Questo sito utilizza cookie per raccogliere informazioni sull'utilizzo. Cliccando su questo banner o navigando il sito, acconsenti all'uso dei cookie. Leggi la nostra cookie policy.OK

Direttore responsabile Alessandro Longo

sicurezza

Come evitare che le piccole aziende mettano a rischio la sicurezza dell’Italia

di Roberto Baldoni, Facoltà di Ingegneria dell'Informazione Uniroma1 e Luca Montanari, Uniroma1

10 Mar 2017

10 marzo 2017

15 controlli semplificati al massimo che possono essere implementati facilmente anche da quelle imprese con budget troppo limitati per adottare strumenti di protezione complessi: proposte utili per preparare le imprese ai trend evolutivi della minaccia cyber.

E’ giunto alla sua quarta edizione il Cybersecurity Report del CIS datato 2016.

Come ogni anno il documento è realizzato dal CIS-Sapienza, il centro di ricerca di cyber intelligence e information security diretto da Roberto Baldoni, nodo centrale del Laboratorio Nazionale di Cyber Security del CINI.

Il documento quest’anno si è focalizzato su micro e piccole imprese, cioè quelle che “non hanno le risorse sufficienti” per adottare strumenti di protezione complessi, come il Framework Nazionale per la Cybersecurity, argomento del report del CIS dello scorso anno. Non hanno risorse e strumenti per mettere in sicurezza i propri sistemi e dati ma comunque sono parte di filiere produttive che dipendono dalla loro operatività e dalla qualità dei loro prodotti, minacciata quotidianamente da attacchi informatici.

Le nostre imprese sono infatti sotto attacco, concetto diverse volte ribadito nel corso dell’evento, citando un paper recentissimo di Banca d’Italia (1): nel 2016 quasi 1 azienda su 2 ha subito danni da attacchi informatici.

Il CIS propone uno strumento per queste imprese: 15 Controlli Essenziali di Cybersecurity corredati da un guida all’implementazione degli stessi. I Controlli sono derivati dal Framework Nazionale per la Cybersecurity, ma sono semplificati al massimo, nonché reduci da una consultazione pubblica che ha raccolto commenti e proposte di emendamento da esperti, da dirigenti e proprietari d’impresa.

I proprietari delle piccole imprese possono quindi comprenderli e, supportati dai propri tecnici, chiederne l’implementazione, sensibilizzati dagli esempi di incidenti presenti nel report stesso. Il report presenta anche una stima dei costi di questi controlli, così da dare agli imprenditori un’idea del budget necessario per iniziare a mettersi in sicurezza. Costi che sembrerebbero di gran lunga inferiori al danno stimato, tra gli altri, da Kaspersky lab (2), testimoniando che la cybersecurity sta realmente diventando un investimento.

Come ogni anno il report si conclude con delle proposte utili per preparare le imprese ai trend evolutivi della minaccia cyber. Per le piccole e micro imprese si suggerisce di investire in formazione, un nuovo tipo di formazione, necessario per chiunque in azienda possa accedere a dispositivi che direttamente o indirettamente possono raggiungere gli asset dati aziendali. Ai dirigenti delle imprese si raccomanda di far sì che il rischio cyber prenda il dovuto posto nei processi di enterprise risk management. Questo consentirebbe di aumentare la consapevolezza dei dirigenti con una naturale conseguenza sulla loro propensione a fornire budget per la sicurezza. Si ricorda infine che non esisteranno mai prodotti “all in one” che mettano tutto al sicuro, quindi il processo di messa in sicurezza delle imprese deve necessariamente essere interno.

Le raccomandazioni poi mirano agli enti governativi, suggerendo di valutare la certificazione dei controlli essenziali. Qualcosa già esplorato nel Regno Unito a partire dal 2014 e reso obbligatorio per chiunque intenda offrire servizi alla pubblica amministrazione. Il risultato è che tutta la filiera della PA del Regno Unito si è dovuta porre il problema della cybersecurity e prendere le dovute precauzioni. Questo avrebbe un grande impatto anche in Italia, oltre a creare dei nuovi mercati per i fornitori di servizi di cybersecurity.

Altra raccomandazione suggerisce un meccanismo di sgravi fiscali o incentivi per i virtuosi. Questi infatti, avendo deciso di investire, rendono il Paese più robusto e il PIL più al sicuro. Una politica di incentivi sarebbe un aiuto fattivo per tutta l’economia italiana e per la sicurezza nazionale, ai blocchi di partenza verso una nuova rivoluzione industriale, verso l’industria 4.0, che vede il rischio cyber al primo posto.

(1) N. 373 – Attacchi informatici: evidenze preliminari dalle indagini della Banca d’Italia sulle imprese, https://www.bancaditalia.it/pubblicazioni/qef/2017-0373/index.html
(2) Kaspersky Lab – Global IT Security Survey http://media.kaspersky.com/en/ business- security/it- security- risks- survey- 2015.pdf

Articoli correlati