Cybersecurity nelle imprese PMI

Cybersecurity: nel 2021 l’Osservatorio del Politecnico di Milano calcola che il 40% delle grandi imprese abbia registrato un aumento degli attacchi informatici. La diffusione improvvisa e capillare dello smart working, l’uso di dispositivi personali e reti domestiche per connettersi all’ufficio e il boom delle piattaforme per fare le video call hanno infatti aumentato le opzioni di attacco a disposizione degli hacker.

PIU’ RISCHI PER LE PMI?

Il tema della cybersecurity, dopo che la pandemia ha reso il lavoro ancor più digitale, diventa urgente e necessario. Prima di tutto per ragioni economiche, perché – secondo un recente rapporto dell’Associazione italiana per la sicurezza informatica –“i cyber attacchi costano il 6% del pil mondiale. Poi perché l’elenco di enti e aziende private finiti sotto scacco è molto lungo, dall’Enel alla Regione Lazio (basti vedere il grosso attacco subito in questi giorni da Trenitalia), poi Luxottica, Siae e da ultimo Moncler e la Croce Rossa Internazionale, per citare solo alcuni casi. E non sono certo gli unici: nell’arco di un anno, dice l’ultimo report Yarix, divisione di Var Group, si sono registrati “oltre 57 mila attacchi da parte degli hacker ad aziende italiane (+157%).” Di questi, quasi 16 mila si sono evoluti in incidenti di cybersecurity, tali da pregiudicare l’utilizzo di asset aziendali, violare disposizioni aziendali o di legge, causare la perdita o la diffusione di dati: un aumento del +225% in un anno.

CHE FARE PER IMPLEMENTARE LA CYBERSECURITY NELLE AZIENDE PMI?

Il Pnrr ha previsto uno stanziamento di 623 milioni di euro per la cybersecurity, un’occasione che non possiamo sprecare e va indirizzata, seguendo le linee indicate dall’Agenzia per la cybersicurity nazionale, allo sviluppo delle capacità di prevenzione, monitoraggio, rilevamento e mitigazione degli attacchi informatici e all’innalzamento della sicurezza dei sistemi IT, supportando lo sviluppo di competenze industriali, tecnologiche e scientifiche in merito. Un programma articolato e complesso che non deve lasciare indietro nessuno, soprattutto chi rischia di più, come le piccole e medie imprese, vero motore del Paese ma spesso senza gli strumenti e i mezzi sufficienti per difendersi.

Strumenti e tecnologie

All’interno delle piccole e medie imprese, le minacce per la sicurezza informatica sono sempre dietro l’angolo, con l’emergenza sanitaria che è stata un vero e proprio catalizzatore per gli attacchi informatici. Per difendersi bisogna partire dalle basi, implementando strumenti di sicurezza, come i software per la rilevazione di malware, non solo sui computer ma su tutti i dispositivi connessi alla rete, compresi cellulari e tablet privati. Poi è necessario mettere in sicurezza la rete aziendale usando firewall e strumenti come le VPN, le reti virtuali private, per garantire privacy e sicurezza dei dati, anche in caso di ricorso al lavoro da remoto. Infine, è buona pratica effettuare periodicamente backup sicuri e crittografati per poter recuperare dati o risorse anche in caso di necessità di formattazione di server o dispositivi, per esempio a seguito di un attacco ransomware.

Organizzazione e competenze

La tecnologia però ha un costo, e allora serve un forte impegno da parte del top management, necessario per favorire l’inserimento di investimenti in materia di cybersecurity e assegnare al tema una rilevanza strategica, individuando anche le persone che dovranno essere di presidio alla sicurezza informatica. Si tratta di figure professionali specializzate, da introdurre all’interno o da selezionare come consulenti informatici esterni, con l’obiettivo di creare dei veri e propri team a difesa dell’organizzazione. A livello organizzativo, vanno sensibilizzati e coinvolti tutti i dipendenti (la maggior parte degli attacchi prende di mira l’email di ignari impiegati, che cliccando fanno entrare il virus), attraverso iniziative di formazione: le cyber aggressioni sfruttano spesso l’anello debole rappresentato dal fattore umano ed è fondamentale sviluppare nei dipendenti la capacità di riconoscere attacchi di social engineering, cioè tutte quelle tecniche che servono per spingere le persone a consentire l’accesso a un computer al fine di installare segretamente software dannosi per l’azienda. Poi c’è il tema delle password: servono policy e best practice che indichino ai dipendenti il comportamento da tenere in merito alla loro gestione, oltre al continuo aggiornamento del software delle applicazioni e al download e alla condivisione di file.

Processi e rispetto delle normative

Ma cosa succede se, nonostante si sia fatto il possibile per difendersi dagli hacker, qualcuno riesce a bucare i sistemi di difesa e a sferrare l’attacco? Non si può prescindere da una chiara e ben definita strategia di gestione della crisi, con un piano dedicato appositamente alla gestione di eventuali incidenti e alla disaster recovery e garantire così che il business non si fermi, neppure in situazioni critiche. Questo significa proteggere non solo la proprietà ma anche tutti gli stakeholder: gli stessi requisiti di sicurezza che valgono all’interno devono essere applicati anche nei rapporti con le terze parti, a cominciare dai fornitori fino ai clienti e ai partner commerciali, con l’obiettivo di limitare o tenere sotto controllo gli attacchi anche in una prospettiva di filiera. Più in generale, ed è il consiglio conclusivo dell’Osservatorio, non vanno perse di vista le normative nazionali ed europee in materia di cybersecurity e protezione dei dati personali, da recepire e mettere all’opera. Insomma, il tema della cybersecurety va affrontato con l’urgenza e la serietà necessarie, in maniera più matura e strategica, a partire da subito.