Cybersecurity, +65% di violazioni e preoccupa la situazione delle PMI

Arrivati ad Ottobre 2024 è ormai evidente l’escalation di guerre che si sta propagando in tutto il mondo, tuttavia meno evidente è il fatto che tali guerre rappresentano una minaccia per la cybersecurity globale, oltre che per Pubblica amministrazione, infrastrutture e aziende italiane, incluse addirittura le piccole-medie imprese. Il rapporto Clusit 2024 riporta già un preoccupante +65% di violazioni informatiche nel nostro Paese per quanto riguarda il 2023, ma le previsioni degli esperti sono ancora più pessimistiche per i prossimi anni, a causa dei grandi conflitti che, come noto, si traducono anche in guerre informatiche volte a colpire o destabilizzare uno o più paesi e di conseguenza le loro economie.

Rischi per la cybersecurity aziendale

“Si pensi che solo negli USA secondo Cybersecurity Ventures entro il 2031 si arriverà a un nuovo attacco a un consumatore o un’azienda ogni 2 secondi per danni stimabili in 260-300 miliardi di dollari “ e tutti questi studi e ricerche – annota Andrea Marchi, Cyber & Information Security Expert dello studio legale multinazionale Rödl & Partner presente in 50 paesi nel mondo tra cui l’Italia – non calcolano l’attuale terribile scenario di guerra globale che certamente avrà sul web uno dei suoi punti di impatto”.

“E oltre ai drammatici conflitti anche l’adozione sempre più diffusa ed entusiastica dell’intelligenza artificiale da parte di aziende e organizzazioni potrebbe esporre a nuove vulnerabilità, mettendo a rischio le difese informatiche di stati, aziende e infrastrutture” continua l’esperto. Aspetto confermato da un recente report Kaspersky secondo il quale solo il 59% di manager si preoccupa delle fughe di dati legate all’IA, e appena il 22% ha pensato di regolamentarne l’utilizzo, al contempo, il 24% identifica l’IT e la cybersecurity come i principali settori da automatizzare.

Aziende europee vulnerabili agli attacchi informatici

In questo scenario il 77% delle aziende europee, sempre secondo Kaspersky, ha subito almeno un incidente informatico negli ultimi due anni “e – sottolinea il cyber-esperto di Rodl & Partner – a questo fenomeno contribuiscono anche una certa mancanza di attenzione e consapevolezza da parte delle aziende e, in particolare, dei singoli dipendenti”.

Si calcola che solo il 35% delle aziende utilizza tecniche di attack surface management per misurare il rischio della superficie di attacco e solo il 34% è conforme agli standard di settore comprovati, come l’ISO27001 o il NIST, ovvero l’insieme di linee guida volontarie progettate per aiutare le organizzazioni a valutare e migliorare la propria capacità di prevenire, rilevare e rispondere ai rischi di sicurezza informatica (dati Trend Micro).

La componente umana al centro delle vulnerabilità informatiche

Ma al netto di tutte le precauzioni tecniche che possano essere attivate per scongiurare o quantomeno limitare i danni un attacco cyber, sembrerebbe che il fattore umano sia una delle cause determinanti, tanto stando allo studio Voice of the CISO 2024 di Proofpoint il 74% dei Chief Information Security Officier, cioè i responsabili della sicurezza informatica, ritiene che dipendenti e collaboratori rappresentino la più grande minaccia per la sicurezza informatica aziendale, dato avvalorato da IBM secondo cui l’errore umano sarebbe addirittura causa principale del 95% delle violazioni della sicurezza informatica.

“È importante ricordare – sottolinea Andrea Marchi di Rödl & Partner – che ogni dipendente ha un ruolo cruciale nella protezione della sicurezza dei sistemi e dati aziendali. In particolare, gli smart-worker è bene che stiano attenti a rispettare pedissequamente il regolamento IT e tutte le procedure di sicurezza aziendale: un approccio attento e responsabile non solo protegge l’azienda, ma aiuta anche i singoli ad evitare complicazioni”.

Lacune nella formazione aziendale sulla cybersecurity

“D’altro canto, bisogna tenere presente però – chiarisce l’esperto – che molte aziende possono trovarsi in difficoltà nel soddisfare gli obblighi di formazione dei dipendenti in materia di cybersicurezza. È possibile che le norme o le procedure di sicurezza siano talvolta poco chiare o disorganiche, oppure, peggio ancora, che il dipendente lavori dal suo PC personale proprio su richiesta del datore di lavoro. Queste pratiche possono comportare rischi significativi – ammonisce l’esperto di Rödl & Partner –. E tali inadeguatezze possono portare a problematiche con conseguenze molto dannose per l’impresa stessa, che vanno dalla potenziale interruzione delle attività, alla responsabilità nei confronti di terzi, come clienti e fornitori, sui dati trafugati, alla possibile estorsione di denaro per il ripristino dei dati compromessi o per la loro non divulgazione nel dark web. Investire in una formazione adeguata e in attività di sensibilizzazione, insieme a procedure chiare, è essenziale per proteggere sia i dipendenti che l’intera organizzazione.”