Nel campo della cyber security, l’outsourcing si rivela una soluzione vantaggiosa per affrontare le sfide poste dalle minacce informatiche sempre più evolute ed eterogenee.
Tuttavia, considerata l’eventuale criticità dei processi impattati risulta necessario indirizzare adeguatamente la pianificazione strategica e l’approccio adottato per la valutazione delle funzioni da esternalizzare.
Indice degli argomenti
Outsourcing: cos’è e perché conviene nella cyber security
L’outsourcing, lo ricordiamo, è una strategia aziendale che consiste nel delegare a fornitori esterni alcune attività o processi non strategici per l’impresa.
Questa pratica permette di ridurre i costi, aumentare l’efficienza e la qualità, e concentrarsi sulle proprie competenze chiave.
L’outsourcing è sempre più diffuso, soprattutto nel settore dei servizi, e richiede una buona gestione dei rapporti tra le parti coinvolte.
In base alle esigenze specifiche e alla valutazione del rapporto costi-benefici, le aziende possono scegliere di esternalizzare praticamente tutto ciò che riguarda la cyber security o solo alcune parti di essa.
Le opzioni di esternalizzazione variano dalla collaborazione con società nello stesso paese (onshore) a quelle in paesi vicini, ma nella stessa zona oraria (nearshore), o in paesi più lontani (offshore).
Tradizionalmente, l’outsourcing cyber ha coinvolto l’uso di Managed Service Providers (MSP), ovvero fornitori di servizi IT che monitorano e mantengono le operazioni IT di altre organizzazioni.
Tuttavia, con l’evoluzione tecnologica, molti fornitori hanno iniziato ad offrire soluzioni di cloudsourcing, un tipo di outsourcing che consente alle aziende di esternalizzare la propria infrastruttura IT e le proprie esigenze operative, sfruttando la flessibilità e la scalabilità del cloud computing.
Le soluzioni di cloudsourcing combinano i vantaggi dei servizi MSP con quelli del cloud, offrendo alle aziende una maggiore agilità, efficienza e sicurezza. Le soluzioni di cloudsourcing possono essere di diversi tipi, a seconda delle esigenze e delle preferenze delle aziende, come il cloud pubblico, il cloud privato, il cloud ibrido o il cloud multi-tenant.
In Italia, l’outsourcing cyber è influenzato da un contesto normativo e da un tessuto imprenditoriale che richiedono specifiche esigenze di sicurezza e qualità.
Il panorama economico italiano è dominato dalla presenza di piccole e medie imprese (PMI), che rappresentano una fonte di dinamismo e innovazione, ma anche una potenziale vulnerabilità.
Infatti, le PMI italiane mostrano una minore propensione a reclutare personale con competenze cyber rispetto ad altre nazioni europee. Secondo i dati Eurostat, solo il 10% delle imprese italiane con più di 10 dipendenti ha personale con competenze ICT.
Tuttavia, le PMI italiane sono sempre più consapevoli della necessità di proteggere i propri asset digitali e si orientano verso un’adozione attenta e misurata dei servizi di outsourcing cyber.
Fattori che influenzano l’outsourcing della cyber security
Un ambito in cui l’outsourcing strategico si rivela particolarmente vantaggioso è proprio quello della cyber security, in quanto richiede competenze e risorse specifiche che spesso superano le capacità interne delle aziende.
Affidare la gestione e la sicurezza IT a fornitori esterni specializzati consente alle aziende di accedere a soluzioni avanzate e personalizzate, riducendo i costi e i rischi legati agli incidenti di sicurezza.
Ma quali sono i fattori che determinano la scelta di esternalizzare o meno la cyber security?
Analizziamo di seguito sei aspetti chiave: il risparmio di costi, la cultura della sicurezza, il threat environment, i vincoli di budget, la conformità normativa e legislativa, e i requisiti di protezione dei dati e della proprietà intellettuale.
Il risparmio di costi
È un fattore determinante per le aziende che vogliono ottimizzare le spese e ottenere miglioramenti nella sicurezza.
Gli MSSP offrono soluzioni economicamente efficienti, che permettono alle aziende di accedere a servizi di qualità a fronte di un investimento ridotto.
Questo aspetto è rilevante in un contesto aziendale dove bilanciare budget e sicurezza è una sfida costante.
L’outsourcing della cyber security può rappresentare una soluzione per ridurre i costi, trasformando le spese iniziali in spese operative, e beneficiando di economie di scala e di specializzazione da parte dei MSSP.
