Sicurezza informatica , i fondi del Pnrr per una strategia contro le nuove minacce

«La resilienza cibernetica del paese passa per lo sviluppo di una infrastruttura nazionale del cloud». L’obiettivo è esplicito e dichiarato. Il calendario, la time-table di questo percorso, è già tutto fissato dal giugno 2021. L’ultimo passo sarà a dicembre 2023. Il prossimo tassello è alla casella di fine febbraio 2022. Entro fine mese, l’approvazione del Dpcm (il decreto del presidente del consiglio dei ministri) trasferirà funzioni in materia di cybersicurezza di Mise e Agid. Poi sarà la volta del 30 giugno 2022, quando diventerà operativo il Centro di valutazione e certificazione nazionale per la valutazione di beni, servizi o di funzioni essenziali per lo Stato. Tre infrastrutture tutt’altro che dimenticate dagli attacchi cybernetici, e favoriti anche da un ampliamento del perimetro degli obiettivi molto legato alle nuove dinamiche organizzative, su tutte il ricorso allo smart working: se 509 attacchi alla infrastrutture sensibili italiane si aggiungono quelle socialmente rilevanti, il numero va oltre i duemila attacchi, quattro volte tanto. E si tratta di una stima, non tutti gli attacchi vengono denunciati e quindi rilevati dalle statistiche.

Poi il passaggio finale, a fine dicembre 2023, con la fase di potenziamento dell’Agenzia per la Cybersicurezza nazionale con il reclutamento di 300 specialisti informatici: una campagna di recruitment che rischia seriamente di incagliarsi nell’allarme che le imprese e tutti gli employment outlook pubblicati stanno lanciando da tempo intorno alla totale assenza sul mercato proprio di profili professionali tagliati sul lato informatica e sicurezza.

Oltre un anno e mezzo di attesa ancora, quindi, per avere una visione e un’azione omnicomprensiva della sicurezza cibernetica. Con un mondo sempre più sotto attacco e i cui ritmi di violazione dei sistemi informatici crescono a doppia cifra ogni anno: 1.053 gli incidenti gravi e denunciati nel primo semestre 2021, un +15% rispetto allo stesso periodo dell’anno prima, secondo i dati Clusit. Ma è lo stesso ministri della transizione digitale, Vittorio Colao, a denunciare che i numeri sono enormemente più grandi: in sei mesi è stato di 3,6 milioni il totale degli attacchi informatici, contando anche quelli piccoli, non meno dannosi e pericolosi. E dove il 31% delle grandi imprese rileva un ulteriore aumento degli attacchi informatici nell’ultimo anno, che va a sommarsi a quello riscontrato nei primi mesi di emergenza.

Smart working e consapevolezza nelle imprese

Un’emergenza certamente non solo italiana, ma certo di dimensioni globali.Tanto che la stessa Nato ha inserito nella sua agenda il tema questa tipologia di crimine e ha approvato nell’ultimo vertice di fine anno scorso la nuova Cyber defence policy. Il direttore dell’Fbi, Cristopher Wray, non ha esitato a paragonare i cyber attacchi e il più vasto fenomeno dei ransomware (riscatti chieste alle aziende per ritirare l’attacco cyber) alla situazione di gravità che si era creata con l’attacco alle Torri Gemelle dell’11 settembre.

Da una parte quindi la minaccia, sempre presente e sempre in crescita. E poi c’è il mercato degli strumenti di difesa. La guerra cyber ha trasformato la sicurezza informatica e i suoi strumenti per garantirla la maggiore priorità di investimento nei diversi ambiti del digitale. E non solo nelle grandi imprese. Il problema infatti, complice la forte accelerazione della trasformazione digitale dei processi e dell’organizzazione aziendale, ora invece anche le piccole e medie imprese. Che stanno avviando programmi di sensibilizzazione di aumento della consapevolezza delle minacce informatiche – sempre di più sulla spinta e con il diffondersi dello smart working – fra i dipendenti: ormai, in base all’ultima ricerca dell’Osservatorio Cybersecurity & Data Protection della School of Management del Politecnico di Milano, più di un’azienda su due (il 54%) di fronte al diffondersi delle nuove modalità di lavoro, giudica necessario rafforzare le iniziative di sensibilizzazione al personale sui comportamenti da adottare.

«Con il protrarsi dell’emergenza sanitaria, si sta consolidando la consapevolezza sull’importanza della cybersecurity, non solo nelle organizzazioni di maggiori dimensioni, ma anche in realtà meno strutturate - afferma Gabriele Faggioli, Responsabile scientifico dell’Osservatorio Cybersecurity & Data Protection -. Il mercato ha ripreso a correre, cresce la diffusione dei Ciso nelle aziende, sempre più realtà hanno adottato tecnologie e rivisto i processi per aumentare la sicurezza di fronte alle minacce crescenti. Sullo sfondo, inizia ad emergere la spinta del Pnrr, linfa per gli investimenti in security e punto di riferimento per le organizzazioni con la nascita della nuova Agenzia per la Cybersicurezza Nazionale».
Con un aggravante ulteriore: il Covid-19 ha lasciato uno strascico negativo nell’approccio al rischio cyber, aumentando la difficoltà nell’adottare una visione strategica di difesa. Se il numero complessivo di aziende che lo affrontano rimane invariato (38%), diminuiscono di 11 punti percentuali quelle che lo gestiscono in un processo integrato di risk management. Aumentano invece le organizzazioni che lo trattano come un rischio a sé stante all’interno di una singola funzione (49%).

