Cyber resilience per la sicurezza aziendale

Secondo l’ultimo rapporto del 2016 reso noto dal CLUSIT (Associazione Italiana per la Sicurezza Informatica), il 2015 è stato l’anno che ha visto una crescita esponenziale del numero e varietà di attacchi informatici portati avanti nei confronti di aziende, siano esse multinazionali o PMI.

Si è infatti registrato un aumento complessivo degli attacchi realizzati pari al 30% in più rispetto al 2014, con una vera e propria epidemia di infezioni dilagata nel corso dell’anno dovute alla diffusione dei ransomware, ovvero di quei particolari tipi di codici i quali, una volta che vengono inseriti dall’utente (che possono essere aziende, ma anche comuni cittadini), criptano i documenti presenti nei loro sistemi, chiedendo il pagamento di un vero e proprio riscatto per riottenerli in chiaro.

Fonte Clusit 2016

Alcune fonti stimano un numero di vittime a livello globale di circa 800 milioni di unità, per una perdita complessiva che si aggira intorno ai 570 miliardi di dollari. In questa situazione, si rivela essere un elemento essenziale per l’azienda la corretta impostazione di un sistema di organizzazione e gestione del rischio adeguato, che enuclei al suo interno anche una forte componente legata alla cyber resilience.

Quest’ultima consiste in una concreta analisi della capacità di resistenza a fronte delle minacce informatiche presenti, e nella gestione dell’evento verificatosi, volta a recuperare lo stato precedentemente sussistente al momento del verificarsi del danno. La capacità per l’impresa di adattarsi ed evolversi anche in base ai rischi che incontra, la rendono maggiormente efficace nelle sue attività di business e attraverso l’adattamento alla nuova condizione in cui si trova gli consente di innovarsi e generare nuove opportunità.

La resilienza è di fatto anche, e primariamente, un concetto tecnico, con una componente essenzialmente organizzativa e tecnologica. Il malfunzionamento dei sistemi informativi, può infatti avere un impatto considerevole per l’azienda non solo in termini di danno informatico, ma anche in termini reputazionali.

Di fatto, non esiste un metodo di sicura prevenzione che consenta, a livello assoluto, di evitare gli attacchi portati avanti con ransomware, o malware in generale, tale da garantire una totale copertura dei rischi corsi. Essi infatti si evolvono costantemente e talvolta, oltre all’obsolescenza del dato tecnologico, di sicuro rilievo diviene anche il fattore di impatto accordato alle politiche organizzative interne in materia di sicurezza, oltrechè alle procedure di gestione del rischio. In questo senso infatti, ancora una volta la resilienza si colloca come elemento primario nel contesto della sicurezza cibernetica di un’azienda.

La sinergia tra Risk Manager, Ceo e IT Manager diviene un triangolo di fondamentale strumentalità per l’attività aziendale.

Quali sono gli step operativi che questo team si deve trovare ad operare?

Innanzitutto occorre formazione. Gli operatori devono essere preventivamente preparati ad agire sia in un’ottica di prevenzione che in un’ottica di gestione dei rischi cibernetici. In secondo luogo, risulta fondamentale la tutela su tre livelli: fisica, organizzativa e logica. La predisposizione delle misure di sicurezza idonee e minime stabilite dalla normativa costituisce un punto essenziale in tale dinamica, e l’inadempimento a tali obblighi oltre a generare impatti da un punto di vista di inottemperanza alla normativa, procura anche possibili danni sul fronte delle attività di business, come già anticipato. Elementi di successiva analisys and development, costituiscono il corollario di un apparato che mira in maniera accurata e tecnicamente avanzata a soluzioni di risk management concrete che, pur non annullando le minacce esistenti, ne minimizzano in parte il rischio.