***
I criminali informatici stanno diventando sempre più sofisticati nei loro metodi di attacco e stanno prendendo di mira direttamente i dipartimenti finanziari, costando alle aziende quantità di denaro senza precedenti per far fronte alle minacce.
Il valore totale dei costi connessi al rischio di criminalità informatica nei prossimi cinque anni è stimato in una cifra di 5,2 trilioni di dollari su scala globale.
I criminali informatici utilizzano tecniche sempre più sofisticate e complesse, ma che quasi sempre fanno leva su un fattore che non ha nulla a che vedere con l’informatica: quello umano. I dipendenti delle aziende e delle istituzioni prese di mira spesso sono complici inconsapevoli degli hacker.
La valutazione del rischio
La valutazione del rischio, in questi casi, deve tenere conto del fatto che spesso il danno maggiore non riguarda l’aspetto finanziario – anche se è fortemente in crescita – ma quello reputazionale, connesso spesso all’interruzione o alla disfunzione del servizio offerto dall’azienda vittima. Il danno reputazionale incide sulle vendite, sul rapporto con il cliente ma anche sul rapporto con investitori e finanziatori. È storia nota che Verizon abbia acquistato Yahoo per 4 miliardi di dollari in meno di quanto inizialmente offerto a seguito di tre violazioni informatiche. Anche TalkTalk ha perso il 40% del suo valore durante i quattro mesi successivi a un attacco informatico.
D’altra parte, ormai diverse stime indicano che in media l’85% dei beni aziendali sono digitali. Un attacco informatico, quindi, facilmente può incidere sulle opinioni di investitori e azionisti.
Una varietà di minacce informatiche
Uno degli attacchi informatici peggiori fino a oggi è stato senza dubbio quello avvenuto nel 2017, quando il malware NotPetya si è diffuso dai server di un’anonima società di software ucraina ad alcune delle più grandi aziende in tutto il mondo, paralizzando le loro operazioni. Si stima che i danni totali provocati da questo attacco su scala globale ammontino a circa 10 miliardi di dollari.
Un altro tipo di attacco molto comune è il cosiddetto ransomware che molti ritengono di facile approccio e classificano essenzialmente come un fastidio, con un impatto solo su alcuni computer e server e che si possa affrontare semplicemente con il ripristino dei backup. Ma non è così. Un famoso attacco ransomware, WannaCry, ha fatto letteralmente piangere centinaia di persone nel 2017, incluso il British National Health Service (NHS). Ha colpito infatti con un solo attacco circa 200.000 computer in 150 paesi e ha causato danni stimati in miliardi di dollari. Lo scopo del ransomware è di ottenere denaro dalle vittime, si configura come una vera e propria richiesta di riscatto per rientrare in possesso delle proprie infrastrutture informatiche e dati. In pochi anni le cifre medie dei riscatti sono passati da poche centinaia di dollari ad alcune migliaia. Il riscatto più caro pagato nel 2018 da un’azienda è stato di 930 mila dollari.
Quanto vale la cyber security
Gli ultimi dati indicano che il mercato globale della cyber sicurezza dovrebbe raggiungere il valore di 300 miliardi di dollari entro il 2024. Di contro l'economia globale del crimine informatico guadagna circa 1,5 trilioni di dollari all'anno. Si stima anche che le polizze assicurative contro il crimine informatico raggiungeranno il valore di 14 miliardi di dollari entro il 2022 e di 20 miliardi di dollari entro il 2025.
L’importo stimato dei danni conseguenti ai cyber attacchi nel mondo è di circa 6 trilioni di dollari entro il 2021, ben più di tutte le catastrofi naturali che possano occorrere nell’arco di un anno.
Anche le PMI sono a rischio
Questo quadro fosco vale anche se guardiamo alle piccole e medie imprese che non sono esenti da rischi, anzi, rappresentano circa il 13% dell'intero mercato della sicurezza informatica e il dato è in crescita. Le terze parti, infatti, stanno attirando sempre di più l’interesse dei cyber criminali in quando sono normalmente più vulnerabili e meno preparate a fronteggiate un attacco e per questo rappresentano una porta di ingresso privilegiata per le aziende realmente target.
Nonostante le piccole e medie imprese appaiano in genere più consapevoli dei rischi oggi che in passato, sono ancora poche quelle che si dotano di strategie di difesa preventive, dalla formazione del personale a meccanismi di controllo interno efficienti. Diverse statistiche indicano che le PMI investono meno di 500 dollari l’anno in sicurezza informatica. D’altra parte per le piccole imprese l'attuazione di efficaci misure di sicurezza informatica costerebbe molto di più in percentuale del budget operativo rispetto a quanto farebbe per le organizzazioni più grandi, fino a circa il 4% rispetto all'1-2% per le imprese. Le PMI dovrebbero però valutare attentamente l’opportunità di adottare misure efficaci. I costi di un'organizzazione per la bonifica dopo un attacco informatico possono risultare molto più costosi della prevenzione, specialmente in settori altamente regolamentati come l'assistenza sanitaria o la finanza. Il costo medio di una violazione della sicurezza che colpisce le piccole e medie imprese è aumentato del 61% da $ 229.000 nel 2018 a $ 369.000 nel 2019. Il settore sanitario è quello più esposto, con il costo per violazione dei dati più elevato: $ 408 per record compromesso, cioè è quasi tre volte la media di $ 148.
Tuttavia, non sono solo i costi di risanamento a incidere. Le aziende di piccole e medie dimensioni in caso di attacco devono affrontare anche molti altri costi indiretti, come per esempio cause civili da parte di clienti o partner commerciali, multe per violazioni della conformità, rimborsi e incentivi per i clienti, vendite perse e opportunità commerciali e premi assicurativi. Costi che potrebbero diventare ancora più elevati se l’azienda dovesse interrompere le sue attività quotidiane e la produzione.
