- Violazioni dei dati, ransomware ed errori umani generano perdite nell'ordine di milioni di dollari, che superano di gran lunga gli investimenti preventivi in sicurezza informatica.
- Si sta creando un divario crescente tra il costo della criminalità informatica e i budget stanziati per la sicurezza, soprattutto nelle PMI e nei settori strategici.
- La nuova legge sulla sicurezza informatica impone a migliaia di aziende di investire ingenti somme nella gestione del rischio, nella risposta agli incidenti e nella formazione.
- Il costo per conformarsi a questi requisiti è inferiore all'impatto finanziario, legale e reputazionale di un grave incidente informatico non gestito.
Parlare del vero costo della sicurezza informatica non significa più limitarsi alle licenze antivirus o all'assunzione di uno specialista IT per intervenire in caso di problemi. Oggi, il denaro che un'azienda rischia in un grave incidente di sicurezza supera di gran lunga qualsiasi investimento ragionevole in protezione , e i dati provenienti da assicuratori, società di consulenza e agenzie pubbliche lo dimostrano chiaramente.
Mentre il volume e la sofisticazione degli attacchi informatici sono in rapida crescita, molte aziende rimangono impreparate , con budget limitati, misure frammentarie e una mentalità del tipo "a me non succederà" che, quando si verifica il primo incidente, si rivela molto costosa. Dai grandi gruppi industriali ed energetici alle PMI locali, la discrepanza tra il rischio percepito e le risorse effettivamente stanziate per mitigarlo sta diventando sempre più evidente.
Il costo diretto degli incidenti informatici: cifre spaventose
Analizzando su larga scala i sinistri relativi alle assicurazioni informatiche, emerge chiaramente che le violazioni dei dati e le fughe di informazioni rappresentano la tipologia di incidente più frequente e, soprattutto, quella che genera le maggiori perdite finanziarie. Si parla di casi che vanno da poche persone coinvolte a incidenti che interessano oltre un milione di clienti, con tutto ciò che questo comporta in termini di notifiche, gestione della crisi, assistenza legale, sanzioni e danni alla reputazione.
Uno studio globale basato su 4.650 richieste di risarcimento assicurativo in quasi 90 paesi nell'arco di un decennio stima il costo medio di un attacco informatico intorno ai 2,4 milioni di dollari per incidente. Quando il problema riguarda una violazione massiccia dei dati, l'impatto aumenta ulteriormente: il costo medio di una violazione dei dati si aggira sui 3,9 milioni di dollari, includendo costi tecnici, legali, operativi e di reputazione.
Inoltre, l'impatto degli "incidenti gravi" è enorme: solo il 4% degli incidenti supera i 10 milioni di dollari, eppure questo piccolo gruppo rappresenta circa il 91% delle perdite totali registrate. Nei casi più estremi, alcune richieste di risarcimento hanno raggiunto cifre sbalorditive, fino a 331 milioni di dollari, a dimostrazione del potenziale devastante di un attacco mirato a un'organizzazione altamente esposta.
Un fattore che emerge ripetutamente è la mancanza di adeguate misure di sicurezza . Circa un quarto delle perdite analizzate deriva da una protezione insufficiente: sistemi non aggiornati , controlli di accesso deboli, mancanza di supervisione da parte dei fornitori o assenza di piani di risposta e ripristino che consentano un rapido ritorno alle operazioni.
Principali cause di perdite: terzi, errore umano e ransomware
Analizzando l'origine di molti di questi incidenti, emerge chiaramente che una parte significativa delle perdite derivanti dalle violazioni dei dati è riconducibile a fornitori e terze parti . Circa la metà di questi incidenti è causata da guasti o attacchi che colpiscono i partner che archiviano o elaborano i dati di clienti e dipendenti. Ciò rende necessaria una revisione approfondita e periodica della sicurezza informatica lungo l'intera catena di fornitura, e non solo all'interno dell'organizzazione stessa.
L'errore umano rimane una delle cause principali. Circa il 24% delle perdite associate alle violazioni dei dati è riconducibile a negligenza o cattive pratiche da parte di dipendenti o partner: cliccare su link in email di phishing, rispondere a messaggi fraudolenti, inviare documenti sensibili al destinatario sbagliato o condividere le credenziali senza le dovute precauzioni. Un buon programma di onboarding e formazione riduce significativamente questi rischi.
Nel frattempo, gli attacchi ransomware continuano la loro tendenza al rialzo. Questo tipo di malware crittografa o blocca sistemi e dati, richiedendo un riscatto in cambio del ripristino dell'accesso. In molti casi, viene combinato con il furto e la pubblicazione di dati per aumentare la pressione. Il modello è diventato così sofisticato che sono emersi operatori che offrono il "ransomware-as-a-service" , fornendo kit, infrastrutture e supporto ad altri criminali in cambio di una percentuale del riscatto.