Tuttavia, l’outsourcing non elimina completamente i costi, ma li rende più prevedibili e gestibili.
Inoltre, l’outsourcing può comportare dei costi nascosti, come quelli legati alla selezione, al monitoraggio e alla valutazione dei fornitori, o quelli derivanti da eventuali disservizi o violazioni dei contratti.
La cultura della sicurezza
Si tratta di un altro fattore fondamentale per le aziende che vogliono proteggere i propri asset digitali.
L’outsourcing cyber può influenzare positivamente o negativamente la cultura della sicurezza di un’organizzazione, a seconda di come viene gestito. Se l’outsourcing cyber viene visto come una delega totale della responsabilità, può ridurre la consapevolezza e la responsabilità tra i dipendenti.
Se, invece, l’outsourcing cyber viene visto come una collaborazione tra le parti, può aumentare la consapevolezza e la responsabilità tra i dipendenti. Di conseguenza, è fondamentale che i dirigenti aziendali monitorino costantemente l’evoluzione dell’ecosistema di sicurezza e valutino l’impatto dell’outsourcing sulla cultura interna.
L’outsourcing della cyber security può favorire la diffusione di una cultura della sicurezza, se i MSSP sono in grado di trasmettere le migliori pratiche, le ultime novità e le lezioni apprese ai clienti, e se le aziende sono in grado di coinvolgere i dipendenti in un processo di apprendimento continuo e di miglioramento della sicurezza.
Tuttavia, l’outsourcing della cyber security può anche minare la cultura della sicurezza, se i MSSP non sono allineati con i valori, le aspettative e gli obiettivi dei clienti, e se le aziende non sono in grado di mantenere il controllo e la supervisione sui processi e sui risultati della sicurezza.
Il threat environment
È il terzo fattore da considerare. Gli attacchi informatici sono sempre più frequenti, sofisticati e mirati, e possono causare danni ingenti alle infrastrutture, ai dati e alla reputazione delle aziende.
Di fronte a questo scenario, le aziende devono decidere se gestire internamente la sicurezza, assumendo personale qualificato, acquistando tecnologie adeguate e implementando processi efficaci, oppure se affidarsi a MSSP, che possono offrire una maggiore protezione, ma anche introdurre nuove vulnerabilità.
Ad esempio, i MSSP potrebbero avere accesso a dati sensibili delle aziende clienti, o potrebbero essere a loro volta vittime di attacchi informatici.
Pertanto, le aziende devono valutare attentamente i pro e i contro di entrambe le opzioni, tenendo conto del livello di rischio, della natura delle minacce e della fiducia nei fornitori.
Vincoli di budget
La cyber security richiede investimenti significativi, sia in termini di capitale che di spesa corrente, che molte aziende non sono in grado di sostenere. Inoltre, la cyber security è spesso vista come una spesa non strategica, che non genera un ritorno sull’investimento tangibile.
Per questo motivo, molte aziende tendono a integrare i requisiti di cyber security nei budget IT generali, o a destinare risorse su base ad-hoc, senza una pianificazione a lungo termine.
Questa pratica può compromettere l’efficacia e l’efficienza della sicurezza, e rendere le aziende più vulnerabili agli attacchi informatici.
L’outsourcing della cyber security può rappresentare una soluzione per ridurre i costi, trasformando le spese iniziali in spese operative, e beneficiando di economie di scala e di specializzazione da parte dei MSSP.
Tuttavia, l’outsourcing non elimina completamente i costi, ma li rende più prevedibili e gestibili anche se può comportare dei costi nascosti, come quelli legati alla selezione, al monitoraggio e alla valutazione dei fornitori, o quelli derivanti da eventuali disservizi o violazioni dei contratti.
La conformità normativa e legislativa
Le normative in materia di cyber security sono in continua evoluzione, e impongono alle aziende di adeguarsi a standard sempre più elevati e rigorosi. Questo comporta un carico di conformità sempre più oneroso, che richiede tempo, risorse e competenze specifiche.
Molte aziende optano per l’outsourcing della cyber security per trasferire questo onere ai MSSP, che sono tenuti a rispettare le normative vigenti e a garantire la sicurezza dei dati e dei sistemi dei clienti.
Tuttavia, l’outsourcing non esime le aziende dalla responsabilità di assicurare la conformità, ma le rende dipendenti dai fornitori, che devono essere attentamente selezionati, controllati e valutati.
