Poco più di 10 anni fa, Target ha assunto il proprio primo responsabile della sicurezza informatica (CISO) nell’ambito degli sforzi intrapresi dal colosso della vendita al dettaglio per ripristinare la propria reputazione, ormai compromessa, a seguito di una massiccia violazione informatica. Gli hacker avevano sottratto le credenziali elettroniche di un fornitore di impianti di refrigerazione, si erano infiltrati nella rete informatica di Target e avevano rubato i dati relativi alle carte di credito e di debito di 40 milioni di conti, nonché le informazioni personali di 70 milioni di clienti.
Tra le conseguenze devastanti, le vendite nei negozi e online sono scese al livello più basso degli ultimi tre anni; l’ CEO e e il CIO hanno rassegnato le dimissioni; il Senato ha sottoposto il CFO a un’audizione nel corso di un’indagine che ha avuto grande risonanza mediatica; e la società ha accettato di versare la cifra record di 18,5 milioni di dollari per risolvere le cause intentate da 47 Stati e dal Distretto di Columbia. Per riconquistare la fiducia dei consumatori, Target ha introdotto una serie di miglioramenti in materia di sicurezza, tra cui un maggiore ricorso all’autenticazione a più fattori , l’autenticazione a più fattori, una formazione più approfondita dei dipendenti sulla sicurezza delle password e una gestione più efficace degli accessi .
La debacle ha provocato un vero e proprio shock tra le aziende di tutto il mondo. Se Target può essere vittima di un attacco informatico, allora chiunque potrebbe esserlo. La lezione per i consigli di amministrazione era chiara: Non aspettate che si verifichi un attacco; verificate subito se il sistema presenta punti deboli.
È successo dieci anni fa — e da allora abbiamo assistito a decine di attacchi informatici di grande risonanza nel settore del commercio al dettaglio , tra cui quelli ai danni di Ticketmaster, AT&T, Verizon e Dell solo nell’ultimo anno. Quanti consigli di amministrazione hanno davvero fatto propria questa lezione e hanno investito in miglioramenti in materia di sicurezza informatica?
Dopotutto, dalla violazione dei dati di Target e da tutti gli altri casi eclatanti, abbiamo visto quanto possano essere gravi le conseguenze:
- In primo luogo, vi è la grave perdita di fiducia da parte dei clienti, come riportato su . Secondo l’IDC, qualora le loro informazioni sensibili venissero compromesse, il 80 % dei consumatori dei paesi sviluppati si rivolgerebbe ad altri fornitori. Infatti, alcune ricerche indicano che quasi il 60 per cento delle aziende fallisce a seguito di una violazione dei dati.
- A ciò si aggiunge poi la copertura mediatica negativa, soprattutto quando sono coinvolti personaggi di spicco. Ciò può accelerare la perdita di fiducia e il diffondersi di percezioni negative che spesso si instaurano all’indomani di una forte esposizione mediatica, gettando discredito sia sull’azienda che sui singoli individui che ne fanno parte.
- Man mano che la reputazione di un’azienda crolla, crolla anche il suo valore di mercato. Le società vittime di violazioni dei dati possono registrare un andamento del prezzo delle proprie azioni inferiore a quello del mercato per diversi anni. Inoltre, le perdite finanziarie derivanti da un attacco informatico – compresi i costi di recupero dei dati, le spese legali e il risarcimento dei clienti coinvolti – possono essere ingenti. La cifra media per ogni violazione è stata di 4,88 milioni di dollari nel 2024, con un aumento del 10% rispetto all’anno precedente e il più forte incremento registrato dall’inizio della pandemia.
- A seconda della gravità della violazione, la reputazione di un’azienda può subire un calo tale da indurre gli investitori a evitarla, e l’azienda potrebbe perdere opportunità di instaurare nuove relazioni e di intraprendere iniziative di collaborazione, con il rischio di limitare la propria crescita.
