Futuro “cybersicuro” e sostenibile

Un devastante attacco informatico paralizza le principali infrastrutture degli Stati Uniti, gettando l’intero paese nel terrore e nel caos. Un’immagine per ora ancora confinata alla finzione cinematografica, ma che potrebbe prendere il sopravvento nel prossimo avvenire. In periodi come questo, di forti tensioni geopolitiche, i cyberattacchi sono sempre più frequenti e violenti, soprattutto alle infrastrutture critiche, dove le conseguenze possono essere davvero devastanti. È quindi imperativo investire nella cybersicurezza per proteggere il futuro, che si vuole sostenibile.

Attacchi alle infrastrutture critiche

È di poco tempo fa la notizia di un duplice attacco hacker - probabilmente russo - a distanza di una settimana, ai sistemi informatici del Gestore dei servizi energetici italiani (GSE SpA) e dell’ENI. Senza contare i cyber crimini perpetrati negli scorsi mesi alle maggiori raffinerie di petrolio ad Amsterdam, Rotterdam e Anversa, come pure a società del calibro di Vodafone, colosso della telefonia, in Portogallo. A Est la confusione informatica ha colpito la rete ferroviaria bielorussa, proprio nel mezzo di un’esercitazione militare con la Russia. E non potevano certo uscire incolumi gli istituti finanziari ed i siti governativi ucraini. L’elenco è lungo e comprende solo le azioni commesse in Europa. Gli Stati Uniti sembrano meno vulnerabili, poiché hanno investito grandi somme nella cybersicurezza, soprattutto nel settore finanziario.

Dal rapporto annuale stilato da IBM (Cost of Data Breach Report 2022)[i], a livello globale gli attacchi informatici settimanali ad aziende sono aumentati del 50 per cento dal 2020 al 2021. Secondo le   statistiche di Check Point[ii], nel 2021 si sono registrati, globalmente, “oltre 900 cyberattacchi a settimana per organizzazione.” Fino ad ora l’83% delle compagnie ha già subito almeno una violazione. Per di più gli attacchi sono sempre più devastanti, capaci di bypassare anche i sistemi di sicurezza più potenti, e i malware sono sempre più diversificati: da dicembre 2021 a giugno 2022 sono raddoppiati, passando ad oltre 10'000 varianti.

Tutti i costi dei cyberattacchi

Un attacco informatico ad un’infrastruttura strategica (trasporti, sanità, comunicazioni, energia, industria, istruzione, settore pubblico e servizi finanziari e tecnologici) costa in media 4,82 milioni di dollari. Per gli altri settori il costo medio è passato da 3,8 milioni di dollari nel 2020 a 4,35 milioni di dollari nel 2022 (+12,7%).[iii]

A questo vanno aggiunti i tempi di risposta: secondo l’Outlook 2022 sulla Cybersicurezza globale del World Economic Forum (WEF)[iv], ci vogliono in media 280 giorni per identificare e rispondere ad un cyberattacco e i tempi si allungano per le compagnie con il personale che lavora da remoto (316 giorni). Ai danni economici vanno addizionati quelli reputazionali ed anche quelli sociali, poiché toccano ogni aspetto della vita quotidiana.

Un quinto delle violazioni colpisce le catene di approvvigionamento (partner aziendali hackerati), compromettendo le filiere, con interventi di ripristino che durano quasi un mese in più delle minacce isolate ed un conseguente aumento dei costi per contenere i danni. Un esempio è l’attacco attuato nel 2021 dal Gruppo ransomware REvil (hacker legati alla Russia), che ha colpito 1.500 aziende in tutto il mondo, tra cui una catena di supermercati svedese, costretta alla chiusura temporanea di oltre 800 negozi.

