La cybersecurity è ormai uscita dal perimetro dell’information technology per diventare una componente essenziale della strategia d’impresa. Non riguarda soltanto firewall, software e sistemi di protezione: in gioco ci sono la continuità operativa, la reputazione, la fiducia dei clienti e, in ultima analisi, la capacità stessa di un’azienda di restare sul mercato.

È questo il quadro emerso dalla conversazione con Francesco Bazzoni, responsabile Italia dei progetti speciali del gruppo Piramis, ospite di Wall & Street Live.

La cybersecurity diventa una questione strategica

«L’industria del crimine cyber, perché ormai stiamo parlando di un’industria, visto che di fatto è la terza economia dopo Cina e Stati Uniti per fatturato, non è più una chimera, uno spauracchio, un qualcosa che si racconta sui giornali, ma è entrata assolutamente all’interno della vita quotidiana di ogni impresa italiana», spiega Bazzoni.

La sfida, dunque, è innanzitutto cambiare approccio. La protezione dai rischi informatici non può essere considerata una funzione accessoria dell’azienda, ma deve entrare nelle strategie del management e nei processi decisionali.

«Oggi avere al centro delle strategie aziendali anche quello della prevenzione dai rischi cyber è diventato fondamentale e senza una strategia precisa, sottolineo la parola strategia, oggi a mio avviso per un’impresa italiana è difficile pensare di poter stare sul mercato».

Il problema non è soltanto la possibilità di subire un furto di dati. Un attacco può bloccare la produzione, interrompere l’operatività e provocare danni economici ingenti, ai quali si aggiunge il rischio di perdere la fiducia dei clienti.

Il dipendente può diventare il punto debole

In questo scenario la tecnologia, da sola, non basta. Il vero punto critico può essere rappresentato dal fattore umano.

«Io posso mettere in piedi il sistema più complesso e articolato possibile in termini di firewall, di SOC, di strumenti informatici per poter prevenire attacchi cyber. Ma se poi alla fine, dopo aver messo in piedi questa fortezza inespugnabile, all’interno di questa fortezza c’è un mio dipendente, un operativo, una persona che comunque lavora in azienda, che ha accesso ai sistemi informatici e che magari clicca sull’ennesima mail che riceviamo dove ci vengono promessi premi, oppure dove magari ci viene richiesto di accedere ad un link perché c’è stata un’anomalia sul nostro conto», osserva Bazzoni, «il mio castello, per quanto complesso, per quanto articolato, per quanto all’avanguardia, può crollare in qualsiasi momento».

È da qui che nasce il concetto di «firewall umano»: la difesa dell’azienda non può prescindere dalla preparazione delle persone che ogni giorno utilizzano sistemi, dati e strumenti informatici.

Un tema diventato ancora più importante con l’evoluzione dell’intelligenza artificiale, che rende gli attacchi di phishing sempre più sofisticati e credibili. «Finché ci sarà quel dipendente che non riconosce un attacco di phishing, è ovvio che il mio castello può crollare in qualsiasi momento».

 

 

Formazione e simulazioni contro il phishing

La formazione, perciò, non può limitarsi a qualche indicazione generale sulle password o sulle email sospette. Deve diventare parte integrante della strategia di sicurezza.

Bazzoni richiama anche il ruolo della NIS2, la direttiva europea che prevede, nel percorso di adeguamento delle aziende interessate, attività di formazione rivolte sia ai vertici sia alle persone che operano all’interno dell’organizzazione.

«La formazione serve, come giustamente diceva lei, a fare in modo che queste persone prendano familiarità sul che cosa è un attacco, sul come si sviluppa e soprattutto quali sono le cose da fare e da non fare».

Ma come si misura l’efficacia della formazione? Una delle strade è mettere alla prova concretamente i dipendenti. «Una delle attività che noi facciamo quando facciamo formazione è per esempio quella di andare a simulare degli attacchi di phishing sull’intera popolazione aziendale, verificare quelli che sono i comportamenti dei singoli, costruire ovviamente delle mappe, dei report che vanno a individuare quelle che sono le criticità e poi a quel punto spiegare agli operatori quali sono stati gli errori».