Inoltre, l’outsourcing può esporre le aziende a rischi legali, in caso di violazione dei dati o dei contratti, che possono comportare sanzioni, risarcimenti o reputational issue.
Requisiti inerenti alla protezione dei dati e alla proprietà intellettuale
I dati e la proprietà intellettuale sono asset strategici per le aziende, che devono proteggerli da eventuali furti, perdite o alterazioni.
Le preoccupazioni relative alla privacy dei dati e alla salvaguardia della proprietà intellettuale sono quindi centrali nelle decisioni di outsourcing della cyber security, specialmente in un’epoca in cui le violazioni dei dati possono avere conseguenze finanziarie e legali significative.
L’outsourcing della cyber security può offrire una maggiore protezione dei dati e della proprietà intellettuale, grazie all’esperienza e alle tecnologie dei MSSP, che possono implementare misure di sicurezza più avanzate e aggiornate.
Tuttavia, l’outsourcing può anche comportare dei rischi, come la perdita di controllo sui dati e sulla proprietà intellettuale, che potrebbero essere compromessi, divulgati o utilizzati in modo improprio dai fornitori o da terze parti.
Pertanto, le aziende devono assicurarsi che i MSSP siano affidabili, trasparenti e rispettosi delle norme e dei contratti relativi alla protezione dei dati e della proprietà intellettuale.
Outsourcing della cyber security: vantaggi, svantaggi e sfide
L’outsourcing è una scelta che presenta dei vantaggi e degli svantaggi. Prima di farlo, le aziende devono valutare attentamente le proprie caratteristiche, esigenze e obiettivi.
È importante tenere presente quali sono i principali pro e contro dell’outsourcing della cyber security, in modo da capire i benefici e avere ben presente i rischi che questa pratica comporta.
Tra i vantaggi dell’outsourcing della cyber security, possiamo citare:
- L’accesso a competenze specializzate. Gli MSSP dispongono di personale qualificato, di tecnologie all’avanguardia e di metodologie consolidate per garantire la sicurezza dei dati e dei sistemi dei clienti.
- La riduzione dei costi operativi. L’outsourcing della cyber security consente alle aziende di risparmiare sui costi legati alla gestione interna della sicurezza, come l’assunzione e la formazione del personale, l’acquisto e la manutenzione delle tecnologie, e l’implementazione e il monitoraggio dei processi.
- La flessibilità nell’allocazione delle risorse. L’outsourcing della cyber security permette alle aziende di concentrarsi sulle proprie attività di business, delegando le funzioni di sicurezza a esperti del settore. In questo modo, le aziende possono allocare le proprie risorse in modo più efficiente ed efficace, e migliorare la propria produttività e competitività.
Tra gli svantaggi dell’outsourcing della cyber security, possiamo considerare:
- La parziale perdita del controllo sui dati. Quando le aziende esternalizzano i propri servizi IT, i dati spesso vengono memorizzati presso i server del fornitore, il che comporta la perdita di confidenzialità, integrità e potenzialmente disponibilità dei dati.
- Gli insider potenzialmente malevoli e/o negligenti. Un dipendente interno o esterno con accesso privilegiato ai dati può abusare della sua posizione per accedere a informazioni confidenziali, compromettendo la sicurezza dei dati aziendali.
- La natura della multi-tenancy dei fornitori di servizi. Questi fornitori, che offrono servizi a diverse aziende, diventano bersagli primari per gli attaccanti, poiché possiedono una vasta quantità di dati sensibili provenienti da diversi clienti. Inoltre, la trasmissione e la memorizzazione dei dati su Internet rendono i dati suscettibili ad attacchi esterni durante il trasporto o l’archiviazione.
- La complessità dei processi di due diligence e investigazione. Le aziende potrebbero non essere in grado di determinare esattamente dove siano fisicamente memorizzati i loro dati, rendendo difficile effettuare ispezioni presso il fornitore di servizi, specialmente se situato all’estero o se utilizza subappaltatori.
Quali funzioni cyber è meglio esternalizzare?
