La trasformazione digitale comporta la creazione di un sistema iper-connesso, di sistemi a loro volta iper-connessi tra loro, gestiti da tutti ma controllati da nessuno, dove l’apprendimento a partire dai dati è costante e le vulnerabilità sono in continua evoluzione, e dove le opportunità legate alle frodi e alla criminalità informatica abbondano.
Da una maggiore digitalizzazione derivano maggiori rischi
Oggi il marketing dedica alla tecnologia sempre più risorse nel tentativo di creare un’esperienza cliente omni-canale, in un mercato che ha raggiunto i 100 miliardi di dollari. La maggior parte di queste aziende sceglie di offrire i propri strumenti principalmente come servizi basati sul cloud.
In questo contesto, negli ultimi cinque anni, abbiamo assistito a un enorme sviluppo e diffusione di nuove tecnologie cloud, create per rendere il coinvolgimento dei clienti sempre più personalizzato e puntuale. Dagli scambi di dati in tempo reale all’analisi predittiva, al geo targeting mobile, all’attribuzione avanzata, al commercio digitale fino alla realtà aumentata.
Oggi viviamo in un mondo in cui ogni cliente lascia il proprio “data footprint”, e tutto avviene in un contesto di apprendimento continuo.
Mediamente, le aziende implementano 91 servizi marketing in cloud (MarTech) a supporto della propria trasformazione digitale. Tutti sono collegati tra loro tramite un patchwork di API come un’infrastruttura virtuale nel cloud, funzionando con una rapidità impressionante generando quello che viene definito uno “shadow IT”.
Il 75% dei responsabili IT dichiara che il proprio dipartimento marketing ha consapevolmente creato lo shadow IT per raggiungere i propri obiettivi più rapidamente.
Come per la sicurezza informatica, anche nel campo del MarTech la disponibilità di competenze e giovani talenti è un problema. Per questo le organizzazioni si affidano a terze parti, che a loro volta si appoggiano alla loro rete di terze parti, e uniscono i vari pezzi attraverso API o lo sviluppo personalizzato, in modo da far sì che tutto sia sempre operativo.
È come trovarsi di fronte a una porta girevole di fornitori e consulenti con un susseguirsi continuo di progetti che durano 2-3 anni, tutti con livelli disomogenei di rispetto delle policy di accesso e dati.
Un’esperienza cliente omni-channel permette di raggiungere l’obiettivo desiderato, ma apre anche le porte a un nuovo livello di vulnerabilità; più accessi non autorizzati, una maggiore esposizione dei dati e decisamente più rischi legati alle terze parti. Inoltre, se si considera che oltre la metà delle aziende MarTech ha meno di tre anni, si ha a che fare con tutta una serie di questioni legate all’essere una startup nel cloud – come il bug fixing nello sviluppo open source.
Se, infine, consideriamo che solo il 10% delle imprese conduce un assesment di sicurezza prima di implementare nuovi strumenti, è possibile comprendere la portata del problema.
Un recente studio RSA ha rilevato come il 73% dei responsabili IT dichiari di non monitorare i servizi cloud e, una maggioranza significativa, sia convinta che il prossimo evento di sicurezza da affrontare verrà generato proprio dall’area marketing, come già successo in passato.
Il rischio di esposizione dei dati oggi è quindi molto più elevato e le organizzazioni non sono pronte a rispondere su tutti i fronti (dalla sicurezza, all’ufficio legale etc.), perché se da una parte l’infrastruttura applicativa multi-cloud è gestita da tutti, dall’altra alla fine rischia di non essere controllata da nessuno!
È ormai evidente che aumentando il livello di digitalizzazione, aumenta anche il livello di rischio. Per questo motivo anche gli enti regolatori stanno diventando digitali. Da questo punto di vista, il 2018 è stato un anno importante per la protezione dei dati digitali e la privacy in tutto il mondo, spesso sotto la spinta del GDPR europeo.
La maggiore consapevolezza del pubblico su questi temi mette al centro il rischio per la reputazione del brand nel momento in cui la fiducia viene violata. Le dinamiche che hanno visto coinvolte le Big Tech in questi ultimi anni hanno dimostrato, infatti, non solo che i nostri dati possono essere rubati, ma che potrebbero essere anche manipolati. E improvvisamente, la Big Tech si trasforma nel “Grande Fratello”.
Il primo paradosso della fiducia digitale
Per creare un’esperienza digitale coinvolgente capace di generare maggiore confidenza e fiducia, è necessario costruire un profilo digitale del proprio cliente, che se compromesso diventa la fonte primaria di danno.
