La crescita della forza lavoro in remoto sta mettendo a dura prova gli sforzi volti a proteggere i dati, poiché le aziende faticano a reperire professionisti dotati delle competenze e dell’esperienza necessarie per garantire la sicurezza dei sistemi e delle reti aziendali.
Nel 2021 la concorrenza per l’acquisizione di talenti è aumentata rispetto all’anno precedente, lasciando molte aziende con team dedicati alla privacy a corto di personale. È quanto emerge dal rapporto “ : Privacy in Practice 2022”, pubblicato di recente dall’ISACA, un’indagine condotta su 832 membri in possesso di certificazioni nel campo della sicurezza informatica o della privacy.
A peggiorare la situazione, secondo le previsioni la domanda di personale qualificato è destinata ad aumentare quest’anno, poiché un numero crescente di consigli di amministrazione si dichiara favorevole a misure di sicurezza più rigorose, come ha affermato l’associazione globale del settore IT nel proprio rapporto, pubblicato oggi in occasione della Giornata della privacy dei dati di quest’anno, che ricorre il 28 gennaio.
Oltre la metà degli intervistati (55%) dall’ISACA, l’Associazione per l’Audit e il Controllo dei Sistemi Informativi, dichiara di non disporre di personale tecnico in numero sufficiente. Circa il 46% dichiara di non disporre delle competenze necessarie in materia legale e di conformità. Le assunzioni hanno subito un rallentamento a causa di un bacino di talenti estremamente limitato. La metà dei candidati a posizioni tecniche non possiede conoscenze relative a framework o controlli. Altri, invece, semplicemente non dispongono di competenze tecniche sufficienti.
«Ai team che si occupano di privacy viene richiesto molto di più e si trovano sotto i riflettori in modi diversi rispetto al passato», afferma Safia Kazi, consulente specializzata in materia di privacy presso l’ISACA, che ha guidato lo sviluppo del sondaggio. E sebbene la carenza di talenti disponibili sia la causa principale della mancanza di personale, a breve distanza vi è la scarsa consapevolezza dimostrata da alcune aziende riguardo a tale questione.
Ciò che non sanno sta causando loro del danno
Uno su cinque degli intervistati nel sondaggio condotto dall’ISACA, che ha coinvolto anche i team legali e di conformità, anch’essi alle prese con una carenza di personale qualificato, ha dichiarato di non sapere nemmeno se negli ultimi 12 mesi si fosse verificata una violazione della privacy. Ciò risulta particolarmente sorprendente, oltre che allarmante, alla luce dell’ampia serie di attacchi informatici di alto profilo legati al crimine verificatisi nel 2021. «È affascinante che non ne abbiano la minima idea», afferma Kazi. «È possibile che non stiano effettuando un monitoraggio adeguato.»
O qualsiasi forma di monitoraggio, afferma Rebecca Herold, CEO della società di consulenza Privacy & Security Brainiacs. Herold afferma che molte organizzazioni non hanno ancora identificato in modo completo le proprie reti e i propri database, né i dispositivi personali utilizzati dai propri dipendenti quando lavorano da remoto. Alcune aziende, aggiunge, inoltre non sanno quali dati abbiano affidato a fornitori terzi né quali misure tali fornitori stiano adottando per garantirne la sicurezza.
«Esistono così tanti luoghi in cui sono archiviati i dati di cui un’azienda potrebbe non essere a conoscenza», afferma Herold. «Ciò rende molto difficile effettuare valutazioni dei rischi adeguate.»
Ecco perché la prima cosa che gli esperti di sicurezza informatica raccomandano è un’analisi completa e un inventario dell’hardware e del software di un’azienda, nonché un elenco esaustivo di chi ha accesso a quali dati e dove questi fluiscono. L'inventario consente a un'azienda di adottare pratiche di base in materia di sicurezza informatica e di "cyber igiene" volte a contrastare i criminali informatici, gli hacker sponsorizzati dagli Stati e gli hacktivisti.
“Esistono così tanti luoghi in cui sono archiviati i dati di cui un’azienda potrebbe non essere a conoscenza. Ciò rende molto difficile la valutazione dei rischi.”Rebecca Herold, CEO di Privacy & Security Brainiacs
Per colmare il divario di competenze, quasi la metà delle aziende intervistate dichiara di stare formando personale non specializzato in materia di protezione dei dati affinché possa ricoprire ruoli in questo ambito. Un vantaggio: tali lavoratori hanno una conoscenza più approfondita dell’azienda e del suo funzionamento. Circa un terzo delle aziende intervistate dichiara di ricorrere a fornitori esterni o a consulenti specializzati in sicurezza informatica e protezione dei dati, in grado di fornire strumenti e competenze aggiornate per potenziare più rapidamente la sicurezza aziendale.
Formare i lavoratori sulle questioni relative alla sicurezza informatica e alla protezione dei dati
Ricorrere a un supporto esterno dà i migliori risultati se gli esperti esterni istruiscono anche i dipendenti interni sulle modalità più efficaci per proteggere i dati, afferma Herold. Ciò significa anche che un aggiornamento una tantum non è sufficiente. La Herold afferma che troppi dirigenti del mondo degli affari e della tecnologia le dicono che le loro reti sono sicure solo perché hanno eseguito una volta uno strumento di monitoraggio. Una volta sola non basta. Il monitoraggio deve essere continuo.
Nel lungo periodo, l’istruzione deve rappresentare una priorità assoluta. E non solo quando i lavoratori si presentano al lavoro. La tutela dei dati personali dovrebbe essere insegnata a scuola, afferma Herold, poiché i bambini hanno sempre con sé gli smartphone. Insegnate loro a utilizzare tali dispositivi in modo sicuro, afferma, e «avrete una popolazione che entra nel mondo del lavoro consapevole dell’importanza della privacy dei dati».
Kazi concorda, affermando che una formazione precoce renderebbe la professione nel campo della privacy più attraente per i giovani che entrano nel mondo del lavoro.
La buona notizia è che, secondo il sondaggio, la probabilità che i budget destinati alla tutela della privacy vengano ridotti è bassa.
«Per le aziende si tratta di una necessità ancora più impellente», afferma Kazi. «Abbiamo constatato i danni evidenti causati dalle violazioni dei dati e come queste possano rovinare la vita delle persone».
