L’8 giugno 2016 è stata approvata la direttiva UE 2016/943 relativa alla protezione del know-how e dei segreti industriali. Finalmente, dopo anni di discussioni, il Parlamento e il Consiglio dell’UE hanno adottato un testo legislativo pensato per tutelare uno dei più importanti asset delle aziende impegnate ad innovare costantemente i loro prodotti e i loro processi industriali, ossia il loro know-how.
Resilienza delle infrastrutture critiche nonostante la superficie di attacco si sia oggi estesa al mondo digitale; gestione di crisi che possono assumere le dimensioni di catastrofi naturali; effetto domino in presenza di attacchi cyber. Ne abbiamo parlato direttamente con chi per vocazione professionale si occupa di emergenze, Angelo Gazzoni, Country Manager Italia di Hexagon Safety & Infrastructure.
Oggi le aziende italiane mettono a disposizione dei propri dipendenti device Mobile (come notebook, smartphone, tablet e mobile business app) con rischi molto elevati, non solo per il possibile furto o smarrimento dei dispositivi stessi ma anche per i possibili attacchi cyber mirati. Da alcune recenti ricerche emerge infatti che oltre il 20% degli intervistati ha subito una violazione della sicurezza tramite dispositivi mobili. In aggiunta il nuovo Regolamento sulla Data Protection, GDPR, stabilisce sanzioni pecuniarie elevate, fino a 20 milioni di euro o al 4% del fatturato, nei casi in cui sia accertato che l’azienda non ha predisposto misure e procedure di sicurezza sufficienti nel trattamento dei dati personali.
Approfondiamo il tema con Gloria Marcoccio, Compliance & Privacy Consultant, e con Riccardo Canetta, Regional Sales Director, Italy, Turkey and Greece di MobileIron, che il prossimo 26 settembre, saranno relatori del Webinar “GDPR COMPLIANCE. PRIVACY E SICUREZZA PER IL MOBILE. Impatto e indicazioni pratiche per l’adeguamento alle norme”, organizzato da Hitachi Systems CBT in collaborazione con MobileIron e The Innovation Group.
La protezione dei dati è un tema di estrema attualità anche quest’anno: i recenti cyberattacchi globali come WannaCry e il data breach di Equifax hanno difatti aumentato ulteriormente l’interesse già alto delle aziende di tutto il mondo per queste tematiche, mentre il GDPR, il regolamento sulla privacy EU, sta obbligando le aziende europee a ripensare la propria strategia di Data Protection.
Oggi il fattore umano è la principale vulnerabilità di un piano di cyber risk management. Gli attaccanti utilizzano sempre più spesso tecniche di social engineering e mail di phishing per guadagnarsi un primo accesso ai sistemi aziendali. Il phishing è sempre più sofisticato e quindi in grado di raggirare molte persone, ed è oggi utilizzato per sottrarre credenziali e quindi poter accedere a sistemi e dati, oltre che come veicolo per infiltrare malware, se ad esempio l’utente scarica un allegato o clicca su un sito web infetto. Secondo il Data Breach Investigations Report di Verizon, il phishing è in forte crescita: era compreso nel 21% degli attacchi analizzati per il 2016, rispetto all’8% dell’anno precedente.
Giovedì 7 settembre molti cittadini americani, 143 milioni per l’esattezza (quasi la metà della popolazione) hanno saputo che le proprie informazioni, nomi, data di nascita, indirizzi, e soprattutto i numeri segreti e personali di Social Security (che negli USA hanno enorme valore, potendo essere utilizzati per l’accesso al credito) erano stati rubati dai database di Equifax. “I criminali hanno sfruttato la vulnerabilità applicativa di un website negli USA per accedere ad alcuni file” ha detto la società.
L’impatto del nuovo regolamento EU sulla Data Protection, GDPR, sarà molto ampio, come hanno avuto modo di osservare le aziende che hanno già cominciato il percorso di adeguamento. Gli esperti raccomandano alle organizzazioni, soprattutto a quelle di maggiore dimensione o particolarmente coinvolte in trattamenti pesanti di grandi moli di dati personali, di tenere ben presenti le seguenti priorità nel proprio piano di GDPR compliance.
E’ cominciato il conto alla rovescia, mancano oramai solo 8 mesi all’avvio del GDPR, la nuova normativa EU sulla protezione dei dati personali. Come noto, molte aziende italiane devono ancora cominciare a valutare quale sarà la portata dell’adeguamento delle procedure e infrastrutture interne per essere compliant: molti si renderanno conto quindi nei prossimi mesi che il tempo non basterà per portare a termine l’intero passaggio al GDPR.
Al giorno d’oggi la Cybersecurity non può più essere responsabilità solo dell’ICT. Per arrivare al coinvolgimento del top management, per avere il supporto di tutte le business unit, per farla diventare “parte integrante della cultura” dell’intera organizzazione, la Cybersecurity ha bisogno di un chiaro modello di Corporate Governance.