Qual è la definizione di rischio in ambito cybersecurity?
Secondo l’Institute of Risk Management (IRM), per cyber risk o per rischio informatico si fa riferimento a:
qualsiasi rischio di perdita finanziaria, distruzione o danno alla reputazione di un’organizzazione dovuta ad un malfunzionamento del sistema informativo.
Gestire la sicurezza dei dati di un privato, di un’impresa o di una pubblica amministrazione, vuol dire infatti garantire la tutela del proprio patrimonio informativo e, quindi, la protezione dei dati informatici aziendali.
Sino al 2000 non c’erano gli smartphone e i tablet, i notebook erano poco diffusi e difendere la propria azienda era molto più semplice.
Da anni, però, le minacce alla sicurezza informatica sono state riconosciute come uno degli scenari più gravi in termini di impatto sul business.
Ricordiamoci che non si proteggono i dispositivi, ma i dati o le credenziali di accesso ai dati. Il problema è che se i dati aziendali arrivano a smartphone, tablet e notebook sparsi nel mondo o computer di casa mediante servizi cloud, diventa molto più complesso proteggerli.
Da un lato per il numero di sistemi in gestione ad un solo utente, dall’altro perché ogni dispositivo ha le sue caratteristiche.
Anche sul nostro approfondimento sulle startup vittime dei cybercrminali abbiamo visto come tutto questo abbia aperto le porte ai grandi gruppi di cybercriminali la cui mira si è spostata dal singolo individuo alle aziende.
In altre parole, la superficie di attacco negli anni è diventata fluida e così anche il perimetro aziendale!
Questo significa che il cyber risk è un rischio concreto che può colpire le imprese in diverse forme, perciò deve essere affrontato in maniera sistematica e con una strategia ben definita.
Tuttavia, anche se le azioni messe in campo dalle aziende sono in aumento, in molti casi non sono presenti standard condivisi o non si compiono sforzi per quantificare il rischio.
Sotto questo aspetto, occorre considerare il rischio cyber valutando non solo le tecnologie, ma anche la noncuranza dei dipendenti, causa numero uno della vulnerabilità informatica nelle imprese.
Vediamo allora come si potrebbe gestire il rischio in ambito cybersecurity.
Come gestire il rischio in ambito cybersecurity
Generalmente, la gestione del rischio è articolata in un processo mirato a individuare le vulnerabilità del sistema informativo, le possibili minacce e i potenziali danni di una violazione della sicurezza.
Questo processo può essere suddiviso in 5 fasi:
- identificazione dei rischi: individuazione delle possibili fonti e degli scenari di rischio che possono colpire l’azienda;
- classificazione e stima dei rischi: valutazione delle probabilità di accadimento e della gravità delle conseguenze;
- valutazione dei rischi: con l’obiettivo di capire la rilevanza dei rischi per l’organizzazione;
- trattamento e mitigazione dei rischi: pianificazione e attuazione di misure per modificare le componenti di rischio in modo che rientrino nei parametri di sostenibilità aziendali;
- trasferimento del rischio: ricorso a polizze di cyber risk insurance per trasferire a terze parti il rischio residuo.
Ma quali azioni compiono le aziende italiane nel concreto?
La maggior parte delle aziende conduce dei test in modo da valutare la gravità delle vulnerabilità di un sistema ed evidenziare come queste potrebbero compromettere la sicurezza.
Proteggere il proprio business contro attacchi di tipo informatico deve essere una priorità di qualsiasi imprenditore e di qualsiasi start up che decida di competere nel mercato di internet.
Solo pianificando in anticipo, grazie all’aiuto di professionisti, e solo giocando in anticipo sarà possibile proteggere dati, informazioni, transazioni finanziarie e utilizzo di app e sistemi informatici.