I computer quantistici sono in grado di risolvere in tempi ragionevoli problemi di calcolo attualmente ritenuti impossibili per i computer tradizionali. E, in questo senso, il calcolo quantistico può offrire vantaggi significativi al sistema finanziario. Allo stesso tempo è innegabile che ponga anche rischi per la sicurezza informatica. Eventuali attori della minaccia potrebbero infatti utilizzare i computer quantistici per superare le tecniche crittografiche che proteggono le comunicazioni e i sistemi informatici, violando la riservatezza e l’integrità dei dati delle entità finanziarie, comprese le informazioni sui clienti.
Il paper del comitato di esperti cyber del G7
In questo contesto G7 Cyber Expert Group (Ceg) ha pubblicato un documento per evidenziare i potenziali rischi per la cybersicurezza associati agli sviluppi dell’informatica quantistica.
Nel documento si incoraggiano le autorità e le istituzioni finanziarie a intraprendere un percorso di migrazione sicura verso l’informatica quantistica, attraverso misure volte a:
- accrescere la consapevolezza dei rischi connessi con le tecnologie emergenti;
- valutare, ciascuno nell’ambito delle proprie aree di responsabilità, i rischi connessi con l’informatica quantistica;
- elaborare piani d’azione per attenuare i rischi associati agli sviluppi di questa tecnologia innovativa.
Bilanciare i rischi per l’economia globale
“Il Ceg del G7 mira a sostenere l’uso responsabile delle tecnologie emergenti come il cloud, l’intelligenza artificiale e la quantistica nel settore finanziario, bilanciando al contempo i rischi per l’economia globale – spiega Todd Conklin, vice assistente segretario del Tesoro Usa per la cybersecurity e la protezione delle infrastrutture critiche, co-presidente del Ced del G7 – Gli esperti informatici di tutto il settore finanziario hanno sviluppato piani di innovazione quantistica e di resilienza. Dunque è fondamentale che ottengano il supporto necessario per l’implementazione. Il G7 Ceg ritiene che la pianificazione della transizione quantistica sia importante per la sicurezza economica e la prosperità e incoraggia fortemente le istituzioni finanziarie a fornire finanziamenti e altre risorse necessarie per sostenerla”.
Cos’è il G7 Ceg
Il G7 Ceg comprende rappresentanti delle autorità finanziarie di tutti i paesi del G7 e dell’Unione Europea. La task force è stata fondata nel 2015 per fungere da gruppo di lavoro pluriennale che coordina la politica e la strategia di sicurezza informatica in tutte le giurisdizioni membri. Oltre al coordinamento delle politiche, il G7 Ceg funge anche da veicolo per la condivisione delle informazioni, la cooperazione e la risposta agli incidenti.
Cybersecurity, aziende nel guado
Trend Micro lancia l’allarme gestione sicurezza informatica. Secondo lo studio “Underfunded and unaccountable: How a lack of corporate leadership is hurting cybersecurity” , solo un’organizzazione su tre è in grado di gestire la sicurezza informatica 24 ore su 24. La maggior parte delle aziende, inoltre, non dispone di risorse sufficienti e del supporto dei vertici aziendali per poter intercettare e mitigare al meglio le minacce che colpiscono la propria infrastruttura
Entrando nel dettaglio solo il 36% del campione dispone di personale sufficiente per garantire la copertura della sicurezza informatica 24 ore su 24, 7 giorni su 7, tutto l’anno. Solo il 35% utilizza tecniche di attack surface management per misurare il rischio della superficie di attacco. Infine solo il 34% è conforme a quadri normativi comprovati, come ad esempio il Nist.
L’incapacità, della maggior parte delle aziende, di soddisfare questi requisiti fondamentali di sicurezza, potrebbe essere correlata a una mancanza di leadership e responsabilità dei vertici dell’organizzazione. La metà (48%) degli intervistati ha, infatti, affermato che i responsabili aziendali non considerano la sicurezza informatica un loro compito. Alla domanda su chi abbia o dovrebbe avere la responsabilità di mitigare il rischio aziendale, le risposte hanno indicato una mancanza di chiarezza sulle linee guida. Il 31% ha però affermato che la responsabilità spetterebbe ai team IT.
La mancanza di una direzione certa sulla strategia di sicurezza informatica potrebbe essere il motivo per cui oltre la metà (54%) degli intervistati si è lamentata dell’atteggiamento della propria organizzazione nei confronti del rischio informatico, indicato come incoerente e variabile a seconda del periodo (54%).