Questo scenario rende essenziale disporre di un piano di continuità operativa e ripristino ben progettato, testato e aggiornato : backup robusti e isolati, procedure chiare per isolare i sistemi compromessi, comunicazione interna ed esterna coordinata e, soprattutto, esercitazioni regolari per evitare di improvvisare quando l'azienda è sotto attacco.
Il divario tra rischio e budget nella sicurezza informatica
Mentre gli hacker affinano i loro strumenti e metodi, la spesa per la protezione non sempre tiene il passo. In mercati come quello spagnolo, recenti stime suggeriscono che il costo della criminalità informatica potrebbe aumentare vertiginosamente fino al 148% entro il 2028, raggiungendo circa 69.000 miliardi di euro. Tuttavia, il budget stanziato per la sicurezza informatica cresce a un tasso annuo di poco inferiore al 6%, creando un divario sempre più preoccupante tra il volume del rischio assunto e il livello di difesa effettivo.
Questa situazione è particolarmente critica nei settori strategici , dove un'interruzione dell'attività non solo genera perdite economiche, ma ha anche ripercussioni sulla sicurezza, l'approvvigionamento e i servizi essenziali di un Paese. Nell'ultimo anno, il settore manifatturiero ha rappresentato circa un quarto degli attacchi registrati, seguito dai settori energetico e logistico e dei trasporti, che hanno subito anch'essi una percentuale significativa di incidenti.
Casi eclatanti come l'attacco informatico a una delle principali case automobilistiche britanniche, considerato uno dei più costosi nel Paese, dimostrano chiaramente come un singolo incidente possa paralizzare la produzione, interrompere le catene di approvvigionamento, danneggiare la reputazione e comportare richieste di risarcimento multimilionarie.
Nonostante queste prospettive, molte organizzazioni mostrano ancora bassi livelli di maturità in materia di sicurezza informatica. Rapporti recenti indicano che solo una piccola percentuale di aziende, circa il 2%, ha implementato una strategia completa di resilienza informatica, ovvero un approccio olistico che non solo mira a prevenire gli attacchi, ma anche a resistervi e a riprendersi rapidamente e in modo controllato.
La buona notizia è che la stragrande maggioranza dei dirigenti ora riconosce la necessità di rafforzare questo settore. Oltre tre quarti delle aziende prevedono di aumentare i propri budget per la sicurezza informatica a breve termine, e un numero significativo sta pianificando aumenti a doppia cifra, consapevoli che continuare a rimandare questi investimenti non farebbe altro che aumentare i costi futuri.
Digitalizzazione, connettività e una nuova superficie di attacco
La trasformazione digitale ha rivoluzionato le pratiche lavorative in settori diversi come i servizi di emergenza, la logistica, la manutenzione delle infrastrutture e la difesa. I dispositivi mobili e i laptop connessi consentono l'accesso a informazioni in tempo reale, l'ottimizzazione dei percorsi, il coordinamento dei team e la riduzione dei tempi di inattività. Tuttavia, questa stessa connettività amplia anche il campo di gioco per gli aggressori . La trasformazione digitale richiede misure specifiche per evitare di moltiplicare il rischio.
In ambienti remoti o sul campo, dove la supervisione diretta del team IT è limitata o inesistente, i rischi si moltiplicano: accesso non autorizzato ai sistemi aziendali, smarrimento o furto di dispositivi contenenti dati sensibili, connessioni a reti wireless non protette e utilizzo di applicazioni non controllate. Tutto ciò crea lo scenario ideale affinché una violazione della sicurezza apparentemente minore si trasformi in un problema serio.
I dispositivi rinforzati (computer portatili e tablet) utilizzati in questi settori sono progettati per funzionare in condizioni estreme e offrono connettività avanzata, sia 4G LTE che 5G, anche in aree isolate. Tuttavia, una maggiore connettività senza un'adeguata strategia di sicurezza è una ricetta per il disastro: più punti di accesso, più dispositivi da aggiornare e più identità da gestire.
Per mitigare questi rischi, un approccio di protezione multilivello e incentrato sugli endpoint risulta la soluzione ideale: hardware con funzionalità di sicurezza avanzate a livello di firmware, sistemi operativi configurati con principi di sicurezza predefiniti, controlli di identità robusti (come l'autenticazione a più fattori), crittografia completa del disco e delle comunicazioni e strumenti di monitoraggio che consentano il rilevamento di attività sospette in tempo reale.