Dal virus biologico ai virus digitali

Di fatto, il Covid-19 ha notevolmente accelerato la corsa alla digitalizzazione, ampliandone in modo significativo l’utilizzo. Secondo le stime della Banca Mondiale, il traffico annuale totale di internet nel 2022 è destinato ad aumentare del 50 per cento rispetto ai livelli del 2020, raggiungendo 4,8 zettabyte: in un minuto vengono inviate 197,6 milioni di mail e 69 milioni di messaggi WhatsApp, condivise 695'000 stories su Instagram, compiute 9'132 connessioni su Linkedln, spesi 1,6 milioni di dollari nel E-commerce, mentre le videoconferenze sono decuplicate.[v] 

Questa panoramica aggiornata della realtà, dove tutto passa dalla rete ed è interconnesso, produce un’enorme quantità di dati ed espone l’intera popolazione ad una nuova dimensione di attacchi e minacce digitali: i virus digitali si diffondono dieci volte di più e più velocemente dei virus biologici. E gli impatti delle tecnologie di prossima generazione, come l’intelligenza artificiale, i computer quantistici, la connettività ubiqua e i futuri approcci alla gestione delle identità e degli accessi, su cui il mondo fa affidamento per raggiugere il benessere in ogni settore capillare della nostra vita, oggi non sono ancora conosciuti, ma potrebbero sopraffare le difese della comunità di sicurezza globale.

Ecco che allora diventa, non solo impellente, ma anche necessario investire nella cybersicurezza per garantirci un futuro sostenibile. L’urgenza è sicuramente stata colta dal World Economic Forum, che classifica gli attacchi informatici tra le 10 principali minacce da affrontare nel prossimo Decennio. A questa scottante problematica il gruppo fondato da Klaus Schwab sta dedicando ampio spazio attraverso iniziative, ricerche, studi e piattaforme, incentivando il dialogo e la collaborazione tra esperti della sicurezza informatica e leader sia del settore privato, sia pubblico, allo scopo di tamponare gli effetti negativi a livello economico e reputazionale.

Diciassette obiettivi ONU a cyber-rischio

L’obiettivo 9 dell’Agenda 2030 delle Nazioni Unite auspica di “costruire infrastrutture resilienti, promuovere l'innovazione ed una industrializzazione equa, responsabile e sostenibile”: la resilienza si raggiunge attraverso la modernizzazione delle infrastrutture con un uso efficiente e trasversale della tecnologia da parte delle aziende, per evitare sprechi, e con l’adozione di pratiche di cybersicurezza, in assenza delle quale i 17 obiettivi di sviluppo sostenibile verrebbero compromessi.

Nel suo Outlook 2022 sulla Cybersicurezza, il WEF punta alla costruzione di ecosistemi cyber-resilienti. Lo scopo è fornire “un'analisi dettagliata delle sfide che gli esperti della sicurezza devono affrontare, degli approcci da adottare per stare al passo con i nuovi attacchi e delle misure da implementare per migliorare la resilienza informatica (la capacità di anticipare, resistere, recuperare e adattarsi ai pericoli e alle minacce), non solo all'interno delle singole organizzazioni, ma nell'intero ecosistema”. È quindi necessario valutare “quanto la sicurezza informatica non debba essere pensata come una tecnologia separata, ma piuttosto come un insieme di sistemi fondamentali che spaziano dalla tecnologia alle persone ed ai processi all’interno della Quarta rivoluzione industriale”.

Quali comportamenti e strategie adottare?

A meno di disconnettersi tutti da internet (un giorno fuori dalla rete costa all’economia globale 50 miliardi di dollari)[vi], è necessario affrontare il problema su più versanti.

A livello strategico, il WEF ha elaborato una serie di principi affinché i consigli di amministrazione dispongano di basi più solide per gestire i rischi informatici delle loro compagnie. La cybersicurezza deve essere parte integrante delle politiche di gestione del rischio e del perseguimento degli obiettivi aziendali. A tale proposito, si consiglia di incorporare i responsabili della sicurezza informatica nel board direttivo o, perlomeno, pianificare con loro regolari briefing. Un altro punto fondamentale per migliorare la cyber-resilienza delle industrie e degli altri settori è quello di incentivare le partnership e le azioni collettive da parte di tutti gli attori, sia pubblici, sia privati, dell’intero ecosistema digitale, imprescindibilmente interconnesso.

