Fra fine gennaio e inizio febbraio, a brevissima distanza, si sono susseguite due giornate a chiaro stampo cybersecurity, quella della data protection, rivolta prevalentemente a educare alla salvaguardia dei dati personali, e quella per rendere Internet un luogo più sicuro. Converremo che le giornate mondiali hanno un senso se i temi che dettano vengono colti e svolti non solamente per un giorno, ma quotidianamente.
Abbiamo quindi voluto simbolicamente far partire una call to action, rivolgendoci ad alcune aziende di riferimento sullo scenario italiano, spostando l’asticella un po’ più in alto.
Sappiamo, infatti, che il tema della protezione dati, non nuovo, vive da sempre un problema di attrattività all’interno delle aziende, che se non obbligate per legge, difficilmente fanno un passo più del richiesto per investire in sicurezza e in protezione dati.
Ma riteniamo che qualcosa stia cambiando, ma vogliamo dare una spinta in più nel fare proseliti, nel raccogliere adesioni, senza ambire a che siano entusiastiche
Ci siamo posti dunque nella posizione di capire come rendere la cybersecurity attraente in azienda, come lo sono le tecnologie smart sul piano personale.
Ecco cosa ci ha risposto Fabio Zezza, che è Country Lead delle Data Protection Solutions di Dell Technologies.
Può la cybersecurity essere davvero smart nell’azienda di oggi?
Più che può, la cybersecurity deve essere smart. Le tecnologie di cui disponiamo sono immensamente più veloci, efficaci ed intelligenti rispetto a quelle di solo qualche anno fa; si pensi all’effetto dirompente che sta avendo l’introduzione dell’intelligenza artificiale nel contesto della sicurezza al punto da diventarne parte fondante in ambito di autenticazione, threat detection e recovery. Allo stesso tempo, anche la fruizione di queste tecnologie è sempre più smart, con modelli a consumo o in modalità SaaS-based che possono essere attivati rapidamente e scalare on demand.
Quali sono gli elementi tecnologici che lo consentono?
Da una parte possiamo utilizzare tecnologie cloud native che semplificano l’adozione e consolidano molteplici strumenti in una singola soluzione di threat intelligence, detection and response. Ne è un esempio il servizio Managed Detection and Response di Dell Technologies e basato su tecnologia Secureworks: un virtual SOC globale dotato di analisti di sicurezza, operativo 7×24 per monitorare, prevenire, rilevare, analizzare e rispondere ai cyber attack, erogato in forma di subscription.
Dall’altra abbiamo strumenti avanzati di data protection in grado di isolare i dati critici rimuovendoli dalla superficie d’attacco e mettondoli al riparo in un digital vault – una una vera e propria cassaforte digitale. In caso di ransomware, ad esempio, Dell Technologies è in grado di ripristinare i dati attraverso una copia di sicurezza isolata dall’ambiente di produzione e verificata, cioè non compromessa dal malware, grazie alla sua Cyber Recovery Solution. Questo è reso possibile dall’adozione di un software intelligente, CyberSense, che integra un motore di intelligenza artificiale e machine learning in grado di individuare proattivamente l’azione compromissiva di un eventuale malware.
Quali sono le iniziative organizzative da intraprendere?
A primo posto metterei la definizione di una chiara e univoca responsabilità in ambito cyber security in azienda. Il CISO (Chief Information Security Officer) è il ruolo direzionale in grado di affiancare, alle competenze tecnologiche e organizzative, le conoscenze del business e la capacità di governare team complessi e trasversali in ambito sicurezza. E’ a questa figura che le organizzazioni più mature guardano oggi per portare avanti iniziative di cyber security. Tuttavia, esistono ancora diverse realtà in cui non esiste una specifica funzione di Information Security, spesso incardinata sotto l’IT, dove il responsabile della sicurezza è lo stesso CIO. Questo tipo di configurazione si rivela spesso inefficiente a fronte di progetti di sicurezza sempre più multidisciplinari. Accanto a questo aspetto organizzativo, va certamente ricordata l’importanza di una corretta gestione del fattore umano, che continua ad essere la prima vulnerabilità e la principale area di intervento – soprattutto formazione e rivisitazione dei processi – per le aziende. In ultimo, la predisposizione di procedure di test continuo, tanto in fase pre che post attacco in modo da poter milgiorare la postura complessiva di sicurezza.
E se davvero fosse smart, un euro speso in cybersecurity che rendimento avrebbe per l’azienda?
Sorprendentemente, gli investimenti in cybersecurity, e in senso più esteso cyber resilience, possono generare dei ROI molto alti.
BCG (Boston Consulting Group) ha sviluppato una vera e propria formula per calcolare questo genere di ROI: [(Perdite attese prima del progetto) – (perdite attese dopo il progetto) – (costo del progetto)] / costo del progetto.
Se applichiamo questa metodologia a perdite spesso quantificabili in diversi milioni di euro per le aziende attaccate è evidente come ogni euro investito in ambito cyber possa portare, in caso di attacco, ROI a doppia cifra. Per il 2021 si stima che siano stati oltre 6.000 miliardi di dollari i costi addizionali e i mancati ricavi delle aziende dovuti ai cyber-attacchi: un dato che mette in evidenza quanto la cybersecurity debba essere considerata dalle aziende non solo uno strumento di protezione, ma una leva strategica di innovazione e crescita.