Alla luce delle considerazioni espresse, di seguito vengono proposte delle valutazioni rispetto alle funzioni in ambito cyber potenzialmente esternalizzabili:
Funzione Aziendale | Tendenze e Razionali | Possibili Impatti Aziendali | Vendor |
Monitoraggio e Gestione delle Minacce | L’aumento della complessità delle minacce cyber richiede competenze specializzate e tecnologie avanzate per il monitoraggio e la gestione in tempo reale. L’outsourcing consente l’accesso a queste risorse senza il bisogno di investimenti ingenti in infrastrutture e formazione. | Riduce il tempo di rilevamento e reazione alle minacce, migliorando la resilienza aziendale. Può anche ridurre i costi associati alla gestione interna di queste funzioni. | Managed Security Service Providers (MSSP), fornitori di servizi di sicurezza cloud. |
Gestione della Vulnerabilità | Con l’evoluzione continua del software e delle infrastrutture IT, identificare e mitigare le vulnerabilità è diventato più complesso. L’outsourcing offre accesso a esperti che possono eseguire valutazioni approfondite e regolari. | Aiuta a prevenire violazioni dei dati e attacchi informatici, proteggendo la reputazione e i dati aziendali. | Fornitori di servizi di penetration testing, società di consulenza in sicurezza informatica. |
Conformità e Governance | Le normative sulla protezione dei dati e sulla cyber security stanno diventando sempre più stringenti a livello globale. L’outsourcing consente alle aziende di rimanere aggiornate con i requisiti normativi. | Garantisce la conformità normativa, riducendo il rischio di sanzioni e migliorando la fiducia dei clienti e dei partner. | Società di consulenza specializzate in cyber security e conformità normativa, legal tech companies. |
Formazione sulla Sicurezza | L’errore umano rimane una delle principali cause di incidenti di sicurezza. Programmi di formazione specializzati possono ridurre significativamente questo rischio. | Migliora la consapevolezza dei dipendenti sui rischi cyber, riducendo la probabilità di incidenti di sicurezza causati da errori umani. | Fornitori di e-learning, società specializzate in formazione sulla sicurezza informatica. |
Sicurezza delle Applicazioni | Lo sviluppo agile e l’integrazione continua richiedono una sicurezza delle applicazioni proattiva e integrata nel ciclo di vita dello sviluppo software. | Riduce il rischio di vulnerabilità nelle applicazioni, proteggendo i dati aziendali e dei clienti. | Fornitori di servizi di sicurezza delle applicazioni (AppSec), società di consulenza in sicurezza informatica. |
Gestione dell’Identità e degli Accessi (IAM) | L’adozione del cloud e il lavoro remoto hanno reso la gestione dell’identità e degli accessi più complessa ma necessaria per la resilience aziendale. | Assicura che solo gli utenti autorizzati possano accedere a risorse critiche, riducendo il rischio di violazioni dei dati. | Fornitori di soluzioni IAM, piattaforme di autenticazione multifattore (MFA). |
Business Continuity | L’aumento degli attacchi cyber e dei disastri naturali rende fondamentale avere piani di recupero di emergenza e continuità operativa robusti. | Minimizza l’interruzione delle operazioni aziendali in caso di incidente, proteggendo il flusso di entrate e la reputazione. | Fornitori di soluzioni di backup e disaster recovery, società specializzate in continuità operativa. |
Struttura Contrattuale | Enfasi su contratti dettagliati per definire servizi, responsabilità e risposte agli incidenti, mirati a mitigare i rischi. | Assicura protezione e riduce rischi legali e operativi, stabilendo standard di sicurezza chiari | MSSP e consulenti legali per negoziare termini che tutelano gli interessi aziendali. |
Outsourcing e consulenza per la cyber security nelle PMI
Come menzionato l’outsourcing delle attività di sicurezza informatica è spesso necessario per le PMI italiane, a causa della mancanza di personale interno con competenze ICT.
Questa opzione presenta dei vantaggi, come la riduzione dei costi, l’accesso a competenze specializzate e la flessibilità nell’allocazione delle risorse.
Tuttavia, presenta anche dei rischi, come la perdita di controllo sui dati, la dipendenza dai fornitori e la complessità dei processi di conformità. Inoltre, molte PMI italiane affrontano l’esigenza di protezione da attacchi cyber senza una piena comprensione delle loro esigenze, spesso considerando questo come uno spreco di risorse.
Di conseguenza, preferiscono rivolgersi a grandi imprese ICT per la sicurezza informatica, basandosi sulla fiducia e sulla convenienza, ma senza una valutazione critica delle soluzioni offerte.
Per facilitare ulteriormente lo sviluppo del mercato della sicurezza informatica, è necessario non solo avere fornitori di servizi cyber affidabili, ma anche consulenti capaci di assistere le PMI italiane nell’individuare i servizi necessari e, eventualmente, fornirli direttamente.