Gli investimenti per la nuova normalità

E intanto crescono il volume e il mercato del sicurezza informatica. Con la “nuova normalità” caratterizzata da modalità di lavoro in alternanza casa-ufficio e il costante aumento degli attacchi, molte imprese italiane hanno intrapreso o potenziato gli investimenti in sicurezza informatica. Nel 2021 il mercato della cybersecurity ha raggiunto il valore di 1,55 miliardi di euro, +13% rispetto al 2020, evidenziando un ritmo di crescita mai così elevato, con un 60% di grandi organizzazioni che ha previsto un aumento del budget destinato alle attività di sicurezza informatica. Il rapporto tra spesa in cybersecurity e Pil resta però limitato (0,08%), all’ultimo posto tra i Paesi del G7, ma l’Italia - insieme al Giappone - è l’unica nazione a non aver registrato una diminuzione nel corso dell’ultimo anno.

Se l’interesse delle imprese alla cybersecurity è ai massimi storici, cresce anche l’attenzione delle istituzioni. L’introduzione di misure in questo ambito, per esempio, nel solco del Pnrr, prevedono nella Missione 1 investimenti per 623 milioni di euro in presidi e competenze di cybersecurity nella pubblica amministrazione. E nella Missione 4 ulteriori fondi per la ricerca e la creazione di partenariati su temi innovativi, tra cui la sicurezza informatica.
L’Agenzia per la Cybersicurezza Nazionale (Acn) va in questa direzione e si conferma strumento per contrastare le minacce informatiche. Per questo le imprese si dimostrano aperte e disponibili: il 17% ha già stabilito la volontà di collaborare con l’Agenzia, più di metà (53%) è in attesa di linee guida e indicazioni, un ulteriore 22% vuole approfondire meglio il ruolo dell’organismo nell’ottica di individuare opportunità future.

«Il primo passo è stato compiuto: le imprese hanno posto le basi per rendere la cybersecurity un elemento chiave per il loro business, intraprendendo un percorso strutturato verso una nuova fase – dice Alessandro Piva, Direttore dell’Osservatorio Cybersecurity & Data Protection -. L’Italia rimane però all’ultimo posto tra i Paesi del G7 nel rapporto tra spesa cybersecurity e Pil e il mercato del cybercrime corre veloce, con nuove tipologie di attacco sempre più sofisticate. Le organizzazioni non devono abbassare la guardia, ma muoversi elaborando una strategia a lungo termine per la sicurezza informatica».

Cyber guerra, cresce il valore del mercato

Il 60% delle grandi imprese italiane ha aumentato il budget per la sicurezza informatica nel 2021. Il mercato italiano di 1,55 miliardi di euro è composto per il 52% da soluzioni di security come Vulnerability Management e Penetration Testing, Siem, Identity and Access Management, Intrusion Detection, Data Loss Prevention, Risk and Compliance Management e Threat Intelligence, e per il 48% da servizi professionali e servizi gestiti.

Gli aspetti di security più tradizionali continuano a coprire le quote maggiori, con il 31% della spesa dedicata a Network & Wireless Security, ma gli aumenti più significativi riguardano Endpoint Security e Cloud Security. Con le nuove modalità di lavoro, la protezione dei dispositivi continua a essere un elemento cruciale e l’adozione di applicazioni e piattaforme Cloud rende necessaria una specifica attenzione a questo ambito.La dinamicità del mercato viene poi confermata lato offerta dalle 13 le operazioni straordinarie di acquisizione, aggregazione e quotazione che hanno riguardato 24 realtà italiane di servizi e soluzioni in ambito security, per un giro d’affari pari a diverse centinaia di milioni di euro.

Dopo anni in cui l’organizzazione della cybersecurity è stata pressoché cristallizzata, nel 2021 cresce di 5 punti la presenza formale del responsabile della sicurezza informatica. Il presidio è oggi affidato nel 46% delle imprese italiane al Chief Information Security Officer, che nella maggioranza dei casi riporta alla Direzione IT (34%) e ha un team dedicato a supporto nel 78% dei casi. Il 58% delle imprese ha definito un piano di formazione strutturato sulle tematiche di cybersecurity e data protection rivolto a tutti i dipendenti, mentre l’11% si è focalizzato sulla formazione di specifiche funzioni più a rischio. Nel 30% dei casi sono state realizzate azioni di sensibilizzazione meno strutturate e sporadiche, solo nell’1% non sono del tutto previste attività di formazione.