Le aziende devono affrontare una lunga serie di minacce esistenziali: acquisizioni ostili, defezioni di talenti, comportamenti imprevedibili dei clienti e fluttuazioni di mercato – tutti rischi ben noti che i dirigenti hanno attentamente pianificato e valutato nel corso di decenni. Eppure questi stessi dirigenti risultano spesso allarmantemente impreparati ad affrontare la minaccia potenzialmente più devastante: una massiccia violazione dei dati che potrebbe comportare la perdita di tutto… il tutto nel giro di pochi secondi.
I problemi non iniziano con i “tecnici” di un’azienda, bensì ai vertici, con il consiglio di amministrazione, come abbiamo appreso quando il Nasdaq e l’ Tanium hanno collaborato per indagare su come i dirigenti aziendali valutino la propria vulnerabilità in materia di sicurezza informatica. Nel nuovo studio intitolato “The Accountability Gap: Cybersecurity & Building a Culture of Responsibility” (Il divario di responsabilità: sicurezza informatica e creazione di una cultura della responsabilità), i ricercatori della Goldsmiths, University of London, hanno riscontrato un preoccupante divario tra la presunta e l’effettiva preparazione delle aziende ad affrontare incidenti relativi alla sicurezza dei dati, nonché una diffusa mancanza di assunzione di responsabilità ai vertici delle organizzazioni. Ciò significa che alcune delle reti più grandi al mondo, che custodiscono alcuni dei nostri dati più preziosi, sono più vulnerabili di quanto credano i loro responsabili.
Lo studio ha coinvolto 1.530 amministratori non esecutivi (NED), dirigenti di alto livello, responsabili delle tecnologie dell’informazione (CIO) e responsabili della sicurezza informatica (CISO) negli Stati Uniti, nel Regno Unito, in Germania, in Giappone, in Danimarca, in Norvegia, in Svezia e in Finlandia. Hanno scoperto che, tra le aziende più vulnerabili, il 98% dei dirigenti non è sicuro che la propria organizzazione sia in grado di monitorare tutti i dispositivi e gli utenti in ogni momento, il che significa che le informazioni circolano in luoghi sconosciuti.
Inoltre, il 90% degli intervistati potrebbe essere classificato come soggetto a rischio medio-alto di subire un incidente di sicurezza informatica, mentre il 40% degli intervistati ha ammesso di non sentirsi responsabile delle ripercussioni di un attacco informatico. Finché la consapevolezza e la preparazione in materia di sicurezza informatica non saranno comprese e comunicate apertamente sia dai membri del consiglio di amministrazione che dai dirigenti di alto livello – e tutti i dipendenti non saranno istruiti in merito alle proprie responsabilità personali – colmare il divario tra quanto si è effettivamente vulnerabili e quanto si pensa di esserlo rimarrà un obiettivo irraggiungibile.
La sicurezza informatica sta rapidamente diventando la voce di spesa principale nel settore IT per le aziende del Global 2000 . Secondo PwC, la sicurezza informatica ha registrato un aumento medio della spesa pari al 24%, passando da 2014 a 2015. Purtroppo, il settore della sicurezza non è riuscito a stare al passo con l’evoluzione degli hacker informatici e la maggior parte delle aziende utilizza tecnologie che non vengono aggiornate da decenni per proteggere i propri dati più sensibili.
Lo stesso studio ha rilevato che gli episodi di violazione dei dati hanno superato la spesa, registrando un aumento del 38% a livello mondiale lo scorso anno. Perché? Poiché abbiamo constatato che la sicurezza informatica non è semplicemente un problema tecnologico. Sebbene disporre degli strumenti adeguati e adottare corrette pratiche di sicurezza informatica sia di fondamentale importanza per garantire un adeguato livello di sicurezza, ciò costituisce solo una parte dell’equazione. Se le persone incaricate di tutelare i dati di un’organizzazione non si sentono responsabili – o semplicemente non sanno come comportarsi – l’azienda rimane esposta a un rischio elevato.