Dopo un certo periodo, la simulazione viene ripetuta per verificare se i comportamenti sono cambiati. Un metodo che punta a trasformare la consapevolezza della minaccia in una vera cultura della sicurezza.

Quando l’intelligenza artificiale entra nelle truffe

Il problema, del resto, non riguarda più soltanto le grandi organizzazioni o gli specialisti IT. Le tecniche utilizzate dai criminali informatici sono diventate abbastanza sofisticate da colpire anche nella vita quotidiana.

Bazzoni cita il caso di una frode realizzata attraverso WhatsApp, nella quale gli aggressori avrebbero studiato le abitudini della vittima e utilizzato strumenti di intelligenza artificiale per rendere credibile la richiesta fraudolenta.

«Sono riusciti a entrare nel profilo di questa persona, l’hanno studiata, hanno studiato le abitudini, a quel punto hanno, attraverso intelligenza artificiale, ricostruito la voce del rappresentante legale di Banca Intesa, mandato un messaggio, mandato un vocale». Gli aggressori, secondo il racconto, sarebbero arrivati anche a intercettare le chiamate in ufficio, riuscendo a rispondere con simulatori vocali quando la vittima aveva cercato di verificare la richiesta.

«La formazione oggi diventa fondamentale, al pari di tutta la tecnologia che deve essere messa in campo per cercare di riuscire a difendersi».

La sicurezza incide anche sulla reputazione

Un attacco informatico, però, non produce soltanto un danno tecnico o finanziario. Può compromettere la reputazione dell’impresa, mettendo in discussione la sua affidabilità agli occhi di clienti, fornitori, partner e investitori.

«Il danno reputazionale insieme ai danni economici e alla continuità operativa è la minaccia più grande che un’azienda in questo momento deve temere rispetto agli attacchi cyber», sottolinea Bazzoni.

La questione diventa particolarmente rilevante nelle relazioni tra imprese. Un’azienda che non dimostra di avere una cultura adeguata della sicurezza può diventare un rischio anche per i propri partner.

«Se io ho un partner tecnologico dove capisco che non c’è una cultura della sicurezza, non ci sono investimenti adeguati per andare a costruire difese cyber adeguate, è chiaro che quel partner per me non è più affidabile».

Lo stesso ragionamento vale per gli investitori. «Un’azienda che non rispetti le norme minime di sicurezza o che dimostri palesemente di non avere la capacità di riuscire a difendersi non è affidabile e quindi non è un buon investimento».

La cybersecurity, quindi, diventa anche un parametro attraverso cui valutare la qualità della governance e la solidità complessiva di un’impresa.

Non un costo, ma un investimento

Resta però un problema concreto, soprattutto per le PMI: trasformare la consapevolezza del rischio in investimenti effettivi.

«Sicuramente bisogna mettere a budget degli investimenti. Oggi la stragrande maggioranza delle imprese ancora non riesce a inserire all’interno del proprio bilancio delle voci in ottica di pianificazione per gli investimenti in questo settore».

Il primo passo, secondo Bazzoni, è dunque prevedere risorse dedicate non soltanto alla tecnologia, ma anche alla formazione e alla crescita delle persone.

«Investimenti tecnologici, investimenti IT, ma anche investimenti in attività di formazione, di crescita delle proprie persone. Questo è il primo pezzo».

Il secondo riguarda invece la scelta di un partner in grado di accompagnare l’impresa nel tempo. «Non stiamo parlando di investimenti in one shot che possono essere esauriti in poco tempo. Questo è un percorso».

Una prospettiva che porta Bazzoni a paragonare la sicurezza informatica alle altre competenze professionali di cui un’impresa non può fare a meno: «Al pari di un commercialista, di un avvocato, oggi un’azienda, se non ce l’ha già al proprio interno, deve avere un partner di riferimento che la accompagni in questo settore».

La conclusione è netta: «Budget, investimenti e ovviamente partnership di livello per poter affrontare questo percorso». Perché nella nuova economia digitale proteggere i sistemi informatici non significa soltanto evitare un attacco: significa difendere la continuità dell’impresa, la sua reputazione e la fiducia su cui si reggono le relazioni con il mercato.

Gian Maria De Francesco