Il rischio cyber è una delle minacce maggiormente temute dalle aziende. Recenti indagini hanno stimato in 575 miliardi di dollari all’anno il costo complessivo sostenuto dalle aziende a livello globale per gestire attacchi cyber e in 800 milioni le vittime di “cyber attack” a livello globale. In questo contesto la nuova sfida per le imprese si chiama cyber resilience. A spiegare a CorCom di cosa si tratta e come vincerla è Alessandro De Felice, Presidente di Anra (Associazione Nazionale dei Risk Manager e Responsabili Assicurazioni Aziendali).
Cosa si intende precisamente per cyber resilience?
Per Cyber Resilience si intende la costante analisi della capacità di resistenza di fronte alle minacce e la tensione nel cercare di recuperare lo status quo precedente all’evento emergenziale, adattandosi alla nuova condizione e trovando eventualmente modalità alternative di comportamento, di operatività e di funzionamento del business. Si tratta di in tema che deve essere introdotto nelle strategie di impresa. Secondo un sondaggio da Marsh in collaborazione con DRII (Disaster Recovery Institute International), la resilienza dei sistemi informativi gioca un ruolo fondamentale nel raggiungimento degli obiettivi di business, e il loro malfunzionamento può avere un impatto importante sulla reputazione aziendale. Del resto gli scenari indicati dai partecipanti tra i più severi e probabili sono tutti legati al mondo informatico: danni alla reputazione causati da una violazione/furto di dati sensibili (impatto 79% – probabilità 79%), malfunzionamento al Data Center IT (59% – 77%), indisponibilità di servizi online a causa di un attacco cyber (58% – 77%).
La posta in gioco è alta.
Altissima, ne va infatti dell’operatività di un’azienda, ma anche dei suoi risultati e della sua reputazione. Per questo, diventa ancora più urgente lavorare sulle discrepanze che emergono se si confrontano le risposte di ceo e Risk Manager nel sondaggio effettuato da Marsh: i ceo sovrastimano i livelli di protezione assicurativa dei rischi da loro stessi valutati come più severi: il 28% infatti ritiene di disporre già di una specifica copertura assicurativa contro gli attacchi informatici; il 21% ha affermato di disporre anche di una copertura assicurativa per i danni alla reputazione a seguito di un data breach. Di opinione nettamente diversa sono i risk manager che, solo nel 6% dei casi, ritengono di avere coperture dedicate a questi due rischi.
Esiste una forma di protezione “totale” dagli attacchi?
Assicurare una protezione totale dai rischi informatici è impossibile, poiché nessun sistema è impenetrabile. Per una difesa efficace bisogna, quindi, saper prevedere una struttura plurifunzionale che potenzi il sistema di risk management aziendale e favorisca lo sviluppo delle capacità di resilienza dell’organizzazione.
Nella pratica cosa dovrebbero fare le imprese per diventare cyber-resilienti?
Sono quattro i pilastri su cui fondare la strategia. Preparazione: ovvero una fase che prevede i seguenti step: individuare gli asset fondamentali dell’impresa, sviluppare la capacità di affrontare diversi livelli di rischio, stabilire un corretto risk appetite, integrare il risk management nella struttura aziendale; protezione per raggiungere la quale è necessario: garantire l’immediatezza della reazione ad un evento avverso, e fare in modo che sia uno schema solido e ripetibile; condurre attente valutazioni delle minacce, con controlli accurati e azioni investigative nei confronti delle terze parti coinvolte; potenziare la gestione sinistri e promuovere l’educazione e la formazione del personale, se possibile anche con esercizi di simulazione; analisi, promuovendo lo sviluppo e l’aggiornamento continuo delle capacità di monitoraggio e rilevamento di anomalie e minacce. Infine lo sviluppo attraverso la creazione di un database completo degli incidenti, una “memoria storica” dell’azienda che sia da supporto all’attività formativa e consenta di affrontare con maggiore esperienza gli accadimenti futuri.