- Infine, un attacco informatico minerà il morale dei dipendenti dell’ e ostacolerà le iniziative di reclutamento. I lavoratori i cui dati sono stati sottratti potrebbero – come minimo – ritenere che l’azienda sia stata negligente nel tutelarli. Inoltre, le aziende con una reputazione compromessa potrebbero scoprire che i candidati di talento e di alto livello preferiscono lavorare altrove.
“Posso dirvi che è davvero difficile leggere di come l’azienda in cui avete investito sangue, sudore e lacrime venga messa alla gogna.”Meredith Griffanti, senior manager presso FTI Consulting
Meredith Griffanti, attualmente senior managing director presso FTI Consulting, ricopriva una carica dirigenziale presso Equifax al momento della violazione della sicurezza subita dall’azienda nel 2017, e ricorda quanto quell’esperienza le sia sembrata demoralizzante.
«Posso dirvi», disse, «che è davvero difficile leggere sulla prima pagina dei giornali che l’azienda per la quale avete investito sangue, sudore e lacrime viene messa alla gogna». «È commovente.»
Perché la sicurezza informatica rappresenta un vantaggio competitivo
Ai fini della trasparenza, la Securities and Exchange Commission (SEC) del 2023 ha introdotto nuove norme in materia di informativa che impongono una procedura più rigorosa per la segnalazione degli attacchi informatici. La nuova norma attribuisce alle società la responsabilità di fornire agli investitori informazioni aggiornate, coerenti e “utili ai fini decisionali” in merito alle proprie politiche in materia di rischi informatici; inoltre, obbliga le società a rendere pubbliche le informazioni relative a incidenti informatici “rilevanti” entro tre giorni. Ciò esercita un’ulteriore pressione sui consigli di amministrazione affinché adottino un approccio più proattivo, poiché il modo migliore per tutelare la reputazione del marchio consiste nell’attuare e promuovere una cultura della sicurezza informatica.
«Alcune aziende utilizzano la sicurezza come vantaggio competitivo», afferma Robert Strickland, CEO , fondatore di M37 Ventures ed ex CIO di T-Mobile. «Essere come Fort Knox diventa parte integrante del loro marchio, un modo per attirare e fidelizzare i clienti.»
Vale il vecchio adagio secondo cui “meglio prevenire che curare”. In realtà, quel rapporto di 16-to-1 potrebbe sottovalutare l’importanza della proattività in materia di sicurezza informatica. Non esiste una soluzione valida per tutti i casi, ma i nostri esperti hanno indicato (e noi abbiamo raccolto) diverse misure concordate per mettere a punto una difesa.
Di seguito sono riportati sette modi in cui i consigli di amministrazione possono proteggersi dai danni alla reputazione:
1. Richiedete un approccio alla sicurezza su più livelli
Pensi alla difesa di un castello medievale. «Non c’era una sola linea di difesa», osserva Strickland. «C’erano il fossato, le punte, l’olio bollente, le catapulte.»
«Alcune aziende utilizzano la sicurezza come vantaggio competitivo. Essere “Fort Knox” diventa parte integrante del loro marchio, un modo per attirare e fidelizzare i clienti.”Robert Strickland, CEO e fondatore di M37 Ventures
Si assicuri di adottare, proprio come loro, una strategia di sicurezza a più livelli, consiglia. Un livello non è mai sufficiente. Lo testino costantemente per individuare eventuali vulnerabilità. Istruite le persone affinché non cadano vittime di attacchi di phishing e non rivelino le proprie password.
2. Ponete domande pertinenti
Può sembrare ovvio, ma una delle cose fondamentali che i consigli di amministrazione possono fare è porre domande davvero valide e ponderate, afferma Arvind Swaminathan, socio dello studio legale internazionale Orrick, dove ha fondato il gruppo di pratica dedicato alla privacy informatica e all’innovazione dei dati. Egli fa riferimento all’elenco di domande redatto da Orrick che tutti i consigli di amministrazione dovrebbero porre alle proprie società e cita elenchi simili redatti dalla National Association of Corporate Directors (NACD) e da altre associazioni specializzate in materia di corporate governance.
