Qual è il costo della violazione dei dati?

pittogramma Zerouno

Trend

Qual è il costo della violazione dei dati?

Ecco il nuovo report 2020 che IBM ha commissionato al Ponemon Institute per analizzare il costo della violazione dei dati, dalla scoperta dell’attacco al ripristino dell’attività. Tenendo conto anche della pandemia in corso e delle nuove vulnerabilità che potrà causare alla protezione dei sistemi informativi. Aumenta il gap tra aziende più sensibili ed avanzate dal punto di vista tecnologico, organizzativo e di processo alle tematiche cybercrime e le realtà più arretrate. Con tecnologie di smart automation che possono fare la differenza. Migliorano i numeri per l’Italia ma serve investire di più in tecnologie, policy, processi e figure organizzative adeguati

07 Ott 2020

di Stefano Uberti Foppa

Lo studio è di quelli significativi: con un campione rappresentativo, senz’altro indicativo dei costi che le imprese devono sostenere a seguito di attacchi cybercrime. Si tratta dell’annuale “Cost of a Data Breach Report 2020” commissionato da IBM Security al Ponemon Institute, frutto di un’analisi svolta tra agosto 2019 e aprile 2020 presso imprese che hanno subìto violazioni reali (524 organizzazioni violate, di cui 21 italiane, di dimensioni piccole, medie e grandi; 3.200 responsabili della security intervistati; 17 Paesi e 17 settori d’industria coinvolti – violazioni che vanno dai 3.400 ai 99.730 record compromessi), con aggiornamenti anche a seguito del dirompente fenomeno Covid-19 e dei suoi impatti sui livelli di vulnerabilità digitale delle aziende. L’analisi, che considera centinaia di fattori di costo tra cui attività legali, normative e tecniche dovute a perdite di valore del brand, clienti e produttività dei dipendenti, è giunto alla sua 15ma edizione, consentendo quindi anche un’analisi storica dei trend (figura 1).

Figura 1. Distribuzione del campione per dimensione dell’azienda. Fonte: Cost of a Data Breach Report 2020

Tendenze generali: gap in aumento, tecnologie smart e impatti Covid

Il report 2020 rileva un costo medio totale di una violazione dati in leggero calo, da 3,92 milioni di dollari del 2019 agli attuali 3,86 milioni di dollari. Preoccupante è l’accesso fraudolento ai dati dei dipendenti, con il risultato che ben l’80% di questi attacchi ha portato all’esposizione di informazioni di identificazione personale dei clienti, con severi contraccolpi sul piano dei costi e dell’immagine aziendale. Inoltre, la relativa diminuzione di costo, sottolinea il report, non significa purtroppo che il fenomeno stia stabilizzandosi: la diminuzione va piuttosto inquadrata in un gap che tende ad ampliarsi tra organizzazioni che hanno processi di sicurezza, di risposta agli incidenti e tecnologie di security automation più avanzati (nonché dispongono di specifici team dedicati) rispetto a realtà arretrate e non adeguatamente protette, facendo pesare maggiormente su quest’ultime una buona parte dei costi rilevati.

1 – Tecnologie smart e riduzione dei costi

Lo studio ha evidenziato anche una diretta correlazione tra imprese che hanno adottato soluzioni tecnologiche di automazione per la governance della protezione e della security (basate su funzioni di intelligenza artificiale e machine learning per l’analisi, l’orchestrazione automatizzata al fine di identificare e rispondere meglio agli attacchi) e una riduzione significativa dei costi. Le imprese che hanno implementato queste soluzioni (e conseguenti disegni organizzativi e di processo), hanno infatti sostenuto meno della metà dei costi di violazione di dati rispetto ad aziende sprovviste di tecnologie evolute (2,45 milioni di dollari contro 6,03 milioni di dollari, in media).

Queste tecnologie di security automation consentono, da quanto emerge dall’analisi del campione, di rispondere in tempi più veloci agli attacchi, del 27% in media, rispetto a realtà che ne sono sprovviste, le quali impiegano in media 74 giorni in più per identificare e contenere un attacco, con relativo aggravio di costi. Poiché tecnologie e organizzazione vanno spesso di pari passo se si tende all’obiettivo dell’efficacia, le aziende che non hanno un proprio team di sicurezza e che non testano i propri piani hanno registrato una spesa media di 5,29 milioni di dollari, mentre chi ha adottato entrambe le misure spende in media 2 milioni di dollari in meno in caso di violazione.

