Cybercrime nelle PMI: rischi e soluzioni

Dal 2011, anno del security breach, si sono intensificate le stime sull’impatto del cybercrime sul sistema economico mondiale, effettuate da aziende che si occupano di sicurezza informatica e vari istituti di ricerca, da McAfee e CSIS all’UNICRI: a farne le spese è lo 0,8% del PIL globale, pari a circa 600 miliardi di dollari.

=> Sicurezza IT e cybercrime nelle PMI

Anche i servizi italiani nell’annuale Relazione al Parlamento hanno tracciato un profilo accurato evidenziando tipologie specifiche di rischi:

• minacce strutturate alle infrastrutture critiche nazionali;
• spionaggio di soggetti pubblici e privati operanti in settori di rilevanza strategica per la sicurezza nazionale, titolari di informazioni sensibili, conoscenze tecnologiche e  know-how pregiato;
• attivismo digitale contro target istituzionali;
• azioni terroristiche o criminali supportate dalla Rete per  fare propaganda, disinformazione e controinformazione, proselitismo e pianificazione.

Anche il Rapporto Clusit 2015 descrive i maggiori vettori di rischio e conclude affermando che istituzioni e aziende non stanno facendo abbastanza per contrastare il fenomeno, perché il numero e la gravità degli attacchi aumenta nonostante la crescita degli investimenti mondiali in cybersicurezza (+8% nel 2014).

Cybercrime e PMI

L’indagine UNICRI evidenzia poi come il danno economico da cybercrime riguardi anche le PMI, meno consapevoli delle società strutturate dei rischi in atto e meno propense ad attivare contromisure e policy di sicurezza consolidando i reparti IT, ritenendo erroneamente che servano grandi investimenti per difendersi dalle minacce informatiche.

=> Impatto economico del cybercrime

Soluzioni

In primo luogo si deve aumentare la consapevolezza, creando una “cultura della sicurezza informatica”. Per invogliare le aziende a denunciare le violazioni servirebbero network di fiducia per lo scambio di informazioni, realizzati tramite:

• seminari, workshop e corsi di formazione, per decisori non tecnici (es.: membri dei CdA e titolari d’impresa) e informatici aziendali;
• tavole rotonde tra rappresentanti delle PMI, forze dell’ordine, associazioni di categoria, università ed esperti legali).

=> Il Piano di Governo sulla Sicurezza Informatica

CERT

Il compito dei CERT (Computer Emergency Response Team) – finanziate da università o enti governativi, aiutano gli utenti nel ripristino delle attività precedenti la violazione – diventa strategico in questo scenario, identificando gli incidenti che potrebbero colpire infrastrutture critiche, informando gli stakeholder sulle minacce emergenti e dialogando tra loro a livello nazionale ed internazionale, nel  pubblico e nel privato.

Prevenzione e gestione danni

Nel Rapporto Clusit 2015 viene evidenziato come il rischio di essere colpiti da un attacco informatico sia diventato una certezza, nel breve-medio periodo. Quindi nelle aziende, oltre a misure preventive, si deve privilegiare il controllo e isolamento dei danni adottando “logiche di Cyber Resilience“:

«applicando l’antica massima “conosci te stesso” alle proprie vulnerabilità e criticità predisponendo un modello di rischio accurato, costantemente aggiornato, stimando le perdite potenziali tramite lo studio di un certo numero di scenari realistici per determinare correttamente gli investimenti necessari».

Per approfondimenti: Relazione sicurezza nazionale, Rapporto Clusit.