Continua e si accentua l’incubo degli attacchi informatici. Con l’escalation delle guerre è cyber-emergenza globale, ma anche per Pubblica amministrazione, infrastrutture e aziende italiane, incluse le piccole-medie imprese. Se già il 2023 era stato caratterizzato da un allarmante +65% di violazioni informatiche nel nostro Paese secondo quanto riporta il rapporto Clusit 2024, ancora più pessimistiche sono le previsioni degli esperti per questo e per i prossimi anni, nei quali la situazione è drammaticamente peggiorata a causa dei grandi conflitti che, come noto, si traducono anche in guerre informatiche atte a colpire o destabilizzare uno o più paesi e le loro infrastrutture ed economie.
“Si pensi che solo negli USA secondo Cybersecurity Ventures entro il 2031 si arriverà a un nuovo attacco a un consumatore o un’azienda ogni 2 secondi per danni stimabili in 260-300 miliardi di dollari “e tutti questi studi e ricerche”, annota Andrea Marchi, Cyber & Information Security Expert dello studio legale multinazionale Rödl & Partner presente in 50 paesi nel mondo tra cui l’Italia, “non calcolano l’attuale terribile scenario di guerra globale che certamente avrà sul web uno dei suoi punti di impatto. E oltre ai drammatici conflitti anche l’adozione sempre più diffusa ed entusiastica dell’intelligenza artificiale da parte di aziende e organizzazioni potrebbe esporre a nuove vulnerabilità, mettendo a rischio le difese informatiche di stati, aziende e infrastrutture”.
Questa ultima affermazione è stata confermata anche da un recente report Kaspersky secondo il quale solo il 59% di manager si preoccupa delle fughe di dati legate all’IA, a seguito di attacchi informatici, e appena il 22% ha pensato di regolamentarne l’utilizzo, al contempo, il 24% identifica l’IT e la cybersecurity come i principali settori da automatizzare.
In questo scenario il 77% delle aziende europee, sempre secondo Kaspersky, ha subito almeno un incidente informatico negli ultimi due anni “e – sottolinea il cyber-esperto di Rodl & Partner – a questo fenomeno contribuiscono anche una certa mancanza di attenzione e consapevolezza da parte delle aziende e, in particolare, dei singoli dipendenti”.
Si calcola che solo il 35% delle aziende utilizza tecniche di attack surface management per misurare il rischio della superficie di attacco e solo il 34% è conforme agli standard di settore comprovati, come l’ISO27001 o il NIST, ovvero l’insieme di linee guida volontarie progettate per aiutare le organizzazioni a valutare e migliorare la propria capacità di prevenire, rilevare e rispondere ai rischi di sicurezza informatica (dati Trend Micro).
Dipendenti e smart-worker potenziali “falle”, le aziende spesso deficitarie in formazione ad hoc contro gli attacchi informatici
Ma al netto di tutte le precauzioni tecniche che possano essere attivate per scongiurare o quantomeno limitare i danni degli attacchi informatici, sembrerebbe che il fattore umano sia una delle cause determinanti, tanto stando allo studio Voice of the CISO 2024 di Proofpoint il 74% dei Chief Information Security Officier, cioè i responsabili della sicurezza informatica, ritiene che dipendenti e collaboratori rappresentino la più grande minaccia per la sicurezza informatica aziendale, dato avvalorato da IBM secondo cui l’errore umano sarebbe addirittura causa principale del 95% delle violazioni della sicurezza informatica.
“È importante ricordare”, sottolinea Andrea Marchi di Rödl & Partner, “che ogni dipendente ha un ruolo cruciale nella protezione della sicurezza dei sistemi e dati aziendali dagli attacchi informatici. In particolare, gli smart-worker è bene che stiano attenti a rispettare pedissequamente il regolamento IT e tutte le procedure di sicurezza aziendale: un approccio attento e responsabile non solo protegge l’azienda, ma aiuta anche i singoli ad evitare complicazioni”.
“D’altro canto, bisogna tenere presente però”, chiarisce l’esperto, “che molte aziende possono trovarsi in difficoltà nel soddisfare gli obblighi di formazione dei dipendenti in materia di cybersicurezza. È possibile che le norme o le procedure di sicurezza siano talvolta poco chiare o disorganiche, oppure, peggio ancora, che il dipendente lavori dal suo PC personale proprio su richiesta del datore di lavoro. Queste pratiche possono comportare rischi significativi. Tali inadeguatezze possono portare a problematiche con conseguenze molto dannose per l’impresa stessa, che vanno dalla potenziale interruzione delle attività, alla responsabilità nei confronti di terzi, come clienti e fornitori, sui dati trafugati, alla possibile estorsione di denaro per il ripristino dei dati compromessi o per la loro non divulgazione nel dark web. Investire in una formazione adeguata e in attività di sensibilizzazione, insieme a procedure chiare, è essenziale per proteggere sia i dipendenti che l’intera organizzazione”.
