Pur chiamate ad anticipare gli attacchi in un ambiente dove le minacce divengono sempre più sofisticate e complesse, oltre la metà delle imprese italiane risultano impreparate a gestire le minacce alla propria Information security.
A dirlo è l’indagine annuale Get ahead of cybercrime realizzata da Ernst&Young secondo cui, in Italia, un’organizzazione su due non possiede gli strumenti necessari per contrastare la crescita del cybercrime.
Soffermando l’attenzione esclusivamente sui dati italiani, nell’ultima rilevazione condotta, però, interpellando 1.800 Cio, Ciso e Information security executive provenienti da 60 Paesi nel mondo, viene fuori che il 56% delle nostre aziende non possiede le informazioni necessarie in tempo reale sui rischi informatici che permetterebbero di contrastare il fenomeno.
Sotto accusa, la mancanza di budget che, per il 50% degli intervistati di casa nostra, rimarrà approssimativamente lo stesso nei prossimi 12 mesi, nonostante le crescenti minacce.
In linea con i dati rilevati solo un anno fa, il 37% di chi si occupa di sicurezza It nelle nostro imprese sostiene, inoltre, che la mancanza di risorse qualificate rappresenta uno dei principali ostacoli ai progetti di Information security, e solo il 5% delle aziende dichiara di possedere un team dedicato all’analisi delle minacce informatiche.
E se nel contesto globale della gestione dei rischi connessi al cybercrime rilevati dall’EY Global Information Security Survey, il 38% degli intervistati segnala tra le principali vulnerabilità “Dipendenti negligenti o inconsapevoli”, seguita (35%) da “Controlli e architetture di sicurezza non aggiornati”, in Italia ben il 29% dei rispondenti all’indagine identifica l’utilizzo del “Mobile computing” tra le principali vulnerabilità.
Quando si tratta, invece, di minacce, a quelle rilevate a livello globale e inerenti “Furto di informazioni finanziarie”, “Interruzione dell’operatività”, “Compromissione dell’immagine aziendale” e “Furto della proprietà intellettuale o di dati” vanno, poi, aggiunte preoccupazioni relative a “Dipendenti interni scontenti” e “Vulnerabilità non ancora note” manifestate dagli intervistati in Italia.
5 mosse per contrastare i rischi emergenti
Prima di tutto, i rischi legati alla sicurezza informatica andrebbero considerati come prioritari rispetto al core business. Da qui il suggerimento a opera di Ernst & Young ad avviare un processo decisionale dinamico che consenta di adottare velocemente azioni preventive, visto che gli attacchi possono causare danni non solo finanziari, ma anche al brand e alla reputazione causando la perdita di vantaggio competitivo e di non conformità alle normative.
In secondo luogo, occorrerebbe investire su un adeguato sistema di cyber intelligence in grado di fornire all’azienda la giusta percezione rispetto ai rischi e alle minacce legate alla sicurezza informatica, anche in considerazione dell’ecosistema del proprio business, che concerne fornitori e terze parti.
Il terzo suggerimento riguarda il conoscere le proprie attività strategiche individuando gli asset di maggior valore per il proprio business e, di conseguenza, la maniera più efficace per proteggerli dai rischi.
Seguono, infine, la valutazione delle proprie capacità di risposta e gestione in caso di crisi e un costante aggiornamento sui dati raccolti in situazioni di incidenti o attacchi, al fine di ridiscutere regolarmente la propria strategia.
In ambito sicurezza più che in altri, senza commitment interno, procedure e pratiche ben definite e condivise, non si va da nessuna parte.