2 – Furto di credenziali ed errori di configurazione dei server cloud

Tra le vulnerabilità più comuni, che causano ben il 38% dei cyberattacchi, spiccano “furto e compromissione delle credenziali” ed “errate configurazione dei server cloud (figura 2). Le imprese che hanno subìto attacchi alle proprie reti aziendali attraverso l’uso di credenziali rubate, hanno dovuto spendere in media 1 milione in più rispetto alla media globale (raggiungendo quindi 4,77 milioni di dollari per violazione). E certamente lo spostamento da modelli in house verso architetture cloud ha reso, come previsto, più vulnerabili i sistemi informativi. Gli hacker, conferma infatti il report, hanno sfruttato nel 20% dei casi proprio errori di configurazione dei server cloud per attuare gli attacchi, determinando un inevitabile aumento dei costi di oltre mezzo milione di dollari.

Figura 2 Analisi delle cause principali delle violazioni dei dati per attacchi malevoli in base al vettore della minaccia. Fonte: Cost of a Data Breach Report 2020

3 – Attacchi Nation-State, la voce di costo più importante

Non molto pubblicizzati, per ragioni spesso di sicurezza nazionale e strategicità dei soggetti coinvolti, sono gli attacchi cosiddetti “nation-state”, cioè quelli indirizzati ad Agenzie governative, enti statali, infrastrutture critiche a livello paese, grandi industrie con dati sensibili per la collettività, ecc. Nonostante rappresentino soltanto il 13% delle azioni malevole rispetto a quelli di natura finanziaria (53%), che sono in maggior numero, hanno un maggiore impatto economico. Perpetrati attraverso tecniche molto sofisticate finalizzate a raggiungere dati di alto valore, spesso inducono i soggetti colpiti a cercare il compromesso per questioni di immagine, sicurezza, impatti sociali e politici, ecc, con un conseguente aumento dei costi di recovery che si assestano attorno ai 4,43 milioni di dollari.

4 – Covid 19: maggiore vulnerabilità del sistema con aggravio di costi

E veniamo al Covid. Non solo ha colto di sorpresa il mondo intero in tutte le sue attività economiche e sociali, ma, ovviamente, nell’urgenza di provare a garantire un minimo di continuità operativa delle aziende e delle varie organizzazioni, si sono determinate vulnerabilità di sistema, subito sfruttate dagli hacker, legate soprattutto alla non preparazione delle persone a un modello di smart working e collaboration per molti mai sperimentato prima (e al quale molte organizzazioni non erano affatto preparate e non avevano nemmeno mai preparato le persone).

Se le infrastrutture di rete hanno infatti mediamente ben retto sotto il profilo delle performance, il 70% delle aziende, interpellate in merito ai contraccolpi della pandemia sotto il profilo della security, si aspetta un aggravio di costi nei prossimi mesi. E ben il 76% prevede un nuovo livello di complessità da gestire per proteggere i dati dagli attacchi cybercrime (identificare e contenere con efficacia una potenziale violazione dei dati). Il lavoro da remoto incrementa così il costo medio totale di una violazione di circa 137.000 dollari, per un adeguamento del costo medio totale pari a 4 milioni di dollari.

5 – E’ colpa del Ciso, ma ha potere limitato. Allora è colpa del Cio

WHITEPAPER
Quali sono i mobile malware più diffusi?
Mobility
Cybersecurity

A qualcuno bisogna pur dare la colpa. Non importa se il potere decisionale di definire a livello globale di azienda policy e tecnologie spesso è in carico ad altre figure: il Ciso/Cso (Chief Information Security Officer) è ritenuto il principale responsabile (per il 46% degli intervistati) delle violazioni accadute, anche se il 27% ha riconosciuto il suo limitato raggio di azione in termini di poteri decisionali. Se il Ceo sembra essere escluso da questo livello di responsabilità (quando invece sappiamo che è l’intera cultura aziendale, in carico in primis a chi guida l’impresa, che deve sensibilizzarsi sulle tematiche di security e privacy), il Cio e il Cto vengono indicati come i responsabili ultimi sulle politiche e sulle scelte di security aziendali (figura 3).

Figura 3 Chi è maggiormente responsabile delle politiche per la sicurezza informatica e le violazioni e delle decisioni tecnologiche? Fonte: Cost of a Data Breach Report 2020

Alcuni dati di dettaglio

Ed ecco ora alcuni elementi significativi per inquadrare bene il fenomeno.

