La trasformazione digitale, il lavoro ibrido e l’adozione sempre più massiccia di tecnologie disruptive come il cloud e il 5G hanno di fatto stravolto il panorama dei rischi informatici per le PMI, sempre più impegnate a difendere un perimetro cyber aziendale ormai senza confini ben definiti.
Uno scenario complesso ben rappresentato da Cisco che, nel marzo 2023, ha pubblicato il Cybersecurity Readiness Index. Resilience in a Hybrid World. Lo studio, condotto tra agosto e settembre 2022, ha esaminato 6.700 imprese leader di sicurezza cibernetica provenienti da 27 Paesi sparsi fra Nord America, Europa, America Latina, Africa e Asia-Pacifico.
L’indice si basa su cinque pilastri: identità, dispositivi, rete, carichi di lavoro delle applicazioni e dati. All’interno di essi, sono state considerate 19 soluzioni necessarie per gestirli.
In seguito, è stato chiesto se le aziende disponessero di tecniche per affrontare le sfide di ciascun pilastro e a che punto fossero con l’implementazione.
I dati sono stati poi categorizzati in base allo stato di preparazione, in cui gli operatori sono stati classificati in base ai punteggi ponderati di ciascun pilastro che ne riflettono l’importanza: rete (25%), identità (20%), dispositivi (20%), dati (20%) e carichi di lavoro delle applicazioni (15%).
Le organizzazioni sono state infine suddivise in quattro stadi di preparazione a seconda della valutazione acquisita:
- principianti (meno di 10): si tratta di organizzazioni nelle fasi iniziali di implementazione delle soluzioni;
- formative (tra 11 e 44): si fa riferimento a società che hanno un certo livello di livello di implementazione, ma con prestazioni inferiori alla preparazione media in cybersicurezza;
- progressive (tra 45 e 75): vengono incluse in tale categoria le aziende con un livello considerevole di implementazione e con prestazioni di sicurezza superiori alla media;
- mature (da 76 in su): si tratta di società che hanno raggiunto stadi avanzati di implementazione e che sarebbero le più pronte ad affrontare i rischi.
Guardando al quadro complessivo, il 47% degli intervistati rientrerebbero nei formativi, il 30% nei progressivi, il 15% nei maturi e l’8% nei principianti.
Indice degli argomenti
Protezione delle identità: una priorità per le PMI
La protezione delle identità risulta essere la priorità per le società coinvolte. Nella maggior parte dei casi le azioni si concentrano sulla creazione di un perimetro per tenere lontane le minacce.
Tuttavia, con il lavoro ibrido, i dati possono essere distribuiti su un numero illimitato di servizi, dispositivi, applicazioni e utenti, rendendo carenti gli approcci perimetrali tradizionali. Ciò richiederebbe nuove strategie in cui è necessario verificare proattivamente l’identità di ogni utente, come la gestione integrata delle identità e degli accessi (IAM). La ricerca di Cisco ha sottolineato come il 24% delle aziende abbia classificato la compromissione delle identità come il rischio primario derivante dai cyber attacchi.
Per tale ragione, il 95% delle imprese ha dichiarato di avere implementato un qualche tipo di soluzione di gestione delle identità, con la IAM che si è rivelata la più apprezzata, con due terzi delle preferenze.
Allo stesso tempo, sarebbe preoccupante il fatto che per coloro che non hanno ancora sistemi di protezione, il 69% ha affermato di non avere intenzione di implementare nuove soluzioni. La maggior parte di queste realtà dovrebbe impiegare da uno a cinque anni per completare gli interventi.
L’importanza della protezione delle reti
Il secondo elemento considerato più critico dalle imprese è la protezione delle reti. La maggior parte delle società avrebbe optato di utilizzare firewall con sistemi di prevenzione delle intrusioni (IPS) integrati. Il 69% ha dichiarato di aver implementato questa funzionalità, seguita dalle politiche di segmentazione della rete basate sull’identità (61%), dagli strumenti di rilevamento delle anomalie del comportamento di rete (60%) e dai dispositivi di cattura dei pacchetti e dei sensori (31%).
