Non basta alle imprese della Penisola destinare un decimo della propria spesa in soluzioni informatiche, ed essere in linea con la media degli investimenti registrati su scala globale, per avere risultati soddisfacenti in fatto di cyber sicurezza. Lo afferma il rapporto “The State of Cyber Resilience 2019” di Accenture, secondo cui le aziende italiane investono nella security oltre il 10% del loro budget It ma i livelli di protezione ottenuti sono ancora bassi, tanto che solo il 59% degli asset aziendali risulta essere protetto attivamente. Altro nervo scoperto sono i tempi di risposta agli attacchi, che si confermano ancora (troppo) lunghi: in Italia, a quattro aziende su dieci (il dato sale al 60% su scala globale) servono più di 15 giorni per rimediare all’offensiva scagliata dai cybercriminali.
Il problema è serio, lo sappiamo, e lo conferma anche Paolo Dal Cin, Accenture Security lead per Europa e America Latina, che ricorda come “a livello mondiale si stimano in 5.200 miliardi di dollari i costi addizionali e i mancati ricavi delle aziende nel corso dei prossimi cinque anni per colpa dei cyber-attacchi”. Un dato preoccupante che evidenzia, a detta del manager, quanto la cyber security sia una leva strategica di innovazione e crescita da usare secondo precisi principi, perché aumentare gli investimenti non basta. “Per renderli realmente efficaci – spiega Dal Cin – è necessario mettere in campo azioni orientate sia a sviluppare una sempre maggiore cultura della sicurezza all’interno dell’azienda sia ad ottenere una collaborazione continua e proficua con partner esterni, estendendo così il perimetro e la capacità di difesa”.
Le aziende leader in cybersecurity. Lo studio ha identificato le aziende classificate come “leader”, che ottengono ritorni significativi sugli investimenti in cyber security, in relazione a quattro diversi parametri. Il 96% di queste imprese a livello globale e il 99% in Italia, per esempio, completa le attività di ripristino a seguito di un attacco in meno di 15 giorni rispetto al 36% delle altre aziende. Il 93% delle imprese più virtuose della Penisola hanno anche un altro vanto, ed è quello di avere un basso indice di violazione in termini di sicurezza, caratteristica che identifica solo l’86% delle aziende leader a livello globale. Solo il 66% delle aziende leader italiane, per contro, riesce a rilevare una violazione in meno di un giorno, rispetto all’88% della media mondiale.
I fattori di successo. Analizzando nel dettaglio i risultati ottenuti dalle aziende “leader” in termini di cyber security, emerge dallo studio come il successo di questa categoria sia strettamente collegato alla loro capacità di lavorare meglio in tre aree specifiche: la capacità di scala, la formazione e la collaborazione. La prima si manifesta nella capacità di applicare rapidamente nuove soluzioni di sicurezza in maniera estesa all’interno dell’organizzazione e dell’ecosistema in cui le imprese operano, e quindi nel proteggere attivamente la maggior parte di tutti gli asset chiave riducendo di tre volte la probabilità che un cyber attacco si traduca in una reale violazione. Rispetto alle aziende delle altre categorie, le aziende “leader” sono inoltre in grado di formare un maggior numero di utenti interni (almeno il 75%) sugli strumenti di sicurezza che richiedono training specifici, riuscendo di conseguenza a identificare gli attacchi in tempi più brevi. Le aziende “leader” infine, riescono a comprendere meglio le minacce informatiche grazie alla loro capacità di collaborare con partner strategici, interlocutori interni, community di settore e consorzi per la sicurezza, favorendo nel contempo un migliore allineamento a normative quali il Gdpr.
Come rendere efficaci gli investimenti. Quando si parla di investimenti in sicurezza informatica, si legge ancora nel rapporto di Accenture, non sempre una maggiore spesa equivale a risultati migliori. Ottimizzare la spesa e ottenere performance più elevate è possibile, secondo gli esperti, seguendo alcune precise indicazioni. Estendere quanto più possibile in modo efficace i budget destinati alle tecnologie di cybersecurity a tutta l’azienda, oltre che ai fornitori e ai partner del proprio ecosistema, è per esempio il primo passo. Aggiornare e mettere in atto regolarmente i programmi di formazione per le persone all’interno dell’organizzazione, in base agli strumenti e alle tecniche di sicurezza esistenti e pianificati, è un altro comportamento virtuoso. Lavorare a stretto contatto con partner strategici e garantire la presenza di competenze adeguate all’interno e all’esterno dell’azienda è quindi necessario se si vuole arrivare a una migliore comprensione delle minacce e dei rischi, aumentando la capacità di applicare soluzioni efficaci.