[Leggi anche: 4 priorità di leadership critiche per i CISO nell'era dell'IA]
3. Esercitatevi, signori, esercitatevi con quei schemi di gioco
L'attenzione alla preparazione sta aumentando. «Stiamo assistendo a una situazione in cui i consigli di amministrazione esercitano una forte pressione sui propri team dirigenziali affinché siano meglio preparati», afferma Griffanti. Ciò significa rivedere e rafforzare i piani di risposta agli incidenti , i piani di gestione delle emergenze , i piani di comunicazione in caso di crisi e i piani di continuità operativa, assicurandosi che funzionino tutti in modo coordinato.
4. Si prega di coordinarsi con il CISO
Un consiglio di amministrazione non può acquisire una visione completa dello stato della sicurezza informatica di un’azienda basandosi esclusivamente sulle presentazioni trimestrali.
“Il fatto che esista un rapporto visibile tra il consiglio di amministrazione e il CISO rende molto chiaro a tutta l’azienda che la sicurezza informatica merita la loro attenzione.”J.R. Williamson, vicepresidente senior e CISO, Leidos
«I membri del consiglio di amministrazione dovrebbero organizzare una visita al team di sicurezza e ricevere informazioni direttamente dal personale che opera in prima linea nel campo della sicurezza informatica», scrive J.R. Williamson, vicepresidente senior e CISO di Leidos, nel manuale per amministratori “ 2023 : Director’s Handbook on Cyber-Risk Oversight”, pubblicato dall’Internet Security Alliance.
Una maggiore familiarità con la missione e i dirigenti del team darà i suoi frutti in caso di crisi, osserva. Inoltre, trasmette un messaggio forte: «Il fatto che esista un rapporto visibile tra il consiglio di amministrazione e il CISO fa capire chiaramente a tutta l’azienda che la sicurezza informatica merita la loro attenzione».
5. Includete i social media nelle vostre competenze
È proprio qui che possono verificarsi alcuni dei danni più gravi. «Se siete un grande marchio e vi concentrate principalmente sui consumatori o disponete di un ampio organico, dovreste monitorare in anticipo il panorama dei social media dell’ », afferma Griffanti.
Sta diventando sempre più importante anche per le piccole imprese, sebbene queste ultime possano non disporre del personale o delle risorse necessarie per affrontare tale sfida. «Tenete d’occhio qualsiasi cosa, dai forum di Reddit ai tweet fino ai post su YouTube», afferma Griffanti, «in modo da poter individuare eventuali polemiche prima che diventino virali».
6. Iniziate a giocare
Le simulazioni rendono la situazione più concreta per i membri del consiglio di amministrazione. La signora Griffanti sottolinea che la sua società ha ideato delle esercitazioni che consentono ai consigli di amministrazione di trovarsi in una “situazione di fuoco reale” e di comprendere le sfumature e le decisioni critiche che devono essere prese in una frazione di secondo.
Come afferma lei stessa: «Quando si decide di chiudere definitivamente l’intera rete?» Cosa ripristinerà per primo? "Quali servizi e applicazioni sono fondamentali per l’attività?"
7. Definisca i propri principi e si attenga ad essi.
Nonostante le pressioni derivanti dalle aspettative del mercato e dai comportamenti del passato, è importante ricordare chi siete come organizzazione.
«È necessario comprendere quali siano la propria missione, la propria visione e i propri valori, e come si intenda mantenerli anche nei momenti di crisi», afferma Swaminathan. «Perché è così che si tutela la reputazione del proprio marchio. “È così che si crea fiducia.” Non è sempre facile definire cosa sia giusto, afferma. Ma è questa la strada per conquistarsi una buona reputazione.
