(Autore: Manuela Vento – Il Sole 24 Ore)
Le minacce ai sistemi aziendali possono arrivare da qualsiasi parte del mondo. Le conseguenze: Il furto di dati, la divulgazione di informazioni riservate, la violazione del copyright, la diffusione di virus e lo stop alla supply chain
Per fare in modo che il cyber attack non si ripercuota negativamente sui risultati delle aziende, il risk management deve riuscire a gestire notevoli rischi che possono coinvolgere gli asset più importanti delle società. Tra questi rientrano senz’altro i dati sensibili dei clienti, i piani aziendali e le informazioni finanziarie. C’è un legame diretto tra innovazione e cyber risk perché i sistemi informatici non sono infallibili e la loro vulnerabilità è un fenomeno sempre più diffuso. Negli ultimi anni gli attacchi informatici più significativi sono stati quelli alla PlayStation network di Sony, da cui sono stati sottratti i dati personali di 77 milioni di iscritti e il cyber attack a Adobe Systems, con la sottrazione di 38 milioni di password di utenti. Per trasformare un programma di sicurezza informatica standard-driver in un programma più sicuro e con meno rischi non servono solo le risorse economiche ma anche la capacità di applicare nuovi approcci.
Per il mondo assicurativo la gestione del rischio informatico avviene tramite canali convenzionali che risultano poco efficaci nella mitigazione del cyber attack e allo stesso tempo prosciugano la gran parte degli investimenti dedicati a questo tipo di sinistro.
Nel nostro Paese, secondo la relazione sulla politica dell’informazione per la sicurezza del 2013, il cyber risk è al primo posto tra i rischi che minacciano la sicurezza nazionale e le imprese italiane, con danni al sistema economico stimati in circa 20-40 milioni. Il cyber risk è un fenomeno che colpisce le imprese di tutte le dimensioni rappresentando dunque una delle minacce più importanti.
Il rischio cyber è tuttavia sovranazionale, per nulla legato alla territorialità. Gli attacchi possono arrivare da qualsiasi luogo e i dati, privi di fisicità e spesso affidati in gestione a terzi, non risiedono in un punto specifico. Questo è uno dei motivi per cui le polizze cyber risk coprono i dati ovunque risiedano e durante la trasmissione degli stessi in tutto il mondo.
L’interruzione di un servizio, il danno derivante dalla trasmissione di un virus, il furto di dati sensibili o il rilascio degli stessi in ambienti non verificati, il furto di proprietà intellettuale sono solo alcune delle garanzie che queste polizze cyber risk possono offrire.
I principali rischi informatici o cyber risks sono il furto o manipolazione illecita di dati sensibili, la divulgazione di informazioni riservate, violazione della proprietà intellettuale, perdita di dati con conseguente perdita finanziaria, perdita dei ricavi, interruzione del supply chain management con conseguente perdita degli ordini, l’accesso alle informazioni personali e la diffusione di virus nei computer che possono distruggere o bloccare le funzioni di una rete di computer e le relative operazioni aziendali. Le coperture assicurative possono garantire protezione per danneggiamento dei dati personali, interruzione di servizio, violazione della privacy, estorsione e terrorismo cyber.
Esistono inoltre delle opzioni per garantirsi per i rischi diretti come i costi di recupero dei dati, il supporto tecnologico/legale/investigativo, i costi di sostituzione, il furto della proprietà intellettuale etc. La polizza cyber a terzi (third party coverage) va invece a coprire situazioni come il discredito, contraffazione e plagio, i diritti di privacy e perdita di fiducia, la trasmissione di virus o l’interruzione di servizio oltre che danni economici (danni contrattuali) e perdita di reputazione.
Naturalmente l’offerta assicurativa è influenzata da un quadro normativo in continua evoluzione. Il 7 febbraio 2013 è stata presentata dalla Commissione europea una nuova strategia per rafforzare i principi della cyber sicurezza già in essere, la quale prevede onerose sanzioni pecuniarie nei confronti delle imprese che non adottino idonee misure di prevenzione.
La strategia è accompagnata da una proposta di direttiva recante misure volte a garantire un livello comune elevato di sicurezza delle reti e dell’informazione nell’Unione.
La direttiva potrà richiedere, tra l’altro, la notifica dei rischi potenziali sulla sicurezza e anche che gli incidenti avvenuti siano riportati ad un’autorità per la cyber sicurezza che sarà costituita “ad hoc” tra tutti i membri.
Interessate dalla nuova direttiva sulla cyber security sono: le amministrazioni pubbliche; i fornitori di servizi informatici, quali fornitori di piattaforme di e-commerce, social networks, servizi di cloud computing, i cosidetti application store, sistemi di pagamento on-line e motori di ricerca, internet service providers, application service providers; enti che operano infrastrutture critiche, compresi i fornitori di energia e i trasportatori (ad esempio, vettori aerei, operatori del trasporto ferroviario e fornitori di servizi di logistica); organizzazioni del settore sanitario (comprese cliniche private); istituzioni bancarie e di credito, e Borse.
Sarà prevista una specifica deroga in favore delle microimprese e dunque, secondo la regolamentazione Ue, le società il cui organico è inferiore a 10 persone e il cui fatturato o il totale di bilancio annuale non superi 2 milioni di euro. Le altre pmi non saranno esenti e saranno tenute a conformarsi alla direttiva sulla cyber security in pieno.
Il 12 agosto 2013 è stata anche emanata la direttiva 2013/40/Ue del Parlamento Europeo e del Consiglio che invita gli Stati membri a introdurre sanzioni penali contro gli attacchi ai sistemi di informazione.
La minaccia di attacchi cyber è ormai concreta. Anche se non potremo mai essere un passo avanti, prevenire è meglio che curare, così un’adeguata protezione dei sistemi, insieme all’assicurazione su misura, è la chiave per mitigare gli effetti del cyber crime.
