Il primo caso di phishing della storia è stato il Cavallo di Troia. Ed è ovviamente per questo che uno dei malware più famosi del mondo informatico ne porta il nome, trojan horse, appunto. Quanti lo sanno?
La mia non è una domanda per fare show off culturale – io so fare questi collegamenti e voi no – tutt’altro. Personalmente, me lo chiedo perché il successo degli attacchi cyber è dato dall’efficacia dell’attacco in sé, ma anche dall’incoscienza di chi lo riceve.
Tornando quindi alla storia classica, l’idea di Ulisse del cavallo “imbottito” di greci fu sì geniale, come altrettanto incauta fu la scelta dei troiani di accoglierlo in quanto regalo e farlo entrare in città. È chi abbocca al phishing il responsabile del danno. E purtroppo, in Italia, di “creduloni” ce ne sono tanti.
Indice degli argomenti
Vulnerabilità strutturale del nostro tessuto produttivo
Il Rapporto Clusit 2024 dipinge un quadro allarmante per la cyber security delle nostre aziende: le perdite economiche causate dal cybercrime hanno superato i 10 miliardi di euro. Il dato rivela la vulnerabilità strutturale del nostro tessuto produttivo, sempre più esposto agli attacchi informatici.
Ed evidenzia la superficialità di molte aziende nell’effettuare interventi basilari, come la gestione delle patch e l’aggiornamento dei software, per gestire la propria sicurezza informatica.
La composizione delle minacce è altrettanto significativa: il 36% degli attacchi è rappresentato da malware, vettore preferito dai criminali informatici, grazie alla sua capacità di colpire indiscriminatamente sistemi spesso non aggiornati o non protetti adeguatamente.
A sua volta, il phishing, responsabile dell’8% degli incidenti, si conferma una minaccia costante, che sfrutta la disattenzione o la scarsa preparazione dei singoli lavoratori per accedere a dati sensibili.
Ancora più preoccupante è l’incremento degli attacchi DDoS, anch’essi attestati all’8% e raddoppiati rispetto al 2022, sintomo di una crescente capacità degli attori malevoli di sovraccaricare e bloccare i sistemi aziendali.
L’errore umano e la mancanza di consapevolezza
La natura degli attacchi evidenzia una debolezza fondamentale: l’uomo è spesso il primo anello debole nella catena della sicurezza. L’errore umano, che si tratti di cliccare su un link di phishing, utilizzare password deboli o non riconoscere segnali di compromissione, è una delle principali porte di ingresso per i criminali informatici.
Questa mancanza di consapevolezza e formazione non è più tollerabile in un contesto in cui le minacce sono sempre più sofisticate e pervasive. Gli attacchi non si limitano a sfruttare vulnerabilità tecnologiche, ma puntano sempre più a manipolare il comportamento umano. Le aziende non possono ignorare questa realtà e devono intervenire con programmi di formazione strutturati, volti a responsabilizzare ogni singolo dipendente.
Il “peso” della direttiva NIS2
In questo contesto, la direttiva NIS 2 rappresenta un passo avanti fondamentale. Approvata a livello europeo, questa normativa aggiorna e amplia il quadro giuridico sulla sicurezza delle reti e dei sistemi informativi, imponendo requisiti più stringenti alle aziende in termini di gestione del rischio e risposta agli incidenti.
L’obiettivo è creare un sistema più resiliente, che coinvolga non solo le infrastrutture critiche, ma anche una gamma più ampia di settori, inclusi trasporti, energia e sanità.
La NIS 2 non si limita a definire obblighi di conformità, ma promuove una cultura della sicurezza che richiede il coinvolgimento di tutte le parti interessate, dai dirigenti ai lavoratori sul campo.
L’AI Act e le implicazioni per la cyber security
A sua volta l’AI Act, sebbene rivolto principalmente alla regolamentazione dell’intelligenza artificiale, ha implicazioni dirette per la cyber security, poiché mira a garantire che i sistemi di intelligenza artificiale siano progettati e utilizzati in modo sicuro, trasparente e affidabile.
L’AI Act introduce principi come la gestione del rischio e l’obbligo di audit, che possono essere integrati nelle strategie di cyber security aziendale per affrontare nuove minacce, come quelle derivanti dall’utilizzo di algoritmi malevoli.
L’importanza della formazione
Nonostante questi interventi normativi virtuosi, resta una verità inconfutabile: nessuna legge può proteggere un’azienda se le persone al suo interno non sono consapevoli delle minacce e delle loro responsabilità.
Gli strumenti tecnologici più avanzati e le normative più stringenti sono inutili se un dipendente ignaro clicca su un’email fraudolenta o inserisce credenziali aziendali su un sito compromesso.
Qui entra in gioco l’urgenza della formazione. Le imprese devono investire non solo in tecnologie, ma anche nelle persone. La formazione deve essere continua e pratica, con simulazioni di attacchi reali, aggiornamenti sulle nuove minacce e protocolli chiari da seguire in caso di sospetti incidenti.
Ogni lavoratore deve sentirsi parte attiva della difesa aziendale, consapevole che un piccolo errore può avere conseguenze catastrofiche.
Gli investimenti in Italia sulla security awareness
Secondo l’Osservatorio Cybersecurity del Politecnico di Milano, nel 2023, le aziende italiane hanno investito complessivamente 2,15 miliardi di euro nel mercato della cyber security, con un aumento del 16% rispetto al 2022.
Questo dato include una componente significativa destinata alla formazione e alla sensibilizzazione dei dipendenti. In particolare, circa l’80% delle organizzazioni ha implementato piani di formazione strutturati per il personale, riflettendo una crescente consapevolezza sull’importanza di sviluppare una cultura della sicurezza informatica nelle aziende
È evidente che questi investimento non sono sufficiente. Il Rapporto Clusit evidenzia, infatti, quanto le forze produttive siano esposte ai rischi. Ma ancor più è necessario pensare alla capacità operativa di chi compie cyber attacchi.
In questo caso, bisogna essere coscienti della “competenza” della avversario. Velocità d’azione, costante trasformazione della propria identità e perfetta conoscenza del web sono fattori effettivamente di vantaggio, rispetto agli strumenti in possesso delle forze produttive.
Cyber security: c’è ancora tanta strada da fare
Tuttavia, la situazione presenta delle disparità: le grandi imprese guidano la maggior parte degli investimenti, con strategie a lungo termine che includono strumenti e formazione specifica, mentre le piccole e medie imprese faticano a stanziare risorse adeguate alla cyber security a causa di vincoli economici e di offerta mirata, esponendosi così a rischi maggiori.
Questi investimenti rispondono a una crescente esigenza di protezione, considerato l’incremento del numero e della sofisticazione degli attacchi informatici. Si osserva anche che molte aziende integrano queste iniziative in strategie di risk management più ampie, per rendere la formazione un elemento fondamentale nella mitigazione dei rischi cyber, con un approccio olistico e proattivo.
Tuttavia, c’è ancora molta strada da fare. La sfida della cyber security è, in ultima analisi, una sfida culturale. Le aziende italiane, spesso connotate da una scarsa sensibilità alla transizione digitale, non possono più permettersi di considerare la sicurezza informatica come una questione esclusivamente tecnica.
È un tema che riguarda l’intera organizzazione, che richiede il contributo di tutti e che deve essere affrontato con un approccio integrato, in cui tecnologia, normative e formazione si uniscono per creare un ambiente più sicuro e resiliente.
