Nel gennaio 2023, a margine del World Economic Forum tenutosi a Davos, è stato pubblicato il Global Cybersecurity Outlook 2023, redatto dal Centre for Cybersecurity dell’organizzazione.
Lo scopo di questo documento è quello di fornire una panoramica delle principali sfide nel campo della cyber security e fornire ai principali attori, siano essi pubblici o privati, delle linee guida per costruire la propria resilienza informatica.
Investimenti in sicurezza informatica, il trend è in netta ascesa
Indice degli argomenti
I dettagli del rapporto
Nel complesso, lo studio indica che le imprese sono più consapevoli delle minacce informatiche rispetto al passato e che sono più disposte ad affrontare questi rischi. Tuttavia, le aziende cyber fanno ancora fatica ad esplicitare i rischi informatici in un linguaggio che le loro controparti possano comprendere e su cui possano agire. Di conseguenza, concordare il modo migliore per affrontare le minacce rimane una delle sfide maggiori.
Secondo il report, uno dei rischi considerati più elevato è quello geopolitico. Infatti, il 93% delle imprese informatiche e l’86% delle aziende riterrebbero che è “moderatamente probabile” o “molto probabile” che le tensioni internazionali potrebbero portare a un evento informatico catastrofico nei prossimi due anni.
Analogamente, il 74% dei leader delle organizzazioni afferma che il contesto odierno avrebbe influenzato “moderatamente” o “sostanzialmente” la loro strategia. La garanzia della continuità operativa (67%) e i potenziali danni di immagine (65%) preoccuperebbero più di ogni altro rischio informatico.
Le società intenderebbero rispondere a queste problematiche attraverso il rafforzamento dei controlli per le terze parti con accesso ai loro ambienti e/o dati (rispettivamente 73% e 66%) e rivalutando i Paesi con cui fanno affari (50%).
Per quanto riguarda l’emergere delle nuove tecnologie, la maggior parte dei vertici delle imprese ICT e di quelle generiche percepirebbero questi cambiamenti come un elemento di trasformazione che influenzerà il profilo di sicurezza. Gli intervistati hanno affermato che l’AI e l’apprendimento automatico (20%), l’adozione del cloud (19%) e i progressi nella gestione dell’identità e dell’accesso degli utenti (15%) influiranno sulle proprie strategie nei prossimi due anni.
Un panorama delle minacce più volatile
In merito alle nuove strategie delle cyber gang, è stato riscontrato che il panorama delle minacce è diventato più volatile e che i gruppi hanno continuato ad aumentare il volume di attacchi.
L’aleatorietà, oltre a essere rischiosa, ridurrebbe il tempo per sviluppare una risposta, provocando un costo opportunità per gli esperti di cyber security. I team si troverebbero costretti a ignorare attività strategicamente importanti per affrontare problemi tattici immediati.
I responsabili di sicurezza avrebbero condiviso la convinzione che la varietà degli attacchi sia aumentata significativamente rispetto al 2022 e che gli impatti siano sistemici piuttosto che isolati in un unico ambito.
I risultati delle interviste e dei workshop indicano che le entità che incorporano la gestione del rischio informatico in più parti delle loro attività avrebbero maggiori capacità di sviluppare risposte strategiche ai cambiamenti delle minacce. Ciò migliorerebbe la protezione degli asset e renderebbe le organizzazioni più preparate.
L’apporto delle normative cyber e privacy
Per ciò che concerne la concezione delle normative di cyber security e privacy, il rapporto mostra un cambiamento significativo. L’anno precedente, più della metà degli intervistati considerava le leggi poco efficaci nel ridurre i rischi informatici delle organizzazioni. Le nuove prospettive indicherebbero che il 73% degli intervistati sarebbe d’accordo con la stessa affermazione.
Questa considerazione sarebbe influenzata dal fatto che alcuni elementi delle normative, in particolare per le organizzazioni che operano in più di un Paese, sarebbero ridondanti e sarebbero più incentrate ad attività a garantire la sicurezza.
Tuttavia, l’incremento degli incidenti, delle relative multe, delle indagini e degli scambi tra pubblico e il settore privato hanno aumentato la percezione delle normative come fattore abilitante della resilienza informatica. Anche i dirigenti aziendali e informatici sarebbero favorevoli a un’applicazione efficace dei requisiti normativi: il 76% dei leader delle aziende e il 70% di quelli delle imprese tecnologiche concorderebbero sul fatto che una maggiore applicazione delle norme porterebbe a un aumento della protezione.
Il ruolo strategico della sicurezza informatica
Come accennato, un numero crescente di aziende sta considerando la sicurezza informatica come un elemento essenziale per le proprie strategie, sebbene ancora alcuni dirigenti sottovaluterebbero l’impatto dei cyberattacchi.
Nel 2022, è stato mostrata una disparità nel modo in cui i dirigenti aziendali e quelli informatici hanno descritto l’integrazione della resilienza informatica nelle politiche di gestione del rischio. I risultati dell’indagine 2023 illustrerebbero una riduzione di questo divario, con il 95% dei dirigenti aziendali e il 93% (rispetto al 75% dell’anno prima).
Allo stesso tempo, si sarebbe verificato un mutamento nei comportamenti all’interno delle aziende. Più della metà (56%) dei responsabili informatici incontrerebbe mensilmente, o più frequentemente, quelli aziendali per discutere di sicurezza. Tra gli intervistati che si riuniscono almeno una volta al mese, il 36% sarebbe fiducioso che la propria organizzazione sia resiliente.
