Boom di attacchi informatici nel 2020: pmi ai ferri corti

Lo sviluppo capillare del lavoro agile, l’utilizzo di dispositivi personali, la diffusione di piattaforme di collaborazione, ma non solo, hanno contribuito a dare un boost agli attacchi informatici nell’anno della crisi. Secondo l’Osservatorio cybersecurity & data protection della School of management del Politecnico di Milano, il 40% delle grandi imprese ne ha rilevato un incremento, ma l’impatto economico dello shock pandemico le ha costrette a fronteggiarlo con budget ridotti. E le pmi, dal canto loro, faticano ancora a calibrare i propri investimenti, con oltre un quarto che si dichiara disinteressato all’argomento.

Nel 2020, complessivamente, la spesa in soluzioni di cybersecurity ha toccato gli 1,37 miliardi di euro, in crescita del 4% rispetto all’anno precedente. Il 19% delle imprese ha infatti ridotto gli investimenti nel settore (contro il 2% del 2019) e solo il 40% li ha incrementati (contro il 51%). Eppure, oltre un’azienda su due considera l’emergenza un’occasione positiva per sensibilizzare i dipendenti sulla sicurezza e la protezione dei dati. “Nonostante il contesto negativo, il mercato non ha smesso di crescere e la maggior parte delle imprese ha colto l’occasione per investire, rinnovarsi e aumentare la sensibilità dei dipendenti sul tema”, spiega Alessandro Piva, direttore dell’osservatorio. “La cybersecurity può essere la chiave per evolvere e gestire i cambiamenti in atto, ma deve essere gestita in modo più maturo e strategico”.

Sulla stessa linea d’onda Gabriele Faggioli, responsabile scientifico dell’osservatorio, secondo il quale tuttavia “il mercato italiano della cybersecurity è ancora limitato in rapporto al prodotto interno lordo, con un’incidenza di appena lo 0,07% nel 2019”, pari a 4-5 volte in meno rispetto ai paesi più avanzati. Motivo per cui, aggiunge, “emerge la necessità di rafforzare il presidio delle normative, anche considerando le sanzioni comminate dalle autorità competenti e gli importanti data breach di cui si ha avuto notizia nel corso dell’anno”.

Su cosa si concentrano gli investimenti?

Il 33% degli investimenti si focalizza sulla “network & wireless security”, che comprende le strategie e le soluzioni per proteggere l’infrastruttura da danni e accessi impropri. Al secondo posto la “endpoint security” (23%), vale a dire la protezione di ogni dispositivo connesso alla rete, seguita dalla “data security” (14%), i sistemi per la protezione dei dati dell’impresa e dei singoli utenti. Chiudono il cerchio la sicurezza degli ambienti cloud, che raccoglie il 13% della spesa complessiva, la “application security” (12%) e la “IoT security” (3%).

Sebbene la gestione di questi interventi richieda profili e competenze specifiche, solo il 41% delle imprese affida la responsabilità della sicurezza informatica a un ciso (chief information security officer) formalizzato, il 25% a un cio (chief information officer) e il 13% a un security manager. Inoltre, nel 38% dei casi “non è prevista una relazione periodica al Consiglio di amministrazione da parte della figura responsabile della sicurezza sulle azioni messe in campo”, spiegano i ricercatori. Quanto alla data protection, invece, il 69% rivela un dpo (data protection officer) nel proprio organico, nel 51% tale figura riporta direttamente al board e nel 52% possiede anche un budget dedicato.

Pmi: solo il 22% investirà in sicurezza nel 2021

Ma a che punto sono, invece, le piccole tricolori? Secondo l’osservatorio, il 59% ritiene che l’utilizzo di device personali e reti domestiche le abbia maggiormente esposte a rischi di sicurezza nel 2020 e il 49% riporta un incremento degli attacchi informatici (nove punti percentuali in più rispetto alle grandi imprese). Eppure, solo il 22% prevede di investire in sicurezza nel 2021, il 20% ha dovuto ridurre il budget disponibile a causa della crisi e il 32% non possiede affatto un budget da destinare. Per coloro che investono, il 41% punta su soluzioni di sicurezza di base, come antivirus o firewall, mentre il 37% volge lo sguardo su soluzioni più sofisticate (come sistemi di intrusion detection o identity & access management). Infine, il 32% del campione ha investito sulla formazione per i propri dipendenti, il 28% si è rivolto a consulenti per rafforzare la gestione della sicurezza informatica in azienda, il 18% ha introdotto figure dedicate (come security analyst e security administrator) e il 15% ha stipulato polizze assicurative per il trasferimento del rischio cyber.