E’ giunto alla sua quarta edizione il Cybersecurity Report del CIS datato 2016.
Come ogni anno il documento è realizzato dal CIS-Sapienza, il centro di ricerca di cyber intelligence e information security diretto da Roberto Baldoni, nodo centrale del Laboratorio Nazionale di Cyber Security del CINI.
Il documento quest’anno si è focalizzato su micro e piccole imprese, cioè quelle che “non hanno le risorse sufficienti” per adottare strumenti di protezione complessi, come il Framework Nazionale per la Cybersecurity, argomento del report del CIS dello scorso anno. Non hanno risorse e strumenti per mettere in sicurezza i propri sistemi e dati ma comunque sono parte di filiere produttive che dipendono dalla loro operatività e dalla qualità dei loro prodotti, minacciata quotidianamente da attacchi informatici.
Le nostre imprese sono infatti sotto attacco, concetto diverse volte ribadito nel corso dell’evento, citando un paper recentissimo di Banca d’Italia (1): nel 2016 quasi 1 azienda su 2 ha subito danni da attacchi informatici.
Il CIS propone uno strumento per queste imprese: 15 Controlli Essenziali di Cybersecurity corredati da un guida all’implementazione degli stessi. I Controlli sono derivati dal Framework Nazionale per la Cybersecurity, ma sono semplificati al massimo, nonché reduci da una consultazione pubblica che ha raccolto commenti e proposte di emendamento da esperti, da dirigenti e proprietari d’impresa.
I proprietari delle piccole imprese possono quindi comprenderli e, supportati dai propri tecnici, chiederne l’implementazione, sensibilizzati dagli esempi di incidenti presenti nel report stesso. Il report presenta anche una stima dei costi di questi controlli, così da dare agli imprenditori un’idea del budget necessario per iniziare a mettersi in sicurezza. Costi che sembrerebbero di gran lunga inferiori al danno stimato, tra gli altri, da Kaspersky lab (2), testimoniando che la cybersecurity sta realmente diventando un investimento.
Come ogni anno il report si conclude con delle proposte utili per preparare le imprese ai trend evolutivi della minaccia cyber. Per le piccole e micro imprese si suggerisce di investire in formazione, un nuovo tipo di formazione, necessario per chiunque in azienda possa accedere a dispositivi che direttamente o indirettamente possono raggiungere gli asset dati aziendali. Ai dirigenti delle imprese si raccomanda di far sì che il rischio cyber prenda il dovuto posto nei processi di enterprise risk management. Questo consentirebbe di aumentare la consapevolezza dei dirigenti con una naturale conseguenza sulla loro propensione a fornire budget per la sicurezza. Si ricorda infine che non esisteranno mai prodotti “all in one” che mettano tutto al sicuro, quindi il processo di messa in sicurezza delle imprese deve necessariamente essere interno.
Le raccomandazioni poi mirano agli enti governativi, suggerendo di valutare la certificazione dei controlli essenziali. Qualcosa già esplorato nel Regno Unito a partire dal 2014 e reso obbligatorio per chiunque intenda offrire servizi alla pubblica amministrazione. Il risultato è che tutta la filiera della PA del Regno Unito si è dovuta porre il problema della cybersecurity e prendere le dovute precauzioni. Questo avrebbe un grande impatto anche in Italia, oltre a creare dei nuovi mercati per i fornitori di servizi di cybersecurity.
Altra raccomandazione suggerisce un meccanismo di sgravi fiscali o incentivi per i virtuosi. Questi infatti, avendo deciso di investire, rendono il Paese più robusto e il PIL più al sicuro. Una politica di incentivi sarebbe un aiuto fattivo per tutta l’economia italiana e per la sicurezza nazionale, ai blocchi di partenza verso una nuova rivoluzione industriale, verso l’industria 4.0, che vede il rischio cyber al primo posto.
