Pmi e sicurezza delle informazioni, un binomio difficile
Tra le sfide che interessano ormai da tempo PMI di ogni settore, la sicurezza delle informazioni (sempre più spesso impropriamente indicata come sicurezza cibernetica o cybersecurity) ha certamente un ruolo di crescente rilievo. Le informazioni aziendali sono costantemente sotto attacco anche da parte di criminali informatici, i quali spesso hanno successo più per l’inadeguatezza delle misure di sicurezza presenti che per la particolare bravura degli attaccanti, troppo spesso liberi di agire in un ambiente non controllato. Il 16,2% delle organizzazioni con almeno 10 addetti ha un reparto dedicato alla sicurezza delle informazioni che sia in grado di mantenere un presidio costante, diffondendo al contempo la conoscenza di best practice e standard di sicurezza. A volte la sicurezza delle informazioni è trattata più come un problema di governance interna che come un’opportunità per la crescita dell’azienda.
Il report “Unseen threats, imminent losses” condotto da Trend Micro, sulle minacce informatiche nel primo semestre 2018, posiziona l’Italia al decimo posto nella graduatoria mondiale dei paesi più colpiti al mondo da ransomware e al primo posto nella stessa classifica a livello europeo. Il numero totale di malware intercettati in Italia nella prima metà del 2018 è pari a quasi 16 milioni, anche se in calo di circa il 17% rispetto ai dati dello stesso periodo del 2017. I malware di online banking che hanno colpito l’Italia sono invece aumentati del 25% circa nel primo semestre.
Gli investimenti per la sicurezza delle informazioni registrano, a partire dal 2015, un costante trend di crescita, seppur questi si concentrino per l’80% nelle grandi imprese: questo indica che le PMI hanno ancora molto da fares ia in termini di consapevolezza sul tema, sia, in subordine, in termini di allocazione di budget aziendali. Sono poche le PMI che hanno adottato policy e piani di formazione strutturati, affidandosi quasi sempre al buon senso e alla responsabilità dello staff nonostante i rischi e le possibili conseguenze. Spesso le PMI sono portate ad intraprendere misure per garantire la sicurezza delle informazioni solo in risposta a requisiti cogenti o per adeguamenti a regolamenti di gruppo: quasi mai per scelte consapevoli ed autonome.
I dati Istat di dicembre 2017 affermano che la sicurezza delle informazioni è inserita tra le priorità aziendali sia per gli attuali investimenti tecnologici sia per quelli futuri, rispettivamente per il 44,9% e il 32,3% delle imprese. Fra i fattori di miglioramento della competitività delle imprese, lo stesso studio Istat indica la sicurezza delle informazioni, la protezione di applicazioni web, l’uso di social media. L’utilizzo di cloud computing, le vendite online e l’IoT seguono con minor rilievo. I fattori principali che possono incidere su questo miglioramento, secondo le imprese con almeno 10 addetti sono, in ordine decrescente di importanza: agevolazioni fiscali, l’uso di connessioni a banda larga e la formalizzazione di una strategia digitale interna.
Questi dati mettono in luce alcuni scostamenti e disallineamenti nella corretta percezione del valore della sicurezza delle informazioni. La carenza di personale, le ristrettezze di budget sono sintomi della non consapevolezza che la sicurezza delle informazioni costituisce un fondamentale per ogni organizzazione e non un suo elemento accessorio.
OPPORTUNITÀ
Le agevolazioni fiscali richieste dalle imprese per migliorare la situazione potrebbero avere origine da più parti, a livello nazionale con una detassazione degli investimenti sul tema ma anche a livello Europeo attraverso il finanziamento di progetti innovativi e ricerca. Quest’ultima è importante che sia però incentivata in un’ottica di innovazione incrementale, direttamente fruibile da un contesto quale quello delle PMI, piuttosto che in un’ottica orientata al raggiungimento di significative scoperte nel settore.
Un significativo elemento abilitante potrebbe essere costituito dalla proposta, recentemente avanzata dalla European Digital SME Alliance, di costituire degli “European Cybersecurity SMEs HUB” finalizzati a facilitare l’interscambio tra imprese che lavorano nell’ambito della sicurezza delle informazioni anche in ottica di partecipazione congiunta a gare europee. Questi HUB sarebbero inoltre un punto focale ideale per lo sviluppo di servizi dedicati alle PMI e potrebbero quindi, anche per affinità di dimensioni, diventare un unico riferimento in questo ambito di forte multidisciplinarità che abbraccia competenze che vanno dal livello tecnico più spinto a quello della più alta governance aziendale.
Al netto di agevolazioni di ogni tipo, diverse entità stanno lavorando alla predisposizione di linee guida e best practice in materia di sicurezza delle informazioni dedicate alle PMI. Questo materiale, tipicamente scaricabile senza alcun onere, può offrire spunti di grande importanza alle PMI che devono intraprendere o migliorare il loro percorso di gestione della sicurezza delle informazioni. Vale la pena segnalare la recente guida pubblicata da Small Business Standards dedicata alle PMI per la gestione della sicurezza delle informazioni in linea con la norma internazionale ISO/IEC 27001. Lo stesso nascente organo tecnico del CEN (principale ente di normazione Europeo), il TC 13, sta valutando diverse iniziative dedicate alla sicurezza delle informazioni per le PMI mentre a livello nazionale l’Italia è tra i Paesi più sensibili avendo pubblicato sia dei Quaderni UNINFO in materia sia, recentissimamente, la Prassi di Riferimento n. 43 in materia di gestione dei dati personali in ambito ICT secondo il Regolamento UE 679/2016 (GDPR), pensata con particolare attenzione alle PMI.
Questi schemi, oggi di carattere esclusivamente volontario, dovrebbero essere pubblicizzati e soprattutto incentivati il più possibile presso le PMI, come strumenti utili per tutelarle e, di conseguenza, per tutelare tutto il mercato nazionale. La partecipazione dello Stato al miglioramento di questi schemi e alla loro diffusione potrebbe essere un fattore decisivo per l’aumento della competitività del sistema Paese, così come l’incentivazione di iniziative quali il citato “European Cybersecurity SMEs HUB” anche attraverso la realizzazione di partenariati tra settore pubblico e privato.
In sintesi, le opportunità sono numerose e sarebbe certamente auspicabile gestirle attraverso una ben definita strategia, più concreta di quanto fatto finora e in grado di portare il Paese in modo competitivo nel prossimo futuro, potenziando un settore che sempre più peso diretto e indiretto avrà nell’economia.
Attendere un attimo...