La consulenza per la cyber security è un servizio che consiste nel fornire alle PMI italiane una valutazione delle loro esigenze, una progettazione di un sistema di sicurezza informatica adeguato e un supporto nella scelta e nella gestione dei fornitori di servizi cyber.
La consulenza per la cyber security può offrire diversi benefici alle PMI italiane, come una maggiore consapevolezza dei rischi, una migliore definizione degli obiettivi e una maggiore efficacia ed efficienza della sicurezza informatica.
Potenziale approccio di outsourcing delle funzioni cyber
- Per definire un modello di outsourcing della cyber security, il primo passo è valutare attentamente le esigenze specifiche dell’azienda in termini di sicurezza informatica. Questo implica definire il contesto di rischio, stabilire gli obiettivi di protezione e identificare le aree chiave da esternalizzare. Questa fase è fondamentale per guidare il processo di outsourcing, selezionando i servizi necessari per il potenziamento aziendale. Per fare questo, le aziende devono:
- Analizzare il contesto di rischio, valutando la probabilità e l’impatto delle minacce informatiche sulle proprie attività, i propri dati e i propri sistemi. Questo aiuta a identificare i punti deboli, le vulnerabilità e le priorità di sicurezza.
- Stabilire gli obiettivi di protezione, definendo il livello di sicurezza desiderato e le aspettative in termini di prestazioni, qualità e conformità. Questo aiuta a delineare i requisiti e le specifiche del servizio di sicurezza.
- Identificare le aree chiave da esternalizzare, scegliendo le funzioni di sicurezza che possono essere delegate a fornitori esterni, in base alle proprie competenze, risorse e capacità interne. Questo aiuta a selezionare i servizi più adatti alle proprie esigenze.
- Successivamente è necessario identificare il fornitore di servizi cyber che meglio risponde alle esigenze dell’azienda. Questo implica valutare le competenze tecniche, l’esperienza nel settore e la reputazione del fornitore, verificando la sua capacità di offrire soluzioni di sicurezza affidabili, innovative e personalizzate.
- In seguito, bisogna stabilire i requisiti del servizio di outsourcing in modo dettagliato, includendo ad esempio gli SLA, i KPI e altre metriche di valutazione delle prestazioni. Questo implica definire le aspettative, i livelli di servizio e i criteri di qualità del servizio, garantendo che il servizio fornito sia allineato agli obiettivi aziendali. Per fare questo, le aziende devono:
- Definire gli SLA, ovvero gli accordi di livello di servizio, che stabiliscono le condizioni, le modalità e le responsabilità del servizio, come ad esempio la durata, il costo, la copertura, la disponibilità, la sicurezza e la risoluzione dei problemi. Questo aiuta a chiarire le aspettative e i diritti di entrambe le parti.
- Definire i KPI, ovvero gli indicatori chiave di prestazione, che misurano il raggiungimento degli obiettivi e il livello di soddisfazione del servizio, come ad esempio il numero e il tipo di incidenti, il tempo di risposta, il tasso di risoluzione e il feedback dei clienti. Questo aiuta a monitorare e valutare le prestazioni e l’efficacia del servizio.
- Definire altre metriche di valutazione, che possono includere aspetti qualitativi e quantitativi del servizio, come ad esempio la conformità agli standard, la sicurezza dei dati, l’innovazione e il miglioramento continuo. Questo aiuta a verificare la qualità e la sostenibilità del servizio.
- Il quarto passo è procedere alla pianificazione, all’implementazione e all’integrazione del servizio in maniera graduale. Questo implica integrare il servizio esterno con i processi interni dell’azienda, garantendo una transizione senza complicazioni e minimizzando il rischio di interruzioni operative.
- Infine, anche in osservanza dei requisiti sull’information sharing in ambito incident risulta necessario definire gli information flow con il fornitore esterno e monitorare costantemente le prestazioni del servizio. Questo implica sviluppare una supervisione attiva, l’analisi dei rapporti e l’audit periodico, verificando il rispetto degli standard e degli obiettivi. Questa fase è fondamentale per gestire efficacemente il servizio e risolvere eventuali problemi o disservizi.
In conclusione
L’outsourcing della cyber security è una scelta vantaggiosa ma anche sfidante per le aziende, che devono definire e gestire un modello di outsourcing efficace e sostenibile.
In questo capitolo, abbiamo analizzato come definire e gestire un modello di outsourcing della cyber security, illustrando le strategie, i requisiti e le best practices da seguire.
