Nuove minacce cibernetiche innescate dalle recenti innovazioni tecnologiche, permettono ai criminali che operano nel digitale di insinuarsi più facilmente nei punti di vulnerabilità delle difese tradizionali, potenziare gli strumenti attuali di attacco o persino realizzarne di nuovi.
I danni generati da un singolo attacco cibernetico possono essere significativi: perdita di dati, interruzione dei servizi e sanzioni legali rientrano sicuramente tra quelli con impatto economico più diretto, ma non vanno tralasciate le ricadute reputazionali, che possono comunque generare conseguenze indirette di rilievo. Per questo, la cybersecurity è diventata una priorità assoluta per le aziende di ogni settore.
Esiste però un divario preoccupante tra consapevolezza dei rischi e conoscenza degli strumenti e delle strategie necessari per mitigarli. Questo scenario è ulteriormente aggravato dalla necessità di estendere il più possibile l’accesso a conoscenze e risorse da parte di dipendenti, clienti, singoli cittadini: ogni persona, infatti, può rappresentare un punto di vulnerabilità su cui i cyber criminali possono far leva.
Emerge pertanto la necessità di giocare la partita su più livelli, dal vertice delle aziende fino all’utente finale di prodotti e servizi.
Il divario tra consapevolezza del rischio e approccio strategico
Secondo un’indagine di Accenture, in Italia l’86% dei CEO di grandi aziende riconosce l’importanza della cybersecurity per la crescita e la stabilità della propria organizzazione. Questo porterebbe a pensare che, almeno in linea teorica, a tale tema venga riservato un “posto d’onore” nei tavoli strategici. Eppure, questo non accade: la maggior parte dei CEO non dedica le riunioni del consiglio di amministrazione alla discussione di problemi di cybersecurity e adotta un approccio solamente reattivo alle questioni di sicurezza informatica. Infatti, più di 1 su 2 pensa che affrontare un attacco costerà meno che implementare misure preventive e 8 su 10 considerano la strategia di cybersecurity come una questione tecnica guidata principalmente dagli incidenti e dai requisiti di conformità.
Al contempo, la leadership riconosce la propria ignoranza sul tema: solo un terzo ritiene di avere una comprensione adeguata del panorama delle minacce e dei costi potenziali associati agli attacchi informatici; anche per questo, oltre l’80% dei CEO è preoccupato di non essere in grado di contrastarli efficacemente.
Tali dati evidenziano uno scenario complesso e un’attenzione discontinua sulla cybersecurity da parte della leadership aziendale, che invece dovrebbe essere coinvolta attivamente nella definizione delle strategie di sicurezza e nel promuovere una cultura aziendale orientata in tale direzione, anche al fine di allocare risorse economiche dedicate e adeguate al proprio profilo di rischio.
Le ricadute sull’intera organizzazione e sulla catena del valore
L’approccio limitato della leadership costituisce un ostacolo importante all’integrazione della cybersecurity in tutte le aree e a tutti i livelli dell’organizzazione. La maggior parte delle aziende, infatti, non implementa la sicurezza by design nella propria strategia di business e nei propri prodotti e servizi.
Questa tendenza è ancora più marcata nelle piccole e medie imprese, che spesso non percepiscono il rischio informatico come una minaccia reale, “cullate” in una falsa sicurezza derivante dall’assenza di incidenti passati.
E anche quelle che riconoscono l’importanza della cybersecurity, spesso non dispongono delle competenze o delle risorse per implementare soluzioni efficaci. L’evoluzione rapida delle minacce informatiche rende difficile per le aziende mantenersi aggiornate: alcune possono non avere la disponibilità economica per investire in una formazione adeguata e continua dei propri dipendenti e questo porta a una scarsa comprensione delle minacce e delle tecnologie di difesa, talvolta instaurando un circolo vizioso.
Infine, le aziende spesso dimenticano di far parte di un sistema più complesso, quello definito dalla value chain: in Italia, solo 4 CEO su 10 individuano nella supply chain un rischio esterno significativo, consapevoli delle vulnerabilità della propria catena del valore. Le aziende, quindi, talvolta trascurano di dover adottare misure per proteggere non solo i propri sistemi, ma anche quelli dei loro fornitori e partner, e questo può rendere tutta la catena più vulnerabile a potenziali attacchi.
Sensibilizzazione e formazione sono fondamentali per ridurre il rischio
In linea con l’emergere costante di nuove tecniche di attacco, le contromisure devono essere altrettanto rapide e innovative. Esistono numerosi strumenti e tecnologie disponibili per migliorare la cybersecurity aziendale, dai più classici firewall e antivirus ai più avanzati sistemi di rilevamento e prevenzione delle intrusioni, che individuano anche le attività sospette. Tuttavia, ogni strumento ha i suoi limiti. Ad esempio, mentre i firewall possono bloccare il traffico non autorizzato, non possono proteggere contro le minacce interne. Gli antivirus, d’altra parte, possono rilevare e rimuovere malware noti, ma possono dimostrarsi inefficaci contro nuove varianti di malware. Pertanto, è essenziale adottare un approccio multilivello alla cybersecurity, che comprenda un’adeguata formazione delle persone che utilizzano gli strumenti tecnologici ed una combinazione di tecnologie opportunamente integrate.
Strategie per una consapevolezza cyber integrata
Per affrontare efficacemente le sfide della cybersecurity, è dunque cruciale che la leadership aziendale adotti un approccio proattivo e integrato, basato su una conoscenza approfondita delle minacce emergenti e delle strategie di difesa. Questo significa non solo investire in tecnologie di frontiera, come ad esempio l’intelligenza artificiale e la cripto-agilità, ma anche promuovere una cultura aziendale che valorizzi la sicurezza informatica come elemento chiave per il successo e la resilienza dell’organizzazione.
Programmi educativi ben strutturati possono aiutare i dipendenti a riconoscere e rispondere alle minacce informatiche, migliorando la postura di sicurezza dell’azienda.
Inoltre, la collaborazione tra dipartimenti è fondamentale. La cybersecurity non dovrebbe essere vista come una responsabilità esclusiva del dipartimento IT, ma come un impegno condiviso tra tutte le funzioni aziendali. Una comunicazione efficace e una cooperazione tra i vari dipartimenti possono rafforzare significativamente la sicurezza complessiva dell’azienda, rendendola più capace di affrontare le sfide future.
Infine, la protezione dei dati e dei sistemi deve essere accompagnata da una gestione attenta del talento, dall’innovazione e dalla sostenibilità, che possano così contribuire a creare un ambiente più sicuro e resiliente.
