Il Framework di Cyber Risk Strategy in Digital Transformation è modello proposto da Spike Reply, società del Gruppo Reply dedita alla cyber security, con il contributo scientifico di SDA Bocconi School of Management e in collaborazione con Microsoft Italia che, fin dalla filosofia su cui è fondato, promette più che bene.
Di fatto inserisce la cyber security nel più ampio processo di transizione digitale e il perché è presto detto: ridotta all’essenziale, la transizione digitale è la cultura del dato e la cyber security, ridotta ai minimi termini, è la protezione del dato.
È evidente che le due discipline non possano essere scisse tra loro ma, con questo Framework, Spike Reply e SDA Bocconi sottolineano come la cyber security sia un processo da inserire nella transizione digitale e, ancora prima, nessuna di queste due entità ha uno scopo reale senza l’altra.
Igiene e profilassi sono alla portata anche delle piccole realtà aziendali, così come spiega l’ingegnere Salvatore Lombardo, esperto ICT e membro Clusit.
Indice degli argomenti
Cosa c’è nel Framework di Cyber Risk Management
Il risultato integrale può essere consultato qui. Si tratta di una guida pratica per l’implementazione delle strategie di cyber security all’interno di organizzazioni nelle quali la trasformazione digitale è un caposaldo.
Nel framework viene esaminato l’iter per approntare sistemi per la cyber security in aree differenti, ovvero:
- Business
- Digital & IT
- Cyber
Il fine ultimo è quello di bilanciare innovazione tecnologica e cyber security, due facce della medesima medaglia che richiedono una strategia specifica, una pianificazione attenta e un’esecuzione in concerto.
L’idea di fondo si basa sull’individuazione degli elementi che favoriscono oppure ostacolano l’implementazione di una difesa in linea con le strategie dell’organizzazione.
L’importanza della sinergia
In Italia gli attacchi hacker crescono anno su anno e, nel corso del 2023, l’11% degli attacchi gravi censiti a livello globale è stato rivolto al nostro Paese.
I motivi sono da ricercare in diverse direzioni ma, a svettare su tutte le altre, pesa il fatto che l’economia italiana ha una spina dorsale formata soprattutto da microimprese e Pmi che, insieme, formano il 99,6% delle aziende. Organizzazioni piccole, se non persino piccolissime (le microimprese sono quelle che contano al massimo nove dipendenti) che non hanno una visione d’insieme tale da prendere in considerazione cyber security e innovazione come inscindibili.
Eppure, come sottolinea Luca Mayer, Associated Partner Spike Reply: “L’analisi dei casi oggetto di studio ha mostrato che, per essere efficace, l’integrazione tra i mondi cyber e digital non può realizzarsi solo a livello concettuale o limitarsi al solo livello strategico. Tale sinergia tra strategie deve essere estesa anche a livello di pianificazione ed esecuzione, rendendo la cybersecurity un obiettivo aziendale distribuito. Le organizzazioni virtuose devono quindi puntare ad abilitare – anche nel concreto – il paradigma della Pervasive Security. È per questo che l’approccio pervasivo alla cybersecurity rappresenta uno dei cinque facilitatori riportati nel Framework. L’obiettivo della Pervasive Security è infatti quello di facilitare e accelerare l’esecuzione delle attività necessarie ad indirizzare gli aspetti di sicurezza all’interno di un contesto di trasformazione digitale, garantendo il mantenimento di un adeguato livello di rischio senza impattare i processi di innovazione tecnologica, di ottimizzazione ed efficientamento operativo, e di sviluppo di nuovi modelli di business”.
Il medesimo concetto viene espresso dal professor Gianluca Salviotti, docente di SDA Bocconi School of Management: “L’ipotesi forte alla base della ricerca e’ che sia piuttosto anacronistico, nel contesto attuale, disegnare ed attuare una strategia cyber separata dalla strategia digitale. Nei percorsi di transizione digitale il rischio cyber si amplifica e la sua governance, di conseguenza, deve andare di pari passo, incorporando strumenti e logiche diverse rispetto a quelle utilizzate (peraltro con parziale successo) negli anni scorsi. I casi analizzati nella ricerca dimostrano invece, ognuno secondo una prospettiva diversa, come l’integrazione della strategia cyber e della strategia digitale possa contribuire a proteggere l’azienda dalle nuove minacce e dotare i processi dell’opportuna resilienza. Questo crea trust e fiducia, risorse fondamentali nei percorsi di transizione aziendale”.
La cyber security e le Pmi
Si può obiettare che il framework proposto da Spike Replay e SDA Bocconi sia rivolto alle grandi organizzazioni. In realtà si tratta di uno studio che guarda a ogni entità nella quale spicca una certa vocazione all’innovazione.
A prescindere da ciò, anche le Pmi devono mettere la cyber security al centro delle rispettive missioni e Salvatore Lombardo fornisce alcuni consigli a quelle imprese che hanno a disposizione budget o conoscenze limitate: “Alcune strategie a basso costo possono aiutare le Pmi a migliorare la loro sicurezza informatica senza dover affrontare spese proibitive. Innanzitutto, è fondamentale investire nella formazione dei dipendenti. Educare il personale sui rischi informatici e sulle pratiche di sicurezza di base, come riconoscere email di phishing, utilizzare password robuste e limitare l’uso di reti Wi-Fi può ridurre significativamente il rischio di attacchi. Partecipare a consorzi o associazioni di imprese e collaborare con università e centri di ricerca può aiutare a condividere risorse e conoscenze, migliorando la sicurezza complessiva”.
Ci si può dotare di tecnologie appropriate a costi abbordabili, come illustra Salvatore Lombardo: “Molte soluzioni di sicurezza informatica accessibili, come antivirus gratuiti o low cost, firewall integrati nei sistemi operativi e gli aggiornamenti regolari possono aiutare a proteggere i dati aziendali senza richiedere grandi investimenti e a prevenire molte minacce informatiche, mantenendo tutti i software e i sistemi operativi aggiornati con le ultime patch di sicurezza. Un’altra misura importante è quella di effettuare backup regolari dei dati critici. Conservare copie di backup in luoghi sicuri permette di recuperare rapidamente le informazioni in caso di attacchi ransomware o altri eventi emergenziali.
Infine, anche considerare l’outsourcing della sicurezza informatica a fornitori di servizi gestiti potrebbe essere una soluzione conveniente per le Pmi. Questi fornitori offrono monitoraggio continuo e risposte agli incidenti a costi accessibili, permettendo alle aziende di beneficiare di competenze specializzate senza dover assumere personale dedicato”.
I rimedi ci sono ma hanno un grosso limite: fanno tutti capo alla cultura digitale delle organizzazioni. In difetto di questa, la cyber security rimarrà sempre un optional, facilitando la vita al cyber crimine.