Un secondo esempio eclatante riguarda lo sviluppo rapido delle smart city. L’obiettivo della città intelligente è ambizioso: sviluppare un centro urbano sostenibile in cui i cittadini possano prosperare. Le città maggiormente visionarie si stano avvicinando a questo modello e stanno già rapidamente adottando tecnologie all’avanguardia come il 5G, che aiuterà a velocizzare questo sviluppo.
In queste città, l’apprendimento automatico, l’adozione del mobile e la proliferazione dei sensori aggiungono intelligenza alle infrastrutture fisiche, civiche e sociali. I dati in tempo reale su traffico, pubblica sicurezza, condizioni meteorologiche o inquinamento aiuteranno a fornire risposte immediate. Le città useranno in modo più efficiente l’energia, le risorse e gli investimenti e le persone saranno in grado di prendere decisioni maggiormente consapevoli per migliorare la qualità generale della propria vita; e tutto contribuirà a offrire una migliore esperienza al cittadino.
Queste città potranno creare ambienti in cui l’ecosistema privato e pubblico si uniscono per portare innovazione, in modo da affrontare temi di valore a livello pubblico come la telemedicina. Contesti nei quali, però, diventerà indispensabile affidarsi a terze parti, capaci di fornire rapidamente le nuove competenze necessarie, abilitare nuovi flussi di lavoro e nuovi modi di collaborare.
Terze parti che, ancora una volta, introdurranno un’ulteriore rete di fornitori e vendor che porteranno di conseguenza a nuovi rischi e pratiche di sicurezza incoerenti. Inoltre, man mano che le città integreranno i sistemi digitali connessi con le infrastrutture locali, genereranno nuovi percorsi a disposizione dei potenziali malintenzionati.
Il paradosso digitale del futuro sarà avere quindi delle città intelligenti iper-connesse, gestite da tutti ma non controllate da nessuno.
Le città intelligenti richiederanno un rilevamento delle minacce più avanzato nel cloud, dalle infrastrutture core fino al livello dell’edge, e per essere in grado di reagire ad eventuali attacchi dovranno unire a tutto questo i protocolli globali di risposta alle violazioni e una strategia integrata di risk management.
Dovranno, inoltre, raccogliere ingenti quantità di dati, che devono essere archiviati, catalogati, analizzati e protetti. Oltre alle strategie di mitigazione del rischio, le amministrazioni cercheranno modi per trasferire i rischi nel loro ecosistema e cercare iniziative di cyber policy che contribuiscano a rafforzare la sicurezza oltre i confini e la collaborazione tra pubblico e privato.
Ecco quindi il secondo esempio di paradosso della digital trust: l’amministrazione locale cerca di generare un clima di fiducia all’interno della comunità che stimoli l’utilizzo della tecnologia per il bene di tutti, ma aumentano i rischi che i dati e le informazioni dei cittadini vengano persi o abusati, tutto ciò potrà avere ripercussioni sulla fiducia dei cittadini stessi, non solo ostacolando l’adozione della tecnologia ma anche gli obiettivi di sostenibilità più ampi.
In conclusione, ritengo che il rischio digitale introduca una portata, una velocità e una scalabilità che non abbiamo ancora del tutto compreso.
4 step da seguire
Per questo è necessario, in primo luogo, adottare un approccio unificato al rischio digitale che prenda in considerazione l’intero ecosistema di rischio a partire dalle terze parti più vicine, e implementando il monitoraggio persistente della sicurezza delle terze parti, la conformità continua dei dati e il controllo dinamico degli accessi per armonizzare le esigenze legate ai cambiamenti della forza lavoro con le necessità di accesso dei vendor.
In secondo luogo, bisogna costruire la gestione del rischio digitale dall’inizio, a partire dal processo di business, dai protocolli, dai flussi di lavoro e dalle analitiche aziendali, in modo da pianificare la misurazione dell’esposizione al rischio ed essere pronti a collegare gli eventi al contesto aziendale.
In terzo luogo, bisogna creare un programma di gestione del rischio informatico che non si fermi al SOC (security operation center) ma lo affianchi per favorire la risposta e la mitigazione del rischio cyber nell’intera azienda.
Infine, la ricerca e formazione dei nuovi talenti non deve essere sottovalutata perché è necessario accompagnare una valida iniziativa di trasformazione digitale con un consistente programma di sviluppo delle digital skill e di formazione dei nuovi talenti, per supportare la nascita di una nuova generazione di professionisti della sicurezza e del rischio.
