diretti e materiali ai sistemi elettronici e informatici: ad esempio, in caso di danneggiamento del server potrebbe rendersi necessario un intervento di un tecnico per la sua riparazione o sostituzione. Il costo dell'intervento, delle licenze software, del ripristino dei dati, del nuovo server, della pulizia dai malware, sono tutte voci di spesa che incidono sul bilancio aziendale.
- Danni da interruzione di attività: ad esempio, in caso di danneggiamento del server il sistema informatico dell'azienda potrebbe essere inutilizzabile per diversi giorni. L'interruzione di attività che ne deriva rappresenta una perdita economica per l'azienda; questo danno può assumere dimensioni rilevanti ove il sistema informatico gestisca reparti importanti come il magazzino e/o la produzione.
- Richieste di risarcimento danni da parte di terzi: ad esempio, nel caso di perdita o sottrazione di dati sensibili o riservati i titolari dei dati potrebbero richiedere un risarcimento sulla base di un pregiudizio da loro subito.
- Danno reputazionale e perdita di clienti e fornitori: ad esempio, nel caso di disservizi prolungati o di perdita di dati importanti ci si potrebbe trovare di fronte ad un deterioramento delle relazioni con i propri partner (clienti, fornitori, finanziatori, etc.) con un impatto negativo di difficile quantificazione.
- Costi emergenti per servizi professionali: ad esempio, nel caso di perdita o sottrazione di dati sensibili o riservati diventa indispensabile poter contare su professionisti informatici, legali e delle pubbliche relazioni, al fine di limitare le richieste di risarcimento da parte di terzi e limitare il danno reputazionale.
Considerando nella totalità i danni che un attacco cyber può portare a un’azienda, è chiaro ormai che tale questione non può più essere considerata ad appannaggio esclusivo del responsabile dell'IT aziendale. Una politica di cyber sicurezza davvero efficace coinvolge tutti gli aspetti del business, non solo quello tecnologico e deve essere discussa nei consigli di amministrazione di ogni azienda facendo partecipare attivamente le figure che si occupano di IT alla definizione della stessa.
Gran parte del successo delle aziende dipende proprio dal corretto funzionamento del sistema ICT e della sua sicurezza, inoltre un passo fondamentale che deve essere fatto dalle aziende è la metabolizzazione dell’impossibilità della prevenzione completa di tutti gli incidenti. Il migliore risultato che le aziende devono porsi come obiettivo è di essere pronte e preparate a limitare le perdite e i danni – non se, ma quando si verificherà una violazione importante di sicurezza.