Sulla base di ciò, è consigliabile aggiungere ulteriori livelli di sicurezza, come l'utilizzo sistematico di VPN sicure per l'accesso remoto, politiche rigorose per la gestione degli aggiornamenti software e firmware (evitando di lasciare finestre aperte a vulnerabilità note) e piani di risposta agli incidenti che tengano conto del contesto specifico del lavoro sul campo.
Misurare il rischio informatico e dare priorità agli investimenti
Una delle maggiori sfide per molte aziende è il passaggio da decisioni basate sull'intuizione o su timori generici a un approccio quantitativo alla gestione del rischio informatico . La maggior parte dei dirigenti concorda sul fatto che la misurazione del rischio informatico sarà fondamentale per decidere come allocare i fondi, quali progetti privilegiare e quali controlli sono più convenienti in termini di riduzione dell'esposizione.
Tuttavia, solo una minoranza di organizzazioni dichiara di allocare le risorse in modo realmente allineato alle aree a più alto rischio. Tra gli ostacoli più frequenti figurano l'incertezza sulla reale portata delle minacce , la mancanza di dati affidabili, la difficoltà nel trasformare tali informazioni in metriche comprensibili per il business e la diffidenza nei confronti dei modelli di quantificazione disponibili.
Nonostante ciò, l'utilizzo di valutazioni dell'impatto finanziario per diverse tipologie di incidenti sta guadagnando terreno. Queste soluzioni aiutano a stimare, ad esempio, quanto potrebbe costare un'interruzione prolungata di un sistema critico, o quale impatto avrebbe una massiccia violazione dei dati dei clienti a seconda del settore, delle normative applicabili e della capacità di risposta dell'azienda.
Oltre alle grandi aziende, anche le PMI potrebbero trarre vantaggio da approcci più semplici per quantificare questo aspetto, se non altro per confrontare una stima approssimativa delle potenziali perdite con la spesa attuale per la protezione. Questo confronto è spesso rivelatore e mette in luce quanto sia effettivamente poco costoso investire nella sicurezza informatica rispetto al costo di un grave incidente.
In questo contesto, una stretta collaborazione con le compagnie assicurative e i broker specializzati può rivelarsi molto utile. La condivisione di informazioni su fornitori, architettura tecnologica e processi aziendali consente un migliore adeguamento dei massimali, delle coperture e delle esclusioni delle polizze, riducendo la probabilità di spiacevoli sorprese in caso di sinistro.
Quanto viene effettivamente speso: il caso delle PMI spagnole
Se consideriamo il livello delle piccole e medie imprese (PMI), la realtà è che gli investimenti in sicurezza informatica sono generalmente molto bassi . Una recente indagine basata su interviste a oltre mille PMI spagnole mostra che quasi la metà di esse spende meno di 500 euro all'anno in sicurezza digitale, una cifra chiaramente insufficiente considerando i rischi che corrono.
Nel segmento successivo, circa il 18% delle PMI dichiara di stanziare tra i 500 e i 2.000 euro all'anno, mentre solo una piccola percentuale supera la soglia dei 2.000 euro. Tra i principali ostacoli agli investimenti, spicca la percezione che i costi di implementazione siano troppo elevati , un'impressione che spesso deriva più da una mancanza di comprensione che da dati reali.
Altri ostacoli sono di natura più culturale o legati alla percezione: un quarto delle PMI ritiene che non sia necessario andare oltre le misure già in loro possesso (che spesso si limitano a un antivirus di base). A ciò si aggiunge la convinzione che la sicurezza informatica sia troppo complessa da gestire o che non sia disponibile personale qualificato, il che porta molte aziende a evitare di fare il grande passo, nonostante l'esistenza di soluzioni e servizi gestiti adatti a quasi tutti i budget.
Inoltre, circa la metà di queste aziende percepisce le normative europee sulla digitalizzazione più come un ostacolo che come un aiuto, costringendole a conformarsi a requisiti che ritengono difficili da soddisfare con le risorse attuali. Paradossalmente, molte di queste stesse organizzazioni riconoscono che gli investimenti nella digitalizzazione e nei servizi cloud stanno già generando benefici economici ed efficienze operative.
Infatti, quattro PMI su dieci dichiarano di aver già riscontrato un ritorno positivo dalla digitalizzazione e una percentuale significativa considera la sicurezza informatica un fattore in grado di avere un impatto positivo sui risultati economici. Il problema, di solito, non risiede nella mancanza di prove del valore, bensì nella difficoltà di tradurre tale valore in decisioni di bilancio concrete e sostenibili.