Il problema in tal senso sarebbe che la scala di distribuzione sarebbe diseguale. Tra le aziende che dispongono di firewall con IPS integrato, solo il 56% avrebbe adottato tale strumento e solo il 64% delle aziende avrebbe implementato completamente i criteri di segmentazione.
Tra le misure proposte da Cisco per superare queste problematiche vi è il Secure Access Service Edge (SASE). Esso combina le tradizionali tecnologie di sicurezza con funzionalità software-defined wide-area networking (SD-WAN), consentendo un accesso sicuro alle applicazioni basate sul cloud per i lavoratori da remoto, indipendentemente dalla loro ubicazione.
Il SASE consente altresì di creare criteri di sicurezza specifici per l’utente, il dispositivo e l’applicazione, invece che per la rete.
Tra le aziende che stanno ancora implementando soluzioni di sicurezza di rete, il 50% ha dichiarato di avere in programma di farlo entro un anno.
La messa in sicurezza dei dispositivi aziendali
La salvaguardia dei dispositivi è stata classificata al terzo posto dai partecipanti alla ricerca. Il 73% avrebbero scelto sistemi antivirus avanzati come soluzione principale per salvaguardare gli apparecchi. La creazione di protezioni all’interno del sistema operativo, come i controlli host, è un altro modo in cui le organizzazioni starebbero proteggendo i loro dispositivi, con il 65% che dichiara di aver adottato queste misure.
Tuttavia, ci sarebbero due tendenze da tenere in considerazione. In primis, la scala di distribuzione sarebbe parziale. Questo sarebbe il motivo per cui, nonostante un numero elevato di intervistati affermi di impiegare queste soluzioni, il 56% si troverebbe in una fase iniziale.
In secondo luogo, coloro che non hanno questi strumenti nella loro strategia non sembrerebbero considerare la gestione dei dispositivi come una priorità. Due terzi delle organizzazioni hanno dichiarato che non prevederebbero di ricorrervi.
Proteggere i carichi di lavoro delle applicazioni
In merito alla protezione dei carichi di lavoro delle applicazioni, il 97% delle aziende avrebbe messo in atto misure per questo scopo. Nello specifico, il 66% avrebbe optato per i firewall software host, il 64% per la protezione degli endpoint, il 55% per gli strumenti di protezione incentrati sulle applicazioni e il 34% per i software di prevenzione dalla perdita di dati (DLP).
Malgrado i firewall software host si siano rivelati la scelta della maggior parte delle aziende, solo il 67% avrebbe implementato completamente la soluzione. La maggior parte degli altri intervistati si troverebbe a metà strada dell’implementazione, con il 6% che ha dichiarato di aver appena iniziato.
Protezione degli endpoint e tutela dei dati
L’implementazione degli strumenti di protezione degli endpoint è ancora più indietro, con il 57% che l’ha attuata e il 35% che la sta portando a termine.
L’88% avrebbe in programma di implementare soluzioni in materia entro due anni, anche se il 12% prevederebbe di impiegare dai tre ai cinque anni e soltanto il 39% avrebbe concordato o stanziato i fondi necessari.
Infine, per quanto concerne la tutela dei dati, il 98% disporrebbe di una strumentazione adeguata. In particolare, il 67% avrebbe scelto la crittografia o misure per eseguire il backup e il recupero dei dati persi, il 55% politiche contro le fughe di dati e il 41% IPS host.
Inoltre, il 94% avrebbe attuato gli strumenti di crittografia, mentre il 92% avrebbe completato o sarebbe in procinto di completare gli strumenti di backup e ripristino.
Mancanza di budget: un ostacolo per la sicurezza delle PMI
Ci sarebbero però problemi relativi alle tempistiche, con il 57% degli intervistati propenso ad aspettare più di un anno prima di iniziare l’implementazione. Ciò sarebbe dovuto a una mancanza di budget, con il 56% che non avrebbe ancora i finanziamenti necessari.
Lo studio ha segnalato che le aziende di medie dimensioni sarebbero le più preparate. Queste organizzazioni si troverebbero in una posizione privilegiata poiché sarebbero abbastanza grandi da impegnare le risorse necessarie per predisporre piani di difesa e sufficientemente agili per intervenire senza la burocrazia delle aziende più grandi.
