Questo è l’anno in cui si inizia davvero ad intravedere una ripresa economica (con un fatturato aumentato del 5,1% e ordini saliti del 6,6%) guidata sia da un buon export sia dalla spinta data dal piano Industry 4.0 ed in generale dalla Digital Trasformation.
Si torna a investire in innovazione e tecnologia e, quindi, nel futuro.
Il “Digital World”, per poter crescere e prosperare, richiede fondamenta solide basate su due proprietà che ben si esprimono in lingua anglosassone: “Security” e “Trust”. Due proprietà che, per essere soddisfatte, richiedono organizzazione, consapevolezza e tecnologia.
Ma anche su questo fronte il 2018 ci stupisce con due acronimi diventati veri e propri “buzz word” ovvero GDPR e NIS.
Gpdr e Nis, perché sono importanti
Sul GDPR è stato già scritto tutto ed il concetto di Privacy sta pian piano diventando sinonimo di “Data Protection”. Grazie ai requisiti di compliance imposti dal regolamento, che saranno obbligatori dal prossimo 26 maggio, inizia ad essere preso sul serio il tema di protezione dei dati. Ed in un mondo in cui oltre 15 milioni di consumatori sono vittime di furto di identità o frodi digitali è sicuramente un fattore di estrema importanza.
Il termine “GDPR” ha concentrato su di sé moltissima luce lasciando in penombra un elemento fondamentale della strategia di Cyber security dell’Unione Europea: Network and Information Security (NIS) Directive.
La Direttiva Nis, che è stata recepita dal nostro paese lo scorso 8 febbraio 2018, si concentra sulla protezione dei sistemi IT critici (Infrastrutture Critiche) nei settori centrali dell’economia come Banche, Energia, Infrastrutture del mercato finanziario, Salute, Trasporti, Acqua e Infrastrutture digitali.
Partiamo dal dato di fatto che tutta la nostra vita è regolata da sistemi informativi che si scambiano dati e che, con il tempo, lo faranno sempre più in modalità autonoma sfruttando le tecnologie di Intelligenza Artificiale.
- È un processo irreversibile, da cui non si torna indietro e che stressa in modo forte le proprietà menzionate sopra “Security” e “Trust”. La NIS inizia a fornire una risposta a questi stress definendo un articolato quadro di riferimento per gli stati membri e concentrandosi su tre aree principali: La capacità di Cyber security dei singoli stati (definendo una baseline comune ed introducendo i CSIRT nazionali e le simulazioni)
- la collaborazione fra gli stati membri con lo scopo di migliorare continuamente le capacità difensiva
- la supervisione ed indirizzo relativamente la sicurezza di Infrastrutture critiche e Fornitori di servizi digitali.
Nell’insieme degli Operatori di Servizi Essenziali rientrano le Infrastrutture, Energia, Sanità, Acqua, Trasporti, Banking e Infrastrutture finanziarie mentre nell’insieme Fornitori di servizi digitali rientrano fornitori di CloudComputing, Motori di ricerca e portali di e-Commerce.
La NIS Impone agli operatori di servizi essenziali ed ai Fornitori di Servizi Digitali (lasciando un minimo di margine agli stati membri per i soggetti rientranti nella categoria dei Fornitori di Servizi Digitali)
- di adottare le appropriate misure tecniche ed organizzative per gestire i rischi di sicurezza alle reti e ai sistemi informativi fra le quali:
- Sicurezza dei sistemi e facilities
- Incident Handling
- Business Continuity Management
- Monitor, auditing e testing
- Conformità a standard internazionali
- Di porre in essere misure per prevenire e minimizzare l’impatto degli incidenti di sicurezza e per garantire la continuità dell’erogazione dei servizi
- Di comunicare tempestivamente alle autorità competenti o ai CSIRT (Computer Security Incident Response Team) incidenti di sicurezza con impatti significativi sulla continuità dei servizi.
Sono tematiche su cui, normalmente, le organizzazioni sono in ritardo.
Il ritardo dell’Italia
Dall’ultima Survey Global Information Security Survey) di EY emerge infatti che:
- Solo il 4% delle aziende è sicuro di aver considerate appieno tutte le implicazioni che la sicurezza delle informazioni può avere nella loro attuale strategia e che tutte le cyber minacce siano monitorate e comprese nella gestione del rischio.
- Il 75% degli intervistati riconosce il livello di maturità del proprio sistema di identificazione delle violazioni tra «basso» e «moderato»
- Solo il 12% degli intervistati ritiene di avere molte possibilità di rilevare un cyber-attacco sofisticato
Questo ritardo va colmato il prima possibile per adeguarsi al nuovo quadro normativo e, fortunatamente, c’è una parziale sovrapposizione dei regolamenti più impattanti (GDPR e NIS).
I principi infatti di Analisi del rischio, di misure minime di sicurezza, di test e verifica delle contromisure e di data breach detection sono presenti, seppur in forme diverse, in entrambe le norme.
Gestire correttamente la soddisfazione dei requisiti in ottica multicompliance è quindi un’ottima occasione di ottimizzazione e razionalizzazione degli investimenti.
È inoltre fondamentale che questi sforzi, sicuramente grandi ma necessari ad assicurare le due proprietà più volte menzionate, vengano percepiti come una grande opportunità che hanno le organizzazioni per riorganizzare al meglio i processi, rendendoli sicuri ed aumentandone cosi il valore generale erogato.
Il valore del servizio è sempre composto da due aspetti imprescindibili: l’utilità che il servizio faccia quello per cui è stato acquistato e la garanzia che lo faccia con l’adeguato livello di disponibilità, capacità, continuità e sicurezza. Un sistema non disponibile e non sicuro non dà valore.
Ecco dunque perché l’anno quasi perfetto. Perché è una grande occasione di trasformare un rischio in opportunità mettendosi in regola con la legge, permettendo al proprio business di prosperare ed aumentando il valore dei servizi. Così si incrementerà la fiducia e il gradimento degli utenti migliorando, di conseguenza, le performance.
Un po’ di rammarico resta solo per l’aggettivo “quasi” che, però, è impossibile eliminare.
Nonostante gli sforzi, in Italia, c’è ancora tanto lavoro da fare non solo a livello di Aziende, Organizzazioni ed infrastrutture Critiche ma anche di Pubblica Amministrazione. È forse il momento di avviare un percorso di Educazione Civica Digitale per preparare nuove e vecchie generazioni a cogliere in sicurezza le grandi opportunità che il digitale fornisce.
