QBE è una compagnia di assicurazioni australiana con uffici anche in Italia. Il report che ha redatto offre uno scorcio sul mondo della cyber security non dal punto di vista di aziende del settore ma da un osservatorio parallelo, quello di un’azienda che deve calcolare il costo delle polizze assicurative sulla scorta del rischio effettivo che un evento temuto si verifichi. Uno scorcio sulla realtà delle imprese italiane che è foriero di indicazioni.
Il report esamina il periodo che va dall’aprile del 2024 al mese di marzo del 2025 ed è stilato coinvolgendo 400 aziende tra i 100 e i duemila dipendenti.
Il risultato è che il 44% delle imprese italiane è stato vittima di un attacco che, nella metà dei casi (il 51%) ha avuto ricadute sul fatturato aziendale.
Indice degli argomenti
Gli attacchi in Italia
I tanti report a disposizione restituiscono numeri diversi tra loro, non perché mentano ma perché le metriche e le organizzazioni prese a campione sono molteplici. Se farne una questione numerica è poco indicativo, dichiarare apertamente che lo Stivale è meta preferita dei cyber criminali è più puntuale.
Restando ancorati al report QBE vanno evidenziati alcuni dati:
- Il 73% delle imprese italiane teme di finire nelle mire dei criminal hacker
- L’80% delle imprese sostiene di avere un piano di risposta gli incidenti
- Il 70% delle imprese prevede di aumentare il budget per la cybersecurity durante i 12 mesi futuri.
Questo ultimo dato è da analizzare con due paia di lenti diverse: il primo paio di lenti lascia presagire che le previsioni di maggiore spesa siano un dato nel complesso positivo, ed è certamente una considerazione puntale.
Indossando gli occhiali della critica, tuttavia, il report sostiene che il 42% assoluto delle imprese è disposto ad aprire di più i cordoni della borsa per fare fronte all’inflazione (quindi è una spesa che viene fatta giocoforza) e il 28% sostiene di volere investire cifre che vanno al di là dell’aumento dei prezzi, ed è un’informazione poco redditizia dal momento che non si sa in quali tecnologie e come intende investire.
Questioni di puntiglio, si dirà, ma le tante ricerche disponibili convergono nel dimostrare che si investe in modo spasmodico nella protezione dei dati lasciando ai margini delle voci di spesa altri elementi chiave come, per esempio, la formazione del personale (ne abbiamo parlato qui).
Tutti questi dati, però, consentono di giungere a delle conclusioni che tiriamo con la collaborazione di Luigi Martire, Cyber Threat Intelligence & Research Leader.
Le considerazioni del caso
Le casistiche citate nel report di QBE Italia sono come pietre miliari lungo un percorso tortuoso. Infatti, come sottolinea Luigi Martire: “Ci insegnano, innanzitutto, che la minaccia non è più un’eventualità remota ma una realtà concreta e quotidiana. Quasi un’azienda su due è stata colpita, e questo ci dice che il rischio cyber è ormai sistemico. Non riguarda più solo le grandi multinazionali o le infrastrutture critiche: colpisce aziende di ogni dimensione, in ogni settore.
Quello che emerge con forza da questa ricerca è anche la fragilità della supply chain: oltre la metà degli incidenti è legata a un partner esterno. E il problema è sicuramente più serio di quel che sembra perché riuscire a gestire un perimetro che di fatto è inesistente, dovuto ai numerosissimi asset, dati, attività, processi che vengono gestiti da customers. Fortunatamente le nuove regolamentazioni che sono state varate, come GDPR, NIS2, DORA, aiutano a fornire un supporto concreto alla gestione di questo rischio, che sicuramente è molto elevato”.
C’è un altro aspetto che va messo in evidenza. Quando si parla di minacce e incidenti c’è una certa propensione a misurarne l’impatto in termini di fatturato. Un metro certamente rilevante ma né il più importante né l’unico e, soprattutto, spinge a minimizzare gli effetti di un incidente che, per esempio, non blocca l’operatività di un’azienda pure esfiltrando un set di dati di “scarsa sensibilità”.
“È una domanda molto interessante. Misurare l’impatto in termini di fatturato è comprensibile, perché il bilancio è un indicatore immediato e concreto, sia per le aziende che devono decidere se e quanto investire in sicurezza, sia per i non addetti ai lavori, i quali pensano che si tratta di un problema che generalmente non potrebbe riguardar loro. Iniziamo, però, subito a dire che la realtà è che non tutti i danni sono immediatamente visibili. Una violazione che coinvolge dati apparentemente ‘poco sensibili’ può comunque danneggiare la reputazione, compromettere la fiducia dei clienti, esporre a sanzioni. Può anche aprire la porta ad attacchi più gravi in futuro. Se ci limitiamo a guardare il fatturato rischiamo di sottovalutare anche delle piccole realtà aziendali potrebbero avere delle informazioni che gli attaccanti potrebbero usare per effettuare attacchi più gravi”, spiega Luigi Martire.
Il futuro e la resilienza
Riusciremo a creare un “sistema Paese” più resiliente? Quali sono le condizioni affinché questo accada?
Luigi Martire lascia trapelare ottimismo: “Io credo che ci sia una possibilità concreta, ma serve un cambio di passo. Il fatto che il 70% delle aziende intenda aumentare il budget per la cyber security è un segnale incoraggiante. Ma da solo non basta: servono competenze, governance, condivisione. Il ‘sistema Paese’ sta investendo una quantità elevatissima di risorse in primis con l’ACN per poter restare a passo con le sfide cyber che stiamo incontrando giorno dopo giorno. E l’investimento a cui stiamo assistendo è fortunatamente quello di abbandonare la logica dell’intervento a posteriori e abbracciare una cultura della prevenzione, della collaborazione e della trasparenza. Il futuro della cyber sicurezza in Italia si giocherà su questo terreno”.