Intelligenza artificiale, produttività e nuove sfide in materia di sicurezza
Un altro aspetto rilevante del costo reale della sicurezza informatica è l'adozione di strumenti di intelligenza artificiale . Nel settore delle PMI, poco più di un terzo dichiara di utilizzare già soluzioni basate sull'IA, con gli assistenti generativi che svolgono un ruolo significativo nella gestione dei documenti, nell'elaborazione del testo, nell'analisi dei dati e nel supporto al marketing, alle vendite o al servizio clienti.
Tra coloro che hanno iniziato a utilizzare queste tecnologie, la motivazione principale è l'aumento della produttività e dell'efficienza : riduzione del lavoro manuale, accelerazione della creazione di contenuti, miglioramento del servizio clienti con i chatbot o facilitazione del processo decisionale tramite analisi automatizzate. Un numero significativo di queste aziende prevede di incrementare i propri investimenti nell'IA nei prossimi mesi.
Tuttavia, tra le PMI che non hanno ancora compiuto il salto, l'ostacolo principale non è solitamente il costo finanziario, che solo una piccolissima percentuale indica come problema primario. Ciò che pesa maggiormente è la mancanza di un caso d'uso chiaro nella loro attività quotidiana o la scarsa conoscenza delle soluzioni disponibili. Questo significa che molte organizzazioni perdono l'opportunità di migliorare la propria competitività e, al contempo, rafforzare la propria sicurezza con strumenti basati sull'intelligenza artificiale.
È importante ricordare che anche l'intelligenza artificiale è diventata un'arma nelle mani degli hacker. Il phishing generato automaticamente , i deepfake vocali e video e gli attacchi di ingegneria sociale più sofisticati rendono sempre più difficile distinguere un tentativo fraudolento da una comunicazione legittima. Questo esercita una pressione ancora maggiore sulle aziende affinché rafforzino i propri programmi di sicurezza e i controlli tecnici relativi all'IA.
In questo contesto, la combinazione dell'intelligenza artificiale per migliorare i processi e il rilevamento delle minacce, insieme a politiche chiare per l'uso responsabile di questi strumenti, può fare la differenza tra ottenere maggiore efficienza senza compromettere la sicurezza o aprire inavvertitamente nuove vulnerabilità nell'organizzazione.
Il ruolo delle politiche di gestione del rischio informatico e i loro limiti
Le polizze assicurative contro i rischi informatici sono diventate un elemento importante dell'ecosistema di gestione del rischio. In generale, questo tipo di assicurazione copre i sinistri associati a incidenti come phishing con violazione dei dati, interruzioni dell'attività, attacchi ransomware e altri eventi relativi a sistemi e risorse digitali.
L'analisi dei sinistri mostra che, nella maggior parte delle violazioni dei dati, circa il 94% delle perdite è coperto da queste polizze, a condizione che l'incidente soddisfi le condizioni contrattuali. Tuttavia, quando la causa del problema risiede all'interno dell'organizzazione assicurata stessa, tale percentuale di copertura effettiva scende a circa l'83%.
Tra le cause di conflitto di copertura, tre in particolare si distinguono: la presentazione di reclami oltre i termini previsti , la mancata attivazione di determinate clausole che richiedevano azioni specifiche da parte dell'assicurato e le decisioni prese dalla compagnia senza il previo consenso dell'assicuratore, che in alcuni casi possono invalidare parte delle garanzie.
Per evitare queste situazioni, è fondamentale che le organizzazioni comprendano appieno cosa copre esattamente la loro polizza, quali sono le esclusioni e quali sono i loro obblighi in caso di sinistro. Una comunicazione tempestiva e fluida con il broker e l'assicuratore, fornendo informazioni su fornitori critici, beni sensibili e vulnerabilità note, garantisce che la polizza assicurativa sia realmente calibrata sui rischi specifici dell'azienda.
Inoltre, integrare la polizza all'interno di una più ampia strategia di resilienza informatica evita la falsa impressione che l'assicurazione risolva tutto. La copertura finanziaria aiuta ad assorbire l'impatto, ma non previene gli attacchi né sostituisce la necessità di procedure solide, personale qualificato e tecnologie adeguate.
La nuova legge sulla sicurezza informatica e i costi per conformarsi ad essa
In Europa, il recepimento della direttiva NIS2 attraverso una nuova legge sulla sicurezza informatica sta innalzando il livello di obblighi per migliaia di aziende, soprattutto quelle che operano in settori considerati critici o essenziali per l'economia e la società. In Spagna, si stima che quasi 6.000 organizzazioni dovranno adeguarsi a questa normativa e sostenere i relativi costi di implementazione.
