Il tema delle minacce cyber e della sicurezza informatica delle PMI è ancora più di attualità dopo l’inizio del conflitto in Ucraina.
Ne parliamo in questo episodio di #define banking con Vincenzo Carolla, Managing Partner di IMC Group.
AG. Il conflitto in Ucraina vede tra i protagonisti anche gruppi di hacker e cyber criminali su entrambi i fronti. E questa situazione rischia di aggravare il contesto delle minacce informatiche, già di per sé in continua evoluzione. Che cosa dobbiamo aspettarci per il prossimo futuro?
VC. Tutti i paesi del mondo risultano sempre più connessi e relazionati non solo dal punto di vista economico e finanziario, ma soprattutto da quello tecnologico. Le tecnologie informatiche consentono oggi infatti di accedere in tempo reale a qualunque infrastruttura, ovunque.
Questo è un’opportunità, pensiamo al monitoraggio remoto di un ATM o di un impianto produttivo, ma ci escpone anche a rischi legati ad accessi fraudolenti e non autorizzati.
Oggi la guerra condotta a livello di sabotaggio di infrastrutture è all’ordine del giorno. E gioiamo quando questi attacchi sono portati avanti in difesa di valori da noi condivisi, ma dobbiamo ricordarci che c’è anche chi sferra questi attacchi solo per vantaggio personale e per arrecare danno.
Mi aspetto un’intensificazione delle minacce cyber, accompagnata quasi certamente da un’evoluzione dei sistemi di mitigazione di gestione del rischio informatico.
AG. Il rischio informatico è, purtroppo, solo una delle preoccupazioni delle nostre imprese in questo momento. Quali possono essere i maggiori pericoli cyber, oggi, per le aziende italiane?
VC. Guardiamo ai principali report per capire lo scenario. Nel mondo, e quindi anche in Europa e in Italia, è in crescita il numero di attacchi informatici. Negli ultimi due anni circa il 40% delle aziende nel mondo ha dichiarato di avere subito attacchi informatici.
Le minacce più frequenti sono legate al furto di credenziali, al phishing, al malware, alla condivisione impropria di file o di documenti, alla violazione dei dati.
Tutti punti di attenzione per le aziende. Molte realtà italiane, lo scorso anno, hanno valutato il rischio cyber come più importanti di altri, compresi la catena di approvvigionamento, il cambiamento climatico e la pandemia.
Anzi, alcuni di questi temi hanno amplificato l’importanza del rischio cyber. Pensiamo al lockdown e alla necessità di fare lavorare le persone in telelavoro, allestendo infrastrutturein emergenza.
L’attuale facilità di accesso a internet, quasi per ogni scopo, espone a un rischio maggiore di essere attaccati sulle proprie infrastrutture.
AG. L’Unione Europea, anche su questo, inizia a muoversi più all’unisono. Negli ultimi mesi abbiamo visto diverse novità. E il Consiglio Europeo ha recentemente sottolineato che la sicurezza informatica è essenziale per costruire un’Europa resiliente green e digitale. Vedi anche tu un cambiamento di passo della UE su questo fronte? E che opportunità offre alle aziende?
VC. Il cambio di passo dell’Unione Europea è ormai visibile a tutti. Per quanto riguarda le nuove disposizioni sulla sicurezza informatica, a mio parere non potranno che essere positive.
Avere un quadro normativo europeo di riferimento, quindi regole valide in tutta Europa, aiuta certamente a indirizzare regole di comportamento affini tra i diversi paesi. Quindi misurabili, analizzabili su larga scala.
E questo aiuterà a intercettare comportamenti non corretti, a mettere a fattor comune una classificazione delle possibili minacce e, quindi, di azioni di mitigazione comuni.
È particolarmente interessante la possibilità di intercettare, anche in modo predittivo, l’insorgenza di nuovi fenomeni. La maggiore difficoltà in questo contesto cyber è infatti capire quali sono le nuove, possibili minacce e mettere a fattor comune le informazioni dei diversi Paesi è essenziale.
Gli strumenti di investimento comuni europei consentono poi di affrontare gli investimenti tecnologici, in competenze e in infrastrutture, per irrobustire le aziende e renderle resilienti alle nuove sfide.
AG. Mettiamoci nei panni di un imprenditore e di una PMI che vuole proteggersi, per quanto possibile, dal rischio informatico. Che consiglio possiamo dargli?
VC. Il primo è sicuramente definire un framework per la gestione del rischio a 360 gradi, per cogliere i diversi punti di vista. Un framework è un insieme di regole, di metodologie di valutazione, di processi, di responsabilità e di strumenti che serve a diffondere e coltivare la cultura del rischio in azienda.
Va identificato il perimetro, e quindi le risorse interne all’azienda che possono essere impattate dagli eventi rischiosi. E vanno identificati i fattori casuali, che cosa può portare al verificarsi di un dato rischio.
E poi vanno definiti i controlli e le azioni di mitigazione da mettere in campo.
Un ulteriore aspetto, che deve procedere in parallelo coi precedenti, è sviluppare la cultura del rischio in azienda, con una formazione specifica, attività di coaching, piattaforme tecnologiche.
La gestione integrata del rischio deve aprirsi a sistemi di gestione predittiva, cioè che analizzando variabili esogene ed endogene al fine di stimare, attraverso modelli matematici supportati anche dall’intelligenza artificiale, la probabilità che un certo fenomeno stia per accadere.
Tutti questi aspetti possono essere calati all’interno della PMI in fuznione del proprio livello di maturità nell’utilizzo delle tecnologie digitali e della dimensione aziendale.
AG. Tra gli strumenti a disposizione degli imprenditori ci sono anche le polizze cyber, che nel nostro Paese incominciano a prendere piede
VC. Le aziende del settore assicurativo e bancario si sono immediatamente strutturate per creare dei prodotti assicurativi, spesso e volentieri ad hoc per le esigenze aziendali, che vanno a coprire il rischio di attacco cyber.
Le aziende possono trovare il prodotto che meglio si addice alla loro struttura anche in funzione di quello che è il livello di digitalizzazione dell’impresa stessa.
Molte realtà ad esempio si sono orientate verso il cloud. In questo caso, i rischi vengono trasferiti al provider, che deve mettere a punto tutte le misure per mitigare l’attacco informatico.
Questo permette all’azienda di sottoscrivere una polizza assicurativa solo per la parte di sua diretta responsabilità, a un costo sostenibile.
