Tra le conseguenze legate al conflitto in Ucraina c’è anche l’aumento del rischio di crimini informatici, specie per le moltissime aziende che lavorano con la Russia. Ma quello della cybersecurity è un tema che riguarda tutti coloro che ogni giorno si trovano a scambiare dati e informazioni con qualunque device elettronico. Non è un caso se già da prima della crisi Ucraina con la pandemia da Covid-19 – e l’aumento del telelavoro – si è reso necessario pensare alla creazione di una struttura ad hoc per la difesa informatica del nostro Paese, con la fondazione dell’Agenzia Nazionale per la cybersicurezza, indispensabile per sviluppare una strategia di cyber-resilienza nazionale. Non solo, più di recente, il presidente del Consiglio Mario Draghi ha firmato la “Strategia Nazionale di cybersicurezza 2022-2026”, dove si legge che l’1,2% degli investimenti nazionali lordi va destinato ogni anno alla cybersecurity.
Se proprio negli ultimi mesi molti servizi online e siti italiani, tra cui i siti web del Senato e del Ministero della Difesa e dell’ABI (Associazione Bancaria Italiana), sono stati oggetto di attacchi informatici (anche da parte dei russi), il tema riguarda il settore pubblico tanto quanto quello privato. L’edizione 2022 del Data Breach Investigations Report di Verizon fa notare un notevole aumento degli attacchi ransomware con un incremento pari al 13% in un solo anno. Si tratta della crescita “maggiore rispetto agli ultimi 5 anni messi insieme”. Proofpoint, invece, nel suo report annuale fa notare che il 2021 è stato un anno di grande creatività per i criminali informatici: gli attori delle minacce si sono orientati su metodi non convenzionali e focalizzati sulle persone con 100mila attacchi giornalieri da smartphone mentre lo smishing è raddoppiato rispetto all’anno precedente.
Misure sufficienti?
“Secondo i dati condivisi dalla polizia postale, anche nel primo trimestre del 2022 si è registrato un incremento di attacchi informatici di circa il + 40% rispetto lo stesso periodo nello scorso anno”, spiega a Dealflower Guido Moscarella, Coo di Innovery, multinazionale italiana specializzata in cybersicurezza. “La colpa di questo incremento – continua – non si può imputare completamente alla guerra, il numero di attacchi informatici e la loro complessità aumentano di anno in anno, specialmente nel post pandemia. La diffusione del remote working ha fatto emergere nuove vulnerabilità in breve tempo, perché ha ampliato il perimetro di attacco dei cybercriminali, un perimetro che le aziende non erano ancora in grado di sorvegliare”.
Ma l’intervento del governo è sufficiente? “Dire se gli investimenti ipotizzati sono sufficienti non è semplice. Il costo indotto da reati di origine informatica è di circa 7 miliardi di euro l’anno. L’investimento previsto per l’agenzia è di 623 milioni, a cui si ipotizza ti aggiungere ulteriori leve finanziare, come sgravi fiscali e altro. In un Paese in cui il 95% del tessuto produttivo è costituito da piccole e medie imprese, di cui la grande maggioranza non dispongono di un sistema di sicurezza informatica all’altezza, spesso proprio per problemi di budget, avremmo auspicato un investimento più corposo”, fa notare Moscarella.
Applicare il Gdpr
Tuttavia, dalle Pmi alle multinazionali, le aziende di qualsiasi dimensione sono soggette ad attacchi hacker. “Una situazione che è peggiorata con la pandemia poiché il patrimonio aziendale è più esposto con lo smart working”, spiega a Dealflower l’avvocato Elena Cannone, Managing Associate e Compliance e Focus Team Leader dello studio De Luca & Partners. Ma la soluzione potrebbe già essere a portata di mano se si guarda al Gdpr. “Questo regolamento e la cybersecuirity sono facce della stessa medaglia”, spiega l’avvocato. Perché? “Nel regolamento si parla di misure tecniche e misure organizzative in merito alla cybersecurity. Il tutto viene fatto nel principio di accountability: quindi l’azienda deve fare un assessment, capire i rischi, censirli e, di conseguenza, adottare delle misure adeguate al livello di rischio”.
Se il Gdpr potrebbe essere un primo passo, ricorda Cannonne, “occorre avere un’infrastruttura It che permetta di arginare e ridurre il rischio più possibile. Le aziende devono essere sensibilizzate sull’aspetto della sicurezza informatica, anche perché questo va a tutela del patrimonio, ma anche dell’immagine e la reputazione dell’azienda”. Infatti, oltre i numeri che sono pubblici, non va dimenticato che molte aziende non denunciano gli attacchi hacker. L’ideale, quindi, è prevenire quello che potrebbe succedere in modo da tutelare il patrimonio, “ma c’è ancora strada da fare. Ci si sta pian piano arrivando: dal 2018 ad oggi sono comunque stati fatti passi in avanti”. Tuttavia, a mancare è la consapevolezza di formare i dipendenti. “Questi vanno formati e disciplinati con formazioni specifiche e periodiche”, sottolinea l’avvocato.
Il nodo formazione
Ma la formazione è un tema cruciale anche oltre l’azienda. “L’Italia sta affrontando un grave gap di profili con competenze nei settori It, soprattutto nel settore della cybersecurity. La mancanza di questi profili rende difficile un presidio continuativo delle strutture critiche e garantire interventi immediati in caso di necessità”, aggiunge Moscarella. Innovery possiede due SOC – Security Operation Center, sul territorio italiano, strutture che garantiscono un monitoraggio continuo, attivo 24/7 per 365 giorni all’anno, in grado di rispondere a ogni emergenza. “Ma per aumentare l’efficacia di questi centri è necessario implementarli con sempre nuove risorse, in grado di affrontare i rischi informatici a tutti i livelli, per questo è fondamentale investire in formazione”
Anche secondo un recente rapporto di Fortinet, multinazionale americana che si occupa di sviluppo e commercializzazione di software, dispositivi e servizi di sicurezza informatica, in Italia mancano 100mila esperti di cyber security. Secondo i dati dell’analisi 2022 Cybersecurity Skills Gap, che ha coinvolto1.223 manager di altrettante società in 29 Paesi del mondo, le carenze dei sistemi di protezione sono evidenti. Massimo Palermo, Country manager per Italia e Malta di Fortinet, ha fatto notare che in Italia servono almeno 100mila figure specializzate consideranto che siamo “il terzo Paese al mondo più colpito da attacchi ransomware”.