Ma vi sono motivi di ottimismo. Non solo le nuove tecnologie risolvono i problemi di latenza e scalabilità degli strumenti di sicurezza tradizionali, ma il presente rapporto individua inoltre diverse misure che tutte le organizzazioni possono prendere in considerazione per avviare un dialogo costruttivo – dal consiglio di amministrazione ai vertici aziendali fino al personale – al fine di ridurre le vulnerabilità e, in ultima analisi, colmare il divario in materia di responsabilità. Eccone due da prendere in considerazione:
Creare una cultura di trasparenza: formare e responsabilizzare il consiglio di amministrazione
La maggior parte dei membri dei consigli di amministrazione non è esperta di tecnologia e ancora meno possiede competenze in materia di sicurezza informatica. Il 91% dei membri dei consigli di amministrazione delle aziende intervistate più vulnerabili non è in grado di interpretare un rapporto sulla sicurezza informatica. Tuttavia, i membri del consiglio di amministrazione devono sapere quali domande porre per valutare la vulnerabilità di un’azienda, proprio come fanno quando pongono domande relative alle questioni finanziarie. In molti casi, alcuni membri del consiglio di amministrazione responsabili della sicurezza informatica dovrebbero seguire una formazione approfondita, affinché possano acquisire familiarità con la terminologia e comprendere appieno l’impatto dei dati che vengono loro presentati. Il consiglio di amministrazione del Nasdaq conta diversi membri che possiedono una profonda conoscenza di cosa significhi la sicurezza nel contesto della gestione di un’organizzazione tecnologica e di come gli incidenti di sicurezza possano influire sui mercati finanziari._._
È importante promuovere un clima di comunicazione trasparente in cui si possa discutere apertamente di sicurezza informatica. Collaborare con i governi, le organizzazioni non governative e i colleghi per comprendere le più recenti minacce alla sicurezza e le modalità di collaborazione volte a risolvere le emergenze. La ricerca dimostra che dobbiamo orientarci verso una cultura dell’apertura: una cultura che miri alla trasparenza e alla massima visibilità. Ammettete che l’hacking sia inevitabile, ma che le violazioni non lo siano. Piani di risposta efficaci, formazione del personale mirata a ciascun livello aziendale, sviluppo delle competenze e condivisione delle informazioni sono elementi fondamentali per rafforzare la sicurezza informatica. In particolare, le aziende dovrebbero concentrarsi sul miglioramento dei flussi di informazioni all’interno dell’organizzazione (compreso il consiglio di amministrazione) e sulla condivisione delle informazioni anche all’esterno. Ciò significa partecipare attivamente a numerosi consorzi di settore, poiché tutti perseguono lo stesso obiettivo.
Creare una cultura della vigilanza: riconoscere che la sicurezza informatica rappresenta una minaccia fondamentale per l’azienda
Se la diffusione di informazioni sull’impatto negativo della sicurezza informatica rappresenta il primo passo, allora un’analisi approfondita delle tecnologie che utilizzate per garantire la sicurezza e gestire l’azienda costituisce il secondo passo. Le strategie di sicurezza basate sulla prevenzione hanno fallito in modo evidente. Le persone, i processi e la tecnologia sono i pilastri fondamentali di una cultura della vigilanza e, se considerati in modo olistico, rappresentano gli elementi chiave per stare sempre un passo avanti agli aggressori. La realtà è che la maggior parte degli strumenti di sicurezza moderni non sono altro che versioni astratte di se stessi risalenti agli ultimi due o tre decenni. Non sono in grado di rispondere a domande di base come: «Quanti dispositivi ci sono nella mia rete?» oppure «quali applicazioni sono all’origine del maggior numero di vulnerabilità?» A prima vista può sembrare un concetto semplicistico, ma un’organizzazione non può proteggere ciò che non è in grado di vedere.
Kris McConkey, responsabile presso PwC per l’intelligence, il rilevamento e la risposta agli incidenti relativi alle minacce informatiche e interne, ci ha dichiarato: «Una delle carenze del settore della sicurezza, o meglio del settore nel suo complesso, è che stiamo di fatto riprendendo tutti gli stessi processi aziendali che utilizziamo da 20-30 anni e cercando di aggiungere sempre più livelli tecnologici per colmare tutte le falle».
Viviamo in un’epoca entusiasmante, in cui utilizziamo dispositivi connessi a Internet per entrare in contatto diretto con le aziende, le amministrazioni pubbliche, gli altri e il mondo che ci circonda. Di conseguenza, siamo in grado di risolvere i problemi più rapidamente e di vivere una vita più lunga e più felice. Gli attacchi informatici rappresentano una minaccia esistenziale per questo stile di vita e dobbiamo assicurarci che siano disponibili le persone, i processi e la tecnologia adeguati per proteggere i nostri dati più sensibili. È giunto il momento che i dirigenti di tutte le organizzazioni si assumano le proprie responsabilità e svolgano un ruolo più attivo.
Orion Hindawi, cofondatore e CEO, Tanium
Lou Modano, Vicepresidente senior, CISO e Responsabile globale dei servizi di infrastruttura, Nasdaq
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