Naturalmente per essere più proattivi nel contrastare i futuri cyberattacchi è necessario investire in modo più significativo nella sicurezza informatica: secondo il WEF,  è necessario che gli investimenti siano “adeguati a supportare (formazione, orientamento e ricerca) e ad incentivare (forza lavoro, regolamentazione) lo sviluppo delle tecnologie emergenti di sicurezza”.

“Best Practice” contro i crimini informatici nelle aziende

Stando al Cybersecurity Framework (CSF) del National Institute of Standards and Technology (NIST), organo di riferimento per eccellenza in questo ambito, un programma di sicurezza informatica completo per le aziende (protezione infrastrutture, sistemi, reti ed informazioni) deve poggiare su cinque funzioni operative: 1) identificare i rischi informatici e la vulnerabilità degli asset aziendali, 2) proteggere le infrastrutture critiche, controllare gli accessi e salvaguardare i dati sensibili, 3) rilevare ed anticipare le minacce, 4) rispondere in caso di rilevamento di una violazione, 5) recuperare i dati e ripristinare quelli compromessi.

Un modello di cybersicurezza che si è rivelato particolarmente efficace, soprattutto per quanto riguarda il controllo degli accessi, è il cosiddetto “zero trust strategy”, basato sulla convinzione che nulla (utenti, dispositivi e connessioni), sia interno, sia esterno al perimetro di rete di una compagnia, debba essere ritenuto automaticamente affidabile: esso comprende cloud pubblici e privati, applicazioni SaaS, DevOps e l’automatizzazione robotizzata dei processi.

Secondo il rapporto annuale di IBM (Cost of Data Breach Report 2022), sono oltre 1 milioni di dollari i costi che le aziende risparmiano in caso di attacco utilizzando il modello “zero trust”. La percentuale delle compagnie che ne fa uso è cresciuta dal 35% nel 2021 al 41% nel 2022.

Intelligenza artificiale e automatizzazione

Intelligenza artificiale (AI) e automatizzazione si sono rivelate le vere protagoniste della sicurezza informatica, poiché sono in grado di cambiarne la fisionomia stessa. Riescono infatti ad analizzare enormi quantità di dati sui rischi, accelerando i tempi di risposta e le operazioni di sicurezza e rendendo, di fatto, le aziende più sicure ed eco-sostenibili.

Le compagnie dotate di modelli di sicurezza basati su questi due nuovi approcci tecnologici risparmiano oltre 3 milioni di dollari in caso di cyberattacchi (3.15 milioni di costi invece di 6,2). Il rapporto annuale 2022 di IBM mette poi in luce il risparmio di tempo: il ciclo di vita di un attacco si riduce in media di 74 giorni.

Molti hanno adottato negli ultimi anni questo strutturato modus operandi: la percentuale delle organizzazioni munite di programmi di sicurezza con AI ed automatizzazione è aumentata dal 59% nel 2020 al 70% nel 2022, pari ad un tasso di crescita del 18,6%.

Investire nella cybersicurezza

Juniper Research, società di analisi leader nel settore digitale e tecnologico, prevede che gli investimenti nella sicurezza informatica cresceranno di un terzo proprio nel 2022; l’aumento sarà di 134 miliardi di dollari all’anno. Il compartimento della cybersicurezza è suddiviso in tre ambiti: hardware, software e servizi. Sarà soprattutto il mercato dei software a beneficiare del grande afflusso di capitale, poiché gode di prospettive di crescita maggiori, margini più solidi e redditi stabili.[vii] 

Sul mercato esistono diversi strumenti sui quali investire per affrontare questo importante tema. È sconsigliabile avventurarsi nell’acquisto di un singolo titolo, anche se ritenuto particolarmente significativo per la dinamica del settore. È meglio affidarsi a ETF, che permettono di diversificare il rischio su più attori coinvolgendo quindi l’ampio ventaglio della complessa impalcatura della sicurezza informatica. Fra questi ci sono il First Trust Nasdaq Cybersecurity (CIBR US) che replica il Nasdaq CTA Cybersecurity Index o L&G Cybersecurity UCIT ETF (USPY LN).