Cybersecurity, indagine EY: Cresce la consapevolezza delle aziende ma la vulnerabilità è ancora elevata

Cyber security - Sicurezza informatica (2) Imc

Cyber security - Sicurezza informatica (2) Imc

Il 50% delle aziende intervistate dichiara di essere pronta a prevenire gli attacchi informatici, ma il 42% non ha un piano in caso di attacco. Cresce la consapevolezza dei rischi nell’ambito della sicurezza informatica, ma il 40% delle aziende non aumenterà gli investimenti. Per l’86% dei manager intervistati, la propria funzione di Cybersecurity non soddisfa pienamente le esigenze dell’azienda. Principali ostacoli riscontrati: budget limitato, mancanza di personale qualificato e supporto da parte del top management 

Secondo la diciannovesima edizione del Global Information Security Survey (GISS) di EY, che ha coinvolto 1.735 organizzazioni a livello globale, le aziende intervistate sono maggiormente fiduciose rispetto agli anni passati di riuscire a prevedere e resistere ad attacchi informatici evoluti. Considerando il panorama delle minacce in forte espansione, tuttavia, gli investimenti fatti nella cybersecurity e le strategie adottate per superare data breach sembrano non essere ancora sufficienti.

Dall’indagine emerge infatti che solo il 50% degli intervistati a livello globale dichiara di avere oggi le capacità per rilevare un attacco informatico sofisticato; l’86% afferma che la propria funzione di Cybersecurity non soddisfa ancora pienamente le esigenze dell’organizzazione di cui fanno parte e il 42% delle aziende dichiara di non disporre di una strategia condivisa o di un piano da attuare in caso di un attacco con impatti significativi.

Alla domanda relativa ad incidenti di sicurezza recenti e di natura significativa, oltre la metà (57%) degli intervistati ha dichiarato di averne subito uno. E quasi la metà (48%) ha evidenziato come gli strumenti obsoleti per il controllo della cybersecurity e delle architetture di sicurezza costituiscano la maggior vulnerabilità per la propria organizzazione (+ 34% rispetto al 2015).

Il panorama italiano

In Italia sale al 97% la percentuale di chi dichiara di avere una funzione di Cybersecurity non pienamente in linea con le proprie esigenze: quasi due terzi (65%) non dispone di un programma formale e strutturato di Threat Intelligence, mentre quasi la metà non possiede metodi e strumenti tecnologici adeguati per identificare le vulnerabilità.

Questi dati, considerato che solo il 21% degli intervistati dichiara di non disporre di un Security Operations Center, secondo i curatori dell’indagine confermano la forte necessità di evoluzione degli attuali SOC (strutture organizzative complesse) nelle aziende del nostro paese, potenziando le capacità degli stessi con funzionalità di intelligence ancora non adeguatamente diffuse.

Tra le aziende italiane intervistate osserviamo come, a fronte di un aumento complessivo di tutte le principali minacce di cybersecurity durante l’ultimo anno, siano cresciuti in maniera significativa le minacce dovute ad attacchi dall’interno dell’organizzazione, a zero-day ed a malware. Il dato, secondo EY, sottolinea come le aziende del nostro Paese vedano la necessità di disporre da un lato di metodologie e di strumenti di intelligence evoluti per l’identificazione di attacchi e minacce non rilevabili con gli attuali strumenti di monitoraggio e dall’altro di un maggior controllo di quanto avviene al proprio interno.

Tra i nostri connazionali intervistati che dichiarano di aver subito un incidente informatico di natura rilevante (69% delle aziende italiane intervistate, dato più alto rispetto a quanto rilevato su scala globale), soltanto nel 28% dei casi tali incidenti sono stati rilevati dal SOC aziendale. Nei restanti casi la rilevazione risulta non strutturata ad opera delle funzioni di business o di terze parti.

L’indagine di quest’anno mostra inoltre come gli intervistati italiani continuino a citare gli stessi elementi di preoccupazione in ambito cybersecurity, come l’aumento dei rischi delle azioni di dipendenti negligenti o inconsapevoli (74% rispetto al 51% nel 2015) e l’accesso non autorizzato ai dati (32% rispetto al 21% nel 2015). Nel frattempo gli ostacoli ad una crescita delle funzioni aziendali preposte alla sicurezza delle informazioni sono rimasti praticamente invariati rispetto allo scorso anno, tra questi:

  • Budget limitato (dichiarato dal 61% degli intervistati a livello globale e dal 60% in Italia);
  • Mancanza di risorse qualificate (dato riportato dal 56% delle organizzazioni globali e dal 48% delle aziende italiane);
  • Mancanza di una maggior consapevolezza e di supporto da parte del top management (32% degli intervistati a livello globale e 44% degli intervistati italiani).