La legge distingue tra entità essenziali e entità importanti . Le entità essenziali corrispondono principalmente alle imprese operanti in settori altamente critici (energia, trasporti, banche, sanità, gestione delle risorse idriche, infrastrutture digitali, servizi ICT per terzi, settore spaziale o industria nucleare) che superano determinate soglie di dimensioni e fatturato, nonché ai fornitori di servizi fiduciari, domini e reti di comunicazione pubbliche, tra gli altri. Tutte le altre organizzazioni che rientrano nell'ambito di applicazione della legge ma non soddisfano i requisiti di essenzialità sono considerate entità importanti.
Il costo dell'adattamento varia significativamente a seconda del punto di partenza. Per le grandi organizzazioni che devono praticamente costruire la propria infrastruttura di cybersicurezza da zero, l'investimento medio stimato si aggira intorno ai 180.000 euro. Quelle che hanno già implementato circa il 27% delle misure richieste potrebbero invece sostenere costi di adattamento intorno ai 131.000 euro.
Nel caso di entità essenziali , le cifre salgono alle stelle: quelle che partono da un livello di implementazione molto basso potrebbero richiedere investimenti superiori a 2 milioni di euro, mentre quelle che già soddisfano circa la metà dei requisiti avrebbero bisogno di circa 1,19 milioni di euro. Le imprese già regolamentate secondo il precedente quadro normativo (NIS1) hanno un costo aggiuntivo molto inferiore, nell'ordine dei 100.000 euro, per adeguarsi ai nuovi requisiti.
Se tutti questi sforzi venissero combinati, il governo stima che l' intero settore produttivo interessato potrebbe investire circa 2.250 miliardi di euro per adeguarsi alla nuova legge. Si tratta di una cifra significativa, che tuttavia va interpretata alla luce del costo, sia in termini economici che di impatto sociale, di una serie di gravi incidenti in settori strategici privi di un livello minimo di protezione comune.
Misure necessarie: dalla gestione del rischio alle sanzioni
La legge sulla sicurezza informatica va oltre le raccomandazioni generiche: obbliga le aziende che rientrano nel suo ambito di applicazione ad adottare una serie completa di misure , che spaziano dalla gestione del rischio alla formazione del personale. Tra i requisiti principali figurano lo sviluppo di solide politiche di sicurezza, analisi periodiche dei rischi, una gestione sistematica delle vulnerabilità e la definizione di chiare procedure di risposta agli incidenti.
Viene inoltre sottolineata la necessità di backup frequenti e affidabili, meccanismi di ripristino d'emergenza e protocolli di gestione delle crisi per evitare che gli incidenti di sicurezza paralizzino le operazioni per giorni o settimane. La sicurezza della catena di approvvigionamento è ancora una volta in primo piano, costringendo le organizzazioni a monitorare la sicurezza dei propri fornitori e partner tecnologici.
Un altro ambito importante è la risoluzione e la segnalazione degli incidenti . Le aziende devono disporre di servizi in grado di rispondere rapidamente al rilevamento di un problema, mitigandone l'impatto e ripristinando la normalità il prima possibile, nonché di notificare le autorità competenti e le persone coinvolte entro tempistiche ben definite e con informazioni chiare.
Il regolamento prevede inoltre la nomina di un responsabile della sicurezza informatica che funga da punto di contatto interno e di collegamento con le autorità. Sottolinea l'importanza della formazione continua in materia di sicurezza informatica per dirigenti e dipendenti, riconoscendo che la tecnologia da sola non è sufficiente se le persone non sono in grado di identificare e gestire i rischi.
Per garantire la conformità, sono previsti meccanismi di certificazione per gli enti essenziali, autovalutazioni guidate per gli enti importanti e ampi poteri per le autorità di controllo, che potranno effettuare audit, richiedere informazioni e imporre sanzioni. Nei casi più gravi, le multe potrebbero raggiungere i 10 milioni di euro e si stanno valutando anche misure come la sospensione delle certificazioni o la limitazione temporanea delle funzioni per i dirigenti fino alla risoluzione delle carenze riscontrate.
Se si confrontano gli investimenti necessari per rafforzare la sicurezza con il potenziale impatto economico, legale e reputazionale di un grave incidente, risulta evidente che ignorare il problema è di gran lunga più costoso . Comprendere il vero costo della sicurezza informatica significa riconoscere che la protezione di sistemi, dati e processi non è una spesa accessoria, ma una componente fondamentale del modello di business; prima le aziende lo interiorizzeranno, minore sarà il prezzo da pagare per l'inazione al prossimo attacco.