Contemporaneamente, le aziende più piccole tenderebbero a essere meno pronte, con oltre il 50% degli intervistati rientranti nella categoria matura e formativa.
Inoltre, tra le imprese minori ci sono più principianti che maturi in quattro dei cinque pilastri. Questo dato sarebbe in contrasto con quello delle organizzazioni più grandi che hanno più intervistati allo stadio maturo che a quello principiante in quasi tutti i livelli di sicurezza.
Questa disparità potrebbe essere dovuta alla diversità di tali aziende, le quali possono comprendere imprese familiari, società di servizi professionali o start-up tecnologiche, tutte con diversi livelli di conoscenze.
Poiché le piccole e medie imprese rappresentano circa il 90% delle aziende e oltre il 50% dell’occupazione a livello mondiale, il report di Cisco ritiene opportuno un maggiore supporto per aiutarle a migliorare la loro preparazione in materia di sicurezza.
Le principali vulnerabilità delle PMI
Le vulnerabilità delle piccole imprese sono state evidenziate anche nel Digital Security Sentiment Report 2022 di ESET, divulgato nel novembre dello stesso anno.
Prima della pandemia, i settori tecnologico, del commercio al dettaglio, delle telecomunicazioni e della cybersicurezza apparivano come i più attrezzati di fronte ai rischi. Tuttavia, il ricorso al lavoro agile durante la crisi sanitaria, unito allo scoppio della guerra in Ucraina e al grande numero di dimissioni di professionisti IT, avrebbe reso tutte le PMI maggiormente insicure di fronte ai pericoli.
Il timore principale è che i dipendenti si imbattano in malware, soprattutto quelli veicolati attraverso attacchi via web (67%), anche se i ransomware (65%) e i problemi di sicurezza delle terze parti (64%) si piazzano tra i primi posti.
Secondo le PMI, i fattori che aumenterebbero i rischi sono:
- la mancanza di consapevolezza tra i dipendenti (43%);
- gli attacchi condotti da Stati (37%);
- le vulnerabilità nelle catene di fornitura (34%);
- il prolungamento del lavoro ibrido o a distanza (32%);
- l’uso del Remote Desktop Protocol (RDP) (31%).
A ciò si aggiunge che il 74% di questi soggetti ritiene di essere più deboli rispetto alle imprese più grandi per via delle proprie dimensioni ridotte.
Per quanto riguarda invece le implicazioni aziendali di un incidente, le maggiori preoccupazioni sono rappresentate da:
- la perdita di dati (29%);
- gli impatti finanziari (23%);
- la perdita di fiducia dei clienti (18%);
- le interruzioni operative (16%);
- i danni reputazionali (13%).
Le soluzioni per mitigare i rischi informatici delle PMI
Per far fronte a queste minacce, il 32% degli intervistati ha dichiarato che starebbe impiegando l’endpoint detection and response (EDR), il 33% che starebbe pianificando di usarlo nel prossimo anno e l’11% starebbe considerando di implementarlo nei prossimi due anni.
Tuttavia, solo il 48% delle PMI ha dichiarato di sentirsi moderatamente o molto fiduciosa riguardo la propria strategia di resilienza. Ciò rifletterebbe i dubbi relativi alle competenze securitarie interne, alla collaborazione con esperti terzi e ai tempi di risposta in caso di incidente.
Allo stesso tempo, alla domanda sui processi di sicurezza informatica, come la ricerca delle minacce, il 71% ha espresso un’elevata fiducia, mentre solo il 32% ha indicato di usare prodotti per il rilevamento e la risposta degli endpoint. Questo contrasto suggerirebbe un’eccessiva fiducia o la necessità di una migliore comprensione dei meccanismi di protezione.
Alla luce di questi risultati, ESET ha messo in risalto che le PMI riconoscerebbero il valore della prevenzione, ma che i loro sistemi sarebbero relativamente scarsi e sarebbe necessario elevare il livello di competenze dei team IT.
Per questa ragione, sarebbe indispensabile che le aziende predispongano politiche capaci di colmare le lacune e migliorare la robustezza generale.