La mancanza di una strategia chiara in ambito cyber può influenzare negativamente la capacità di un’organizzazione di prendere decisioni rapide e coerenti.
“È importante che i Chief Information Security Officer (Ciso) comunichino i rischi informatici con chiarezza, utilizzando tutti gli strumenti a disposizione e coinvolgendo attivamente i Consigli di Amministrazione – spiega Alessandro Fontana, Country Manager di Trend Micro Italia – Per affrontare al meglio queste sfide, le aziende dovrebbero prendere in considerazione l’adozione di una soluzione integrata. Tale soluzione non solo deve proteggere l’intera superficie di attacco, ma anche permettere un monitoraggio dei rischi in tempo reale e una gestione automatizzata delle criticità. Questo approccio rafforza notevolmente la resilienza dell’organizzazione ed è inoltre cruciale che la piattaforma sia integrabile con soluzioni di terze parti, per garantire una protezione completa e una gestione più fluida della sicurezza”.
Il nodo cloud
Check Point segnale invece che a fronte del crescente utilizzo degli ambienti cloud, le organizzazioni faticano a proteggerli a causa della mancanza di competenze in materia di cyber-sicurezza. Il “Cloud Security Report 2024” rileva una significativa carenza di competenze, con oltre la metà dei professionisti della sicurezza intervistati che valutano come medie o inferiori le capacità del proprio team.
Gli effetti:
· Aumento degli incidenti di sicurezza nel cloud. Il 61% delle organizzazioni ha registrato almeno un incidente di sicurezza legato all’uso del cloud pubblico nell’ultimo anno, con un aumento significativo rispetto al 24% dell’anno precedente. Le violazioni dei dati sono state le più comuni e possono comportare multe salate e danni alla reputazione. L’imminente direttiva NIS2 probabilmente aumenterà l’impatto di tali violazioni.
· Barriere alla difesa della sicurezza informatica. La mancanza di consapevolezza in materia di sicurezza tra i dipendenti è il principale ostacolo alla sicurezza stessa, come afferma il 41% degli esperti interpellati. La carenza di personale qualificato è un’altra delle importanti preoccupazioni, con il 32% degli intervistati che identifica la mancanza di competenze in materia di sicurezza informatica come un problema chiave per le organizzazioni.
· Formazione e carenza di competenze. Nonostante l’importanza della formazione in materia di sicurezza informatica, il 44% delle organizzazioni si occupa di formazione solo con cadenza annuale. Solo il 26% organizza sessioni mensili, contribuendo a creare un deficit di competenze e ad aumentare la vulnerabilità agli attacchi informatici sofisticati.
· Carenza di esperti di sicurezza informatica. Il 76% degli intervistati ha segnalato una carenza di esperti di sicurezza informatica all’interno delle proprie organizzazioni. Nonostante si trovino ad affrontare minacce sempre più sofisticate, il 52% ha valutato le competenze di sicurezza del proprio team come medie o addirittura inferiori alla media, il che si traduce nel rischio di subire importanti danni finanziari in caso di attacchi riusciti.
· Impatto delle tecnologie di Intelligenza Artificiale. L’integrazione delle tecnologie di IA e Machine Learning intensifica la necessità di nuove competenze. Il 49% degli intervistati ha indicato la necessità per i propri esperti di sicurezza di acquisire nuove competenze relative all’IA, mentre il 35% è preoccupato per la mancanza di conoscenze che ostacola l’adozione dell’IA. L’accesso alla formazione e alle risorse è fondamentale per superare queste barriere.
“Le organizzazioni devono dare priorità alla formazione e alla prevenzione nella sicurezza informatica- evidenzia Cristiano Voschion, country manager di Check Point Software Technolgies – È preoccupante che, mentre il 40% delle organizzazioni considera la prevenzione e la mitigazione come la sfida più grande, solo il 21% le consider prioritarie. Questo scollamento suggerisce che molti non credono che la prevenzione sia realizzabile nel loro stato attuale”.
Le aziende devono rivalutare il loro approccio alla sicurezza, dando priorità alla prevenzione, alla formazione e all’uso di soluzioni di sicurezza di alto livello. Nella sicurezza informatica, la seconda scelta non è sufficiente. Attualmente, il 36% delle organizzazioni dubita della propria capacità di gestire rischi sconosciuti e attacchi zero-day come Log4j, mentre il 55% ha una certa fiducia ma nutre ancora dei dubbi.
