La percezione dei rischi sulla cybersecurity è ancora poca

La cybersecurity è uno dei più grandi temi dell’attualità. Per rendersene conto non serve essere degli esperti ma basta semplicemente osservare cosa succede nella vita di tutti i giorni.

Fino a pochi mesi fa era difficile immaginare che alle fermate dei bus nelle principali città italiane, tra locandine di scarpe griffate e jeans, ci fossero pubblicità su servizi di sicurezza informatica per ogni livello di necessità.

È una novità recente nelle abitudini dei consumatori anche installare antivirus sui propri smartphone e non solo, come di consuetudine, su computer di casa e lavoro.

Chi usa regolarmente la posta elettronica, inoltre, si sarà certamente accorto che le e-mail “truffa” non sono aumentate solo in termini di quantità ma anche di “qualità”, con frasi e meccanismi sempre più ingannevoli.

Non è una questione di rischio per i più sprovveduti o distratti, oggi il crimine informatico può colpire davvero chiunque, dall’apparato digitale di uno Stato sovrano a un tablet utilizzato per i videogiochi; la questione, ovviamente, ha delle implicazioni che non possono essere ignorate.

L’indagine Ipsos sulla cybersecurity

Una fotografia dello scenario in cui ci muoviamo è stata scattata da Ipsos con la ricerca “Cybersecurity 2023. Qual è la consapevolezza nelle aziende italiane?”. L’indagine è stata commissionata dalla società italiana di sicurezza informatica Certego, con il supporto di 24Ore Business School.

Il campione di riferimento è di 200 aziende suddivise tra i settori industria (98), commercio (29) e servizi (73). Per quanto riguarda la loro classificazione in base al numero di dipendenti, il campione si divide tra le categorie “10-19 addetti” (84), “20-49 addetti” (53) e “50 addetti e più” (30). Infine, sono state coinvolte anche 20 Amministrazioni pubbliche.

Nel complesso, rileva Ipsos, “il digitale viene ancora identificato primariamente come un costo e non come un investimento. Specialmente per le aziende di piccole dimensioni la digitalizzazione non rappresenta un processo continuo, un’opportunità di crescita, ma un onere da sostenere una tantum”. Dunque, qui c’è un primo campanello d’allarme in termini culturali.

“La maggioranza delle aziende intervistate ritiene che le tecnologie preventive, ad esempio firewall e antivirus, rappresentino ancora la principale linea di difesa contro gli attacchi informatici” ma è proprio su questo aspetto che gli esperti ritengono si crei l’equivoco principale.

“Oggi più che mai, considerate le tipologie sempre più innovative degli attacchi, le sole tecnologie preventive non sono più sufficienti ed è necessario ripensare le strategie focalizzando gli investimenti su soluzioni di difesa adattive in grado di rispondere velocemente agli attacchi di ultima generazione e riadattare le linee di difesa ai continui nuovi scenari che la sicurezza informatica impone”.

Infine, conclude l’indagine Ipsos, “le aziende sentono di essere sufficientemente preparate a far fronte a un attacco informatico”. In caso di attacco, però, “circa un terzo dei manager dichiara di non avere procedure operative per mitigare gli effetti”. C’è, dunque, “un’incongruenza tra la percezione del rischio informatico (le aziende si sentono sicure) e la mancanza di procedure operative di ‘incident response’ da mettere in atto in caso di un attacco”.

I professionisti del settore

La ricerca è stata presentata nell’ambito di “La forma dell’acqua”, evento organizzato per festeggiare il decennale di Certego. “Il tessuto produttivo italiano è particolare rispetto ai partner europei perché caratterizzato da Pmi. L’analisi che abbiamo chiesto a Ipsos conferma quello che erano i nostri timori: la necessità di cybersecurity è figlia del gap importante della nostra filiera produttiva in materia di digitalizzazione; si fatica a comprendere quanto sia importante il rischio cyber sui nostri sistemi e di riflesso sul business; c’è un problema culturale nella comprensione della reale esposizione al rischio cyber”.

Questo il commento di Bernardino Grignaffini, amministratore delegato Certego, che a Canale Energia spiega: “Ogni azienda, a prescindere da settore e dimensione, è oggi soggetta a una minaccia cyber, dato il modello della criminalità informatica che è di iniziale attacco indiscriminato”.

Incrociando elementi diversi dell’attualità, viene da chiedersi quale sia il livello di sicurezza nei settori energia e ambiente.

“Il rischio è trasversalmente elevato perché c’è forte esposizione legata all’aumento della dipendenza dall’IT dei processi industriali. Dal punto di vista delle organizzazioni energia e ambiente, inoltre, abbiamo un ulteriore elemento di rischio rappresentato dalla convergenza sempre più evidente tra IT e OT (che è un’interfaccia sul mondo fisico). Si tratta di un processo in atto da alcuni anni”, secondo Grignaffini.

Questi due settori non sono solo complessi per tecnologia impiegata e ampiezza della superfice potenziale di attacco informatico (basti pensare a una rete elettrica, altamente digitalizzata, che corre per migliaia di km); “siamo in una congiuntura geopolitica di tensioni che somma alle iniziative tipiche della criminalità informatica iniziative volte più a far danno che a ottenere ritorno economico. Dunque la baseline di rischio sale”.

A far ben sperare su tutto ciò è sia la normativa europea che si muove con un discreto dinamismo sia il confronto tra Italia e altri Paesi occidentali.

“La normativa sta creando maggiore consapevolezza negli ultimi anni, soprattutto tra le grandi aziende che hanno a disposizione più risorse”, sottolinea l’a.d. di Certego. “Vediamo che quando si crea una governance aziendale della cybersecurity si determina una maturazione della società ma parliamo di un percorso ancora lungo”.
Manca, purtroppo, la voglia di fare un passo in più verso la maturità. “Ricordo che da tanti anni l’Italia fa parte di comunità internazionali che si occupano di cybersecurity ma la presenza numerica di italiani a livello privato e istituzionale non ha mai brillato”, ammonisce l’esperto.

“Noi nasciamo nel 2013 a Modena e oggi il 30% delle nostre attività è fatto fuori Italia. Abbiamo poco meno di 200 clienti tra Ue, Nord America, Cina e Giappone. Sin dall’inizio, anche per ottenere maggiore credibilità, abbiamo aderito ad alcuni di questi tavoli e, ad esempio, facciamo parte dell’iniziativa europea No more ransomwere” ma, a quanto pare, ciò non vale per tutto il Sistema Italia.

“Esistono organizzazioni internazionali che hanno l’obiettivo di creare network di team specializzati e far circolare le informazioni, condividendo le esperienze. Questi team possono essere sia di carattere istituzionali (agenzie e ministeri, ad esempio) sia industrie. L’Italia, purtroppo, è ancora poco presente”.