Se i numeri aiutano a comprendere un fenomeno, quelli forniti dal Clusit sui primi sei mesi del 2022 dicono che il rischio informatico è ormai radicato nella vita quotidiana di aziende e privati. Gli attacchi gravi sono stati 1.141 (+8,4% sul primo semestre 2021), per media di 190 attacchi al mese e con il picco più alto mai registrato a marzo: 225 eventi. A confermare che il trend è in crescita provvede la linea tracciata dal grafico dedicato all’andamento tra il primo semestre 2018 e il primo del 2022.
Altri numeri sottolineano invece la delicatezza del momento attuale, determinata dalle tensioni geopolitiche. Secondo l’ENISA (l’Agenzia dell’Ue per la Cybersecurity), l’Europa ha conosciuto a luglio di quest’anno il maggior attacco DDoS (Distributed Denial of Services) mai sperimentato sul continente; inoltre, il 60% delle organizzazioni hanno - con ogni probabilità - pagato il riscatto richiesto da un attacco condotto con ransomware. Infine - e questo è il dato più grave - nel 2021 gli attacchi ai fornitori e alla supply chain sono stati il 17% del totale, contro il meno dell’1% del 2020.
Lo specifico del Cybersecurity Risk Assessment
La definizione è intuitiva: si tratta dell’analisi del sistema informativo di un’organizzazione, condotta per individuare le potenziali vulnerabilità dalle quali nasce un rischio per la sicurezza dei dati aziendali. Il rischio, visti i numeri di cui sopra, è da definire come “critico”, considerato che gli asset digitali di un’azienda sono sempre più strategici per ogni attività. La dimensione on-line è ormai quella naturale e trascurarla sarebbe il peggiore degli errori considerando la facilità con cui gli attacchi possono essere compiuti (anche a causa di una diffusa sottovalutazione del pericolo cyber).
Per abbassare il tasso di rischio informatico è quindi necessario lavorare sulla prevenzione. Il primo passo da compiere a riguardo è l'analisi della realtà aziendale, articolando l’esame su diversi punti:
- infrastruttura IT
- dati e informazioni trattati
- policy di accesso ai sistemi e alle reti
- misure di prevenzione e protezione previste dai piani di cybersecurity.
La valenza strategica del rischio
Il risk assessment è importante perché lavora su base previsionale. Si studiano i pericoli identificati nella vita dell’organizzazione e la loro probabilità di ripresentarsi nuovamente (ecco perché le statistiche sulle quali ricostruire lo storico degli incidenti subiti sono particolarmente preziose). L’assessment produce inoltre dati sugli eventuali impatti che il verificarsi di incidenti possono provocare e soprattutto consente di individuare i limiti entro i quali correre il rischio stesso in modo controllato, così da non compromettere il raggiungimento degli obiettivi per un eccesso di prudenza.
Sempre più organizzazioni ricorrono a sistemi evoluti di risk management (non solo informatico) per tutelare il proprio business e per capire fino a dove è possibile spingersi in un contesto competitivo sempre più dinamico. Un rapporto di Allied Market Research rileva che il valore del mercato globale dei sistemi di risk management punta a toccare entro il 2026 i 18,50 miliardi di dollari. Nel 2018 lo stesso mercato valeva 6,25 miliardi; la crescita media anno su anno è del 14,6%.
