I 3 quarti delle aziende hanno subito almeno un attacco cyber durante il 2021: è quanto emerge dall’ultimo “Cyber Resilience Report 2021” del Business Continuity Institute (BCI). Un risultato comparabile a quello della precedente versione dell’analisi, risalente al 2017, quindi, non una buona notizia.
Le aziende, infatti, investono da anni per elevare le difese, installare nuove soluzioni di cybersecurity, mantenere aggiornato un parco di sistemi software e hardware, diffondere programmi di formazione a tutti i livelli. Ci saremmo quindi aspettati un miglioramento della situazione: se il risultato è invariato, e il numero di incidenti subiti rimane elevato, la causa va attribuita a un’attività molto più intensa e sofisticata degli attaccanti.
Un punto importante che emerge dall’analisi è la correlazione tra il livello di ingaggio su questi temi del Management aziendale e la capacità di mitigare i rischi cyber: il 50% delle aziende con un livello di commitment della Direzione pari a “zero” o “basso” ha infatti dichiarato di aver subito oltre 5 attacchi andati a segno nell’ultimo anno.
Tutto questo si riflette anche sui costi indotti dal cyber crime: dove il Management è più coinvolto su questi temi, il costo legato ad attacchi cyber si abbassa e in alcuni casi arriva ad annullarsi.
Le perdite legate al cyber crime sono anche direttamente proporzionali agli investimenti in cybersecurity nell’organizzazione: il costo degli incidenti cyber è stato nullo per il 42,1% delle aziende, mentre un 23,3% ha ammesso di aver speso oltre 5.000 dollari.
Si osserva inoltre che i processi per la Resilienza aziendale sono sempre più integrati con le attività di cybersecurity. Molte aziende hanno risposto che “Non separiamo più la cyber resilience dalla business continuity”: questo richiede naturalmente un livello più elevato di collaborazione tra i diversi dipartimenti. Durante la pandemia Covid19, il tema della Resilienza è cresciuto moltissimo di importanza, e chiaramente la cybersecurity fa parte di questa tendenza. Oggi le persone devono comprendere il loro ruolo nel mantenere elevata la capacità del business di funzionare in modo resiliente, accelerando nella digitalizzazione e adattandosi in tempi rapidi per rispondere efficacemente a un’eventuale crisi. Inoltre, le strategie di gestione del rischio cyber stanno diventando sempre più centrali e vanno ad abbracciare anche clienti e altri stakeholder esterni.
Il Phishing continua a essere la tecnica più utilizzata negli attacchi cyber, e il Ransomware ha visto una crescita notevole nell’ultimo anno. Le aziende hanno anche imparato – a loro spese – che i costi indiretti di un incidente possono essere molto alti, soprattutto quando la perdita è reputazionale. L’attacco con ransomware Sodinokibi nel 2020 a Travelex, con il pagamento di un riscatto per oltre 2 milioni di dollari, insieme agli effetti della pandemia, hanno concorso a portare l’azienda in amministrazione straordinaria e a ristrutturarla, con la perdita di oltre 3.600 posti nel mondo.
Fonte: “Cyber Resilience Report 2021”, BCI, novembre 2021
Un punto a favore delle strategie di risposta delle aziende è la riduzione dei tempi di Detection misurata dall’analisi: oggi un 23,2% delle aziende afferma di essere in grado di rispondere entro i 5 minuti dal rilevamento dell’incidente. Un 34,8% dichiara meno di 1 ora, il 9,9% almeno 12 ore. Si è osservato inoltre che i tempi di risposta dipendono da:
- Metodo di trasmissione delle informazioni rilevanti per l’attacco cyber
- Sede fisica in cui risiede lo staff di cyber security
- Processi seguiti
- Gestione dell’intervento
- Utilizzo di software specifico per la gestione dell’incidente.
Guardando al futuro, il ransomware è visto come la peggiore minaccia per i prossimi 5 anni (79,6% delle risposte): dalle interviste emerge che questa tipologia di attacco è temuta non soltanto per l’impatto operativo (il blocco) ma anche, soprattutto, per le implicazioni economiche e la possibile perdita di reputazione. Una minoranza di aziende (il 29,2%) teme anche che il futuro possa riservarci attacchi cyber con conseguenze fisiche sulle persone e sulla vita quotidiana.
Accedi al Report “Cyber Resilience Report 2021”, BCI, novembre 2021
