Promuovere la cultura della sicurezza è uno degli obiettivi dell’Associazione Italiana Professionisti Security Aziendali (AIPSA), da qui la proposta del presidente Alessandro Manfredini di prevedere degli sgravi fiscali per quelle aziende che investono nella sicurezza.
Non è una speranza priva di fondamento perché qualcosa in questa direzione è già stata fatta ma, dando al tema un respiro più ampio, ci si può interrogare anche sugli interventi fatti dal legislatore per imporre degli standard di sicurezza da rispettare, cosa che abbiamo fatto con la collaborazione di Fulvio Sarzana di S. Ippolito, avvocato e professore.
Ritorno di investimento nella cyber security: l’importante è ridurre rischi e conseguenze
Indice degli argomenti
Gli sgravi fiscali per le aziende che investono nella sicurezza
La digitalizzazione della PA e delle imprese private procede ma, dal momento che la strada è imboccata, assume un peso specifico il problema sicurezza inteso non soltanto come cyber security, ma anche in relazione alla protezione fisica delle infrastrutture IT. Questo è l’argomento di fondo espresso dall’AIPSA per voce del proprio presidente, al quale abbiamo posto alcune domande.
Sgravi fiscali per chi investe nella cyber security: la sua idea di sgravio e, più in generale, secondo il suo parere lo Stato italiano è ricettivo ai problemi della sicurezza IT?
“Le modalità tecniche di intervento non spetta a noi di AIPSA deciderle, ma è chiaro che l’introduzione di un credito di imposta per questo tipo di investimenti potrebbe essere un passo importante. A patto di semplificare le procedure burocratiche e dare certezze agli imprenditori, soprattutto piccoli e piccolissimi. Io non credo che sia lo Stato ad essere poco ricettivo sui problemi dell’IT. Credo però che esistano numerose strutture che stanno investendo nella digitalizzazione di processi e servizi, senza dedicare altrettanta attenzione alla sicurezza delle infrastrutture che stanno sviluppando. Un corto circuito le cui conseguenze rischiano di essere gravi, soprattutto per i cittadini”.
Se la sicurezza IT in quanto tale è soprattutto questione di cultura, è opportuno sostenere che anche governo e parlamento ne hanno una percezione inesatta?
“Non sarei così drastico. La creazione di un’Agenzia per la Cybersicurezza Nazionale e la definizione di una Strategia per la Cybersicurezza Nazionale sono senza dubbio un’intuizione lodevole, indice del fatto che la cyber sicurezza è presente nell’agenda di Governo. L’ACN (come viene ormai chiamata nel nostro gergo) seppur con qualche normale difficoltà iniziale, tra l’altro comune a tutte le startup aziendali, ha sempre avuto il merito di promuove quella cooperazione tra pubblico e privato che è la vera chiave per lo sviluppo della sicurezza cibernetica integrata e partecipata. Ciò che conta ora, a mio avviso, è fare un salto di qualità sia nel pubblico che nel privato, dando sempre più libertà di manovra ai security manager, ma anche sempre più responsabilità, per sviluppare piani di intervento e di prevenzione che abbiano come obiettivo principale la continuità dei servizi a cittadini e imprese. In primis sicuramente i servizi essenziali, ma non solo”.
I rimedi: solo sgravi oppure ci sono altre vie per spingere le imprese verso la cyber security?
“Bisogna lavorare sulle filiere. Perché il nostro è un Paese con una forte interdipendenza tra gestori di servizi e prodotti, anche pubblici, e fornitori. Questi ultimi sono spesso PMI con margini finanziari ridotti. È evidente che, in questa situazione, è indispensabile agire sulla leva fiscale e su quella degli incentivi per promuovere investimenti cyber anche in queste realtà più piccole. È la priorità per colmare il gap esistente nel più breve tempo possibile. Ma occhio. Non si tratta di una spesa, dobbiamo uscire dal paradigma che la security sia un costo perché in realtà è un investimento che alla lunga è sempre ben ripagato”.
Non soltanto cyber minacce
“Così come la cyber security non si garantisce agendo solo su un anello della catena, così per sviluppare e incrementare la sicurezza del sistema Paese non si può ridurre tutto alle minacce cibernetiche. L’approccio corretto alla sicurezza deve essere olistico e spaziare dal mondo digitale a quello fisico, legato agli eventi meteo estremi, alla protezione delle nostre persone. Senza dimenticare l’approvvigionamento delle materie prime, il contrasto alla contraffazione nel settore lusso e moda e più in generale la business continuity. Come AIPSA ci stiamo occupando in profondità di tutti questi aspetti e stiamo sviluppando con The European House Ambrosetti il primo osservatorio sui rischi di security in modo integrato, in grado di classificare le imprese pubbliche e private sulla base di parametri oggettivi misurati per ogni ambito di riferimento. Solo così avremo una vera mappa della sicurezza delle nostre organizzazioni”.
Qualcosa è già in corso d’opera
La legge di Bilancio 2023 prevede fondi da destinare a quelle imprese pubbliche o private che attuano progetti di cyber security utili a lenire gli effetti di attacchi. A maggio del 2022 la Strategia nazionale di cyber sicurezza aveva previsto forme di sgravi anche per le imprese private.
Non ci sono soltanto sgravi e incentivi, la cyber security è vitale per tutto il Paese ed è per questo che, tra norme sovranazionali recepite e norme nazionali appositamente concepite, il legislatore si è mosso e si sta muovendo affinché ci siano standard da rispettare per chiunque fa impresa.
Gli aspetti normativi e quelli giuridici
L’avvocato Fulvio Sarzana spiega che le norme ci sono: “In Italia, ma anche in Europa, esistono norme stringenti in materia di cyber sicurezza, sotto forma di regolamenti comunitari, direttive e norme di attuazione, oltre a norme specifiche in materia di sicurezza nazionale. Ancora prima però, dagli anni 2000 in poi, l’Italia ha adottato disposizioni in materia di protezione dei dati personali che già introducevano precisi obblighi di adozione di misure di sicurezza per i sistemi informatici. Se c’è un ecosistema iper-regolato, nel settore delle tecnologie informatiche, quello è proprio la cyber security”.
Se il tema della cyber security è regolamentato, spiega l’avvocato Sarzana: “Quello che manca sono disposizioni in tema di ethical hacking, o norme che consentono di proteggere legalmente le attività di chi effettua test di sicurezza a beneficio delle aziende. In Italia, infatti, queste attività sono ancora considerate un reato e, al di là di alcune pronunce, ancora non è stato sdoganato, come invece avviene negli Stati Uniti, il concetto di hacking etico”.
Conclusioni
L’Italia è oggetto delle attenzioni delle cyber offensive e, al di là delle norme esistenti e di un sistema di sgravi fiscali che può essere ampliato, c’è da considerare l’attuazione di tutto ciò in un’ottica futura che necessita riflessioni e politiche sul lungo periodo.
Non potrebbe essere altrimenti, perché il botta e risposta tra attaccanti e difensori è sempre energico e in continua evoluzione.