Un altro tema comune ai workshop e alle interviste sarebbe stata la nuova tendenza dei responsabili della sicurezza informatica (CISO) a riferire direttamente agli amministratori delegati.
Altrettanto importante per una robusta strategia cyber delle aziende sarebbe l’importanza che queste danno alla sicurezza informatica. Nel 2022 è stato risaltato come i leader del settore cyber percepivano il sostegno delle imprese come un elemento primario.
Le prospettive del 2023 indicherebbero che un terzo di tutti i cyber leader considera ancora il supporto della leadership aziendale come l’aspetto più impegnativo. Il 94%, degli esperti informatici intervistati riterrebbe che il proprio consiglio di amministrazione dovrebbe prestare loro maggiore attenzione.
Per far fronte a questa problematica, il Word Economic Forum ha delineato nel 2021 i Principles for Board Governance of Cyber Risk.
Facilitare la comprensione dei rischio cyber
Al fine di facilitare la comprensione del rischio informatico, i responsabili della sicurezza dovrebbero aiutare i loro consigli di amministrazione a:
- riportare l’impatto del rischio informatico in termini finanziari, economici e operativi, oltre che tecnici;
- allineare la gestione del rischio informatico con le esigenze aziendali, identificando come la resilienza contribuisca a raggiungere gli obiettivi.
Per i leader d’impresa, invece, i principi consigliano di:
- incorporare le competenze di cybersecurity nella governance del consiglio di amministrazione;
- incoraggiare la resilienza sistemica e la collaborazione.
Il reclutamento e la fidelizzazione dei talenti informatici continuerebbero a rappresentare un ostacolo per tutte le organizzazioni, come si evincerebbe dai rapporti 2022 e 2023. Il divario di percezione tra i leader aziendali e quelli del settore cyber, tuttavia, si sarebbe ridotto.
Nell’indagine del 2022, il 10% dei leader del settore cyber leader avrebbe dichiarato di non avere le persone e le competenze necessarie per affrontare un attacco informatico; nessun leader aziendali avrebbe indicato tale carenza.
Le risposte alla stessa domanda nel 2023 mostrerebbero che il 10% dei leader aziendali e il 13% di quelli cyber ritengono di avere carenze critiche di personale qualificato. L’aumento di entrambi i gruppi indicherebbe una maggiore consapevolezza di tale mancanza.
Più della metà dei responsabili delle organizzazioni nei settori che forniscono o fanno un uso di servizi tecnologici avrebbe dichiarato di avere al momento le competenze necessarie. Al contrario, i settori che avrebbero segnalato una mancanza di competenze sono state le infrastrutture critiche.
Al fine di superare queste difficoltà, il Centre for Cybersecurity individua nel potenziamento comunicazione un principio cardine.
Nell’ultimo report, il livello di consapevolezza tra i dirigenti d’azienda avrebbe portato a un aumento delle preoccupazioni, dal 16% al 27%. Questo dato sarebbe dovuto a una migliore comprensione dei danni che possono essere arrecati alle operazioni, alle relazioni commerciali e alla reputazione.
Anche le strutture organizzative giocherebbero un ruolo importante. Come recentemente osservato, solo il 25% di tutti gli intervistati avrebbe indicato che il dirigente più esperto di cybersecurity della propria organizzazione riferisce direttamente all’AD. Tuttavia, altri dirigenti di sicurezza avrebbero sottolineato l’importanza del Chief Information Officer (CIO) come punto di riferimento.
Il Centre for Cybersecurity suggerirebbe che gli approcci per far funzionare questi meccanismi sarebbero molteplici, ma risulterebbe importante che i responsabili della sicurezza abbiano accesso alla leadership delle società.
AAA cyber resilienza cercasi. Così le aziende possono resistere e crescere
Costruire una cultura securitaria
Non meno importante sarebbe lo sviluppo di una cultura securitaria. I team di cyber security possono infatti fornire spunti che aiutino a radicare le metodologie di risposta agli incidenti in un’organizzazione.
Questo approccio consultivo sarebbe impiegabile quando i consigli di amministrazione concedono ai responsabili sicurezza il tempo e lo spazio per agire come consulenti.
La sicurezza dovrebbe concentrarsi su argomenti di ordine superiore, più specializzati rispetto alle operazioni di base. I leader informatici dovrebbero contribuire a redigere requisiti di cyber security che le imprese possano incorporare nei KPI.
Infine, un’altra azione fondamentale sarebbe quella di espandere la platea di esperti. Il deficit tra domanda e offerta di risorse è stato stimato in 2,27 milioni nel 2021.
Attualmente, le organizzazioni competerebbero per i talenti offrendo stipendi più alti. Questa situazione esacerberebbe la carenza di personale creando un elevato passaggio di esperti da un’azienda a un’altra.
Sarebbe perciò necessario aumentare la forza lavoro, facendo leva anche nelle soft skill dei laureati nelle discipline non STEM.
Una ricerca condotta nel 2021 dal WEF ha consigliato come chiavi per attrarre e mantenere una risorse qualificate:
- assicurarsi che i leader sostengano la diversità, l’equità e inclusione;
- creare opportunità per tutti di scrivere e parlare in pubblico;
- creare uno spazio sicuro e valorizzare tutti i contributi;
- privilegiare le opportunità a livelli organizzativi superiori.
