Come è noto leggendo qualsiasi quotidiano o blog le minacce informatiche a livello globale sono aumentate di molto negli ultimi anni. Non passa nessun giorno senza che si abbia notizia di qualche intrusione. E le intrusioni di cui si viene a sapere sono solo la punta dell’iceberg di quello che effettivamente succede. E sicuramente aumenteranno nel prossimo futuro.
Tutto il mondo quindi si sta organizzando per gestire in maniera più integrata e sistemica l’approccio alla cybersecurity.
L’Europa, e quindi l’Italia non sono da meno ovviamente. E si sta affrontando un panorama di minacce informatiche in continua evoluzione, con attacchi sempre più sofisticati e mirati.
Per contrastare queste minacce, l’UE sta investendo in modo significativo nella cybersecurity e sta sviluppando nuove strategie e normative, che poi devono essere recepite ed implementate dagli stati membri.
Questi sono gli interventi che si stanno effettuando per garantire una maggiore resilienza ai rischi emergenti:
1. Maggiore cooperazione tra gli Stati membri: L’UE sta rafforzando la cooperazione tra gli Stati membri per migliorare la condivisione delle informazioni e delle best practices in materia di cybersecurity. L’obiettivo è creare un ecosistema europeo di cybersecurity più coeso e resiliente. Tali best practices vengono sempre più spesso mutuati dai sistemi di governance già in essere da molto tempo ma ancora poco diffusi nelle organizzazioni, soprattutto in Italia dove abbiamo la maggior parte aziende piccole. Questi sistemi di governance a vari livelli di sofisticazione possono essere il NIST, il SANS, l’ISO 27001 e i nuovi framework nascenti sotto l’egida della UE come il NIS 2 o il Framework Nazionale per la Cybersecurity.
2. Investimenti in tecnologie innovative: L’UE sta investendo in tecnologie innovative per la cybersecurity, come l’intelligenza artificiale e la blockchain. Queste tecnologie possono aiutare a migliorare la capacità di prevenire, rilevare e rispondere alle minacce informatiche. Tali tecnologie sono già in uso su molti strumenti per la risposta immediata ai rischi, riducendo il lavoro umano e i tempi di risposta. Purtroppo anche i Cyber criminali le usano in modo molto esteso.
3. Sviluppo di nuove normative: L’UE sta sviluppando nuove normative per rafforzare la cybersecurity in settori critici come l’energia, i trasporti, la finanza e la sanità, settori che sono definiti come essenziali. Queste normative includeranno requisiti più severi per la sicurezza delle infrastrutture informatiche e per la protezione dei dati personali. Queste normative sono ad esempio il GDPR, il NIS ed ora il NIS 2
4. Aumento della consapevolezza e della formazione: L’UE sta investendo nella sensibilizzazione e nella formazione sulla cybersecurity per cittadini, imprese e professionisti. L’obiettivo è migliorare la capacità di tutti di proteggersi dalle minacce informatiche. Questo è un obiettivo importante perchè obbliga le aziende a pensare in maniera integrata per la sicurezza globale dei propri sistemi informativi. Sicurezza non solo come strumento ma come processo integrato nella struttura aziendale o della PA.
5. Lo sviluppo di nuovi modelli di governance per la cybersecurity: Come si riportava al punto precedente la cybersecurity va governata dall’organizzazione con modelli integrati. Il GDPR avrà ulteriori sviluppi, il NIS 2 obbligherà le aziende individuate, e la loro catena di fornitura, a ripensare in modo organizzato la gestione dei sistemi informativi. A tale proposito, ancora poco utilizzati nelle piccole aziende, andrebbero valutati anche dei framework come il COBIT 5, l’unico business framework per il governo e la gestione di una organizzazione IT.
Il percorso è ancora lungo e ancora troppo spesso si reputano questi strumenti solo delle sovrastrutture burocratiche che appesantiscono l’azienda o la PA. In realtà se implementati correttamente danno un notevole vantaggio da un punto di vista reputazionale e anche economico.
Nel nostro pensiero si dovrebbe già cominciare una valutazione del rischio in caso di incidente informatico, che abbracci tutto il parco delle informazioni presenti all’interno dei sistemi informativi tramite anche semplici modelli, per poi approfondire nel tempo secondo il classico esempio del ciclo di Deming: Pianificare, Eseguire, Verificare, Agire.