Mai come oggi le aziende – e in particolare quelle attive in settori strategici come il Finance – devono assicurarsi che la propria cyber risk governance soddisfi i requisiti imposti da uno scenario che definire critico è poco.
Sanità, pubblica amministrazione e per l’appunto comparto finanziario e assicurativo sono infatti nel mirino dei cyber criminali, che guardano alle realtà italiane con sempre maggiore interesse.
Indice degli argomenti
L’Italia al centro delle attenzioni del cyber-crimine
Lo dice innanzitutto il rapporto Clusit: nel corso del 2023, in Italia, è andato a segno l’11% degli attacchi gravi (era il 7,6% nel 2022), per un totale di 310 iniziative (+65% rispetto all’anno precedente).
Per comprendere la portata dell’accelerazione del fenomeno, è sufficiente ricordare che oltre il 47% degli attacchi totali censiti in Italia nell’ultimo quinquennio si è verificato nel solo 2023. In questo contesto, le iniziative rivolte contro il settore finanziario pesano per l’11% del totale, crescendo percentualmente del 62% rispetto all’anno precedente e producendo un impatto critico nel 50% dei casi (era il 40% nel 2022).
“Ma l’allarme arriva anche dai servizi segreti, che mettono l’intero Paese in guardia rispetto ai crescenti rischi cibernetici e ibridi all’interno dello scenario politico internazionale”, spiega Andrea Violato, Product Owner di Augeos, società di consulenza direzionale e tecnologica specializzata nello sviluppo di servizi e soluzioni software per il settore Finance, con particolare riferimento al risk management.
Violato allude all’ultimo rapporto pubblicato dal Sistema di informazione per la sicurezza della Repubblica (ovvero l’insieme degli Organi e delle Autorità che hanno il compito di assicurare le attività informative per salvaguardare la nazione da pericoli e minacce di varia natura).
“Alla luce dei conflitti in corso, secondo l’intelligence l’Italia è un obiettivo strategico di campagne e attacchi condotti da attori statuali oltre che da gruppi di pseudo attivisti che conducono attacchi in supporto di uno degli stati in guerra”, rimarca Violato. “La sicurezza nazionale dipende quindi dalla capacità del Paese di essere resiliente alle minacce informatiche sviluppando una cyber risk governance sempre più integrata. Si tratta di una condicio sine qua non, proprio perché tutto ormai, in virtù delle tecnologie digitali, è interconnesso”.
Il problema è che, parlando in generale, il tessuto produttivo italiano risulta ancora sostanzialmente impreparato ad affrontare questa sfida. Per lo meno è ciò che mette in evidenza il Cisco Cybersecurity Readiness Index 2024, ricerca condotta su 8mila responsabili della sicurezza provenienti da 30 Paesi, tra cui anche l’Italia.
Stando ai risultati dell’indagine, solo l’1% delle organizzazioni tricolori può infatti essere considerato ‘maturo’, mentre il 78% del campione ha dichiarato di trovarsi nella fase ‘iniziale’ o ‘formativa’.
Colpa anche della crescente sofisticatezza degli strumenti da mettere in campo, con soluzioni di cybersecurity spesso troppo complesse da gestire.
Cyber risk governance, l’eccellenza del settore finanziario
“Non è questo, a mio avviso, il caso del settore finanziario e delle assicurazioni, che rispetto ad altri verticali ha, praticamente da sempre, inglobato una forte componente tecnologica, il che ha permesso non solo di maturare una certa familiarità con l’IT, ma anche e soprattutto con la cyber security”, precisa Violato.
“Per questi player, d’altra parte, rischio informatico è sinonimo di potenziali danni reputazionali, oltre che economici, ed è anche per questo che specialmente le banche hanno sviluppato maggiore sensibilità sul tema della cyber risk governance. La mia personale percezione è che anzi questo atteggiamento si sta consolidando, non solo sull’onda dell’entrata in vigore di nuovi framework normativi ad hoc, a partire dal Regolamento Dora, ma anche e soprattutto in termini di azioni migliorative già pianificate e messe a budget. Investimenti che di sicuro semplificheranno il raggiungimento della conformità con lo stesso Regolamento Dora”.
Secondo Violato un netto cambio di prospettiva è segnalato anche dai progressi fatti sulle attività di assessment legate ai sistemi di pagamento.
“Nell’ottica di ottemperare alla PSD2, ad aprile le banche sono tenute a comunicare all’Authority le proprie analisi sul rischio operativo e informatico relativo ai processi di pagamento. È un obbligo vigente da anni, ma nel 2024 ho notato un maggiore presidio: se fino a qualche tempo fa si trattava di una vera e propria incombenza da gestire tra capo e collo, ora si pone un’attenzione completamente diversa nell’analisi dei gap”, rivela Violato.
“E questo implicitamente denota una maggiore consapevolezza sulla portata di queste minacce. Il pagamento, del resto, è uno dei principali filoni tecnologici quando si parla di attacchi cyber. Ma non c’è solo questo. L’impressione generale è che le funzioni di controllo di secondo livello si siano finalmente formate, aprendo gli occhi sulla materia e facilitando quindi la diffusione della cultura del rischio a tutti i livelli aziendali. Quanto meno verso il basso”.
La sfida dei C-Level: aumentare l’awareness puntando su informazioni di alto livello
Molto più difficoltoso, infatti, è ascendere verso le figure apicali dell’organigramma: coinvolgere e soprattutto convincere i C-Level – che sono poi le persone a cui spetta l’ultima parola in fatto di investimenti in soluzioni per la cyber risk governance – è ancora un’impresa ardua.
“La sfida è riuscire a trasmettere informazioni di valore, insights che rendano edotti i decisori su situazioni che, più o meno volutamente, ignorano”, dice Violato, secondo cui specie nel mondo bancario, è complicato affrontare con il top management questioni astratte come queste in modo diretto.
“Parliamo – aggiunge il manager – di seniority abituate a un mondo analogico, e non si può chiedere loro di partecipare a un corso di formazione. D’altra parte, non si può nemmeno sperare che succeda qualcosa di realmente catastrofico perché tutti ai piani alti prendano piena coscienza dei rischi cyber”.
Dunque, cosa occorre fare? “La maniera più semplice che oggi un risk manager ha di attirare l’attenzione dei C-Level è evocare il tema delle perdite finanziarie collegate a una cyber risk governance non adeguata”, assicura Violato.
All’atto pratico, bisogna quindi intervenire con strumenti integrati di risk management, che non solo consentano di effettuare una raccolta puntuale delle informazioni collegate alle fattispecie di rischio, ma che aiutino anche a evidenziare le risultanze per conferire significati precisi a ciascun rapporto di causa effetto.
“Non bastano numeri e grafici, è necessario creare report con informazioni di alto livello, che rendano chiari ed evidenti a qualsiasi tipo di interlocutore i risultati delle attività di loss data collection. Occorre puntare su una corretta narrazione del dato, che aiuti cioè i C-Level a capire cosa comporta davvero sul piano finanziario un aumento delle probabilità che una minaccia cyber si avveri”, precisa Violato.
“Quali sono, per esempio, gli effetti concreti di un aumento delle campagne di phishing o di iniziative di social engineering sulla continuità di business? A quanto ammontano le perdite operative e i danni reputazionali causati da un incremento degli incidenti dovuti a comportamenti errati, per quanto in buona fede, dei dipendenti? Porre queste domande e soprattutto fornire le giuste risposte è essenziale per creare awareness e ottenere tutte le risorse necessarie a migliorare la cyber risk governance aziendale”.
Contributo editoriale sviluppato in collaborazione con Augeos