Il mondo digitale e i dispositivi connessi presentano nuove sfide

La ricerca rivela anche come il 62% delle organizzazioni globali escluda di aumentare la propria spesa in sicurezza informatica a seguito di una violazione che abbia scarso impatto sulle proprie operazioni. Da questo emerge come le aziende siano ancora concentrate su una gestione ordinaria della sicurezza, ma manchino di una visione strategica a lungo termine.

Il 58% degli intervistati ha definito inoltre improbabile l’aumento del proprio budget in cybersecurity nel caso in cui un competitor sia stato attaccato, dato che sale al 73% per le aziende italiane intervistate. E il 68% dichiara di non ipotizzare aumenti di budget nel caso in cui sia stato un proprio fornitore ad essere stato attaccato.

Nel caso di un attacco che potrebbe compromettere i propri dati, quasi la metà degli intervistati a livello globale (48%) – dato che sale al 63% in Italia – ha dichiarato che non notificherebbe l’incidente ai propri clienti entro una settimana dall’accaduto.

“Tale dato risulta particolarmente preoccupante a fronte dei sempre più stringenti requisiti normativi – ha commentato Fabio Cappelli, Partner EY e responsabile Cybersecurity per l’Italia, commenta –. si pensi ad esempio al nuovo Regolamento Europeo sulla Protezione dei Dati Personali (GDPR) ed alla Direttiva NIS (Network and Information Security), che regolamentano il processo di gestione e notifica nei casi rispettivamente di violazione di sicurezza dei dati personali e di incidenti con impatto significativo sulla continuità dei servizi essenziali”.

Per EY, un altro tema da considerare è che ogni giorno le aziende si trovano a gestire un gran numero di dispositivi che si aggiungono al proprio ecosistema digitale. Quasi tre quarti delle aziende intervistate (il 73%) è preoccupata per la scarsa consapevolezza degli utenti e per l’uso che gli stessi fanno di dispositivi mobili, quali computer portatili, tablet e smartphone. Il 50% delle aziende intervistate (80% in Italia) dichiara di ritenere la perdita di uno smart device come uno dei principali rischi per l’organizzazione, in considerazione sia del crescente utilizzo di dispositivi mobili sia del fatto che la perdita di tali dispositivi può comportare un furto di identità.

“Nel corso del 2016 – aggiunge Cappelli – abbiamo assistito a passi fondamentali nell’ormai imprescindibile percorso di digitalizzazione ed innovazione. Rivoluzione industriale 4.0 e crescita esponenziale dell’Internet of Things, infrastrutture immateriali ed ecosistemi interoperabili sono solo alcuni dei trend che stanno modificando i modelli operativi e tecnologici delle aziende: i dati della nostra survey, in particolare per l’Italia, ci confermano che tali evoluzioni non risultano sincronizzate con la necessaria evoluzione delle modalità di protezione. La survey evidenzia un panorama nazionale maturo sul fronte della difesa, ma caratterizzato dalla necessità di migliorare sul piano della prevenzione e della reazione a data breach ed incidenti informatici. Ad esempio, due aziende su tre lamentano la mancanza di un programma strutturato di cyber intelligence, e la stessa percentuale dichiara di aver recentemente subito un incidente significativo di sicurezza. Analytics, robotics e intelligenza artificiale sono tecnologie ad oggi disponibili e che dovranno contribuire a migliorare il nostro approccio alla Cybersecurity. La posta in gioco è alta: la Cybersecurity è la vera sfida dei nostri giorni. Il superamento del ritardo esistente rispetto alla trasformazione digitale dovrà tradursi in un approccio finalizzato alla resilienza cyber: prevenire, difendere e reagire come approccio integrato per garantire la sopravvivenza delle aziende”.

Intermedia Channel


EY – Global Information Security Survey 2016-17 – Path to cyber resilience: Sense, resist, react (in inglese)

Related posts

*

Top