  • l’attacco malevolo è stata la causa principale più costosa (52%). Queste violazioni costano in media 4,27 milioni di dollari, quasi 1 milione di dollari in più rispetto alle violazioni causate da un problema tecnico del sistema o da errore umano (figura 4).
Figura 4 Analisi delle cause principali delle violazioni dei dati, in tre categorie. Fonte: Cost of a Data Breach Report 2020
  • La quota di violazioni causate da attacchi malevoli è aumentata in modo costante nel tempo, di circa 10 punti percentuali tra il 2014 e il 2020 (figura 5) e nulla fa pensare che il trend possa interrompersi, anche in relazione alla diffusione del digitale in ogni attività di impresa e privata.
Figura 5 Trend nelle violazioni dei dati causate da un attacco malevolo. Fonte: Cost of a Data Breach Report 2020
  • le cause delle principali violazioni cambiano in base all’area geografica. Interessante però è notare come l’Italia, insieme alle nazioni del Sud-est asiatico, abbia una significativa percentuale di violazioni le cui cause vanno ricollegate all’errore umano (figura 6).
Figura 6 Analisi delle cause principali delle violazioni dei dati per paese o regione. Fonte: Cost of a Data Breach Report 2020
  • Cambia il livello di security automation tra i paesi, con Usa e Germania che hanno registrato le percentuali più elevate per presenza di aziende con automazione totalmente o parzialmente implementata. L’Italia occupa una posizione abbastanza allineata alla media globale (figura 7).
Figura 7 Livello medio di implementazione di soluzioni di security automation per Paese. Fonte: Cost of a Data Breach Report 2020
  • Il tempo medio per identificare e contenere una violazione non è migliorato nel tempo, rimanendo pressoché costante negli anni (figura 8).

    Figura 8 Tempo medio per identificare e contenere una violazione dei dati. Fonte: Cost of a Data Breach Report 2020

  • È soprattutto per le aziende che implementano soluzioni di security automation che si riduce il tempo necessario all’identificazione e al contenimento di una violazione dei dati (figura 9).
Figura 9 Tempo medio per identificare e contenere una violazione dei dati in base al livello di automazione della sicurezza. Fonte: Cost of a Data Breach Report 2020

Flash sull’Italia

Segnali di miglioramento rispetto al 2019 si registrano per il nostro paese nella lotta al cybercrime. Ad esempio il tempo medio per identificare una violazione è passato da 213 a 203 giorni, contro la media globale di 207 giorni, così come si è ridotto anche il tempo per contenerla, passato da 70 a 65 giorni, contro i 73 necessari a livello globale. Anche da noi la maggioranza delle violazioni deriva da attacchi malevoli, a cui seguono errori umani e falle nel sistema (figura 10).

Figura 10 Suddivisione delle violazioni dei dati per causa principale in 3 categorie. Fonte: Cost of a Data Breach Report 2020, Caso Italia

La spesa media relativa ad ognuna di queste cause, rileva sempre al primo posto la voce relativa agli “attacchi malevoli” (con 3,20 milioni di euro), ma fissa le “falle di sistema” come la seconda voce di costo (2,62 milioni di euro) e gli “errori umani” in terza posizione, con 2,53 milioni di euro di costo (figura 11).

Figura 11 Costo totale medio di una violazione dei dati per causa. Fonte: Cost of a Data Breach Report 2020, Caso Italia

Anche il costo medio delle violazioni dei dati è in diminuzione, del 4,9% sul 2019, pari a 2,90 milioni di euro nel 2020 contro i 3,13 dello scorso anno (figura 12).

Figura 12 Costo totale medio di una violazione dei dati, 2012-2020. Fonte: Cost of a Data Breach Report 2020, Caso Italia

Continua l’adozione di tecnologie di security automation e di protezione rilevate nel 56% dei casi nel 2020 contro il 49% dello scorso anno. Il settore finanziario resta quello più colpito dal cybercrime, seguito dal farmaceutico e dal terziario.

Consigli per minimizzare gli impatti sul brand

In conclusione, proponendovi un lineare “taglia&incolla” dallo studio, vi proponiamo alcuni consigli utili segnati nel report, da attuare per aumentare il livello di protezione aziendale e soprattutto per provare a minimizzare gli impatti economici dei cyberattack:

  • Investire nell’approccio SOAR (security orchestration, automation and response – definito da Gartner) per riuscire a ottimizzare i tempi di rilevamento e risposta
  • Adottare un modello di sicurezza zero trust per prevenire l’accesso non autorizzato a dati sensibili.
  • Eseguire lo stress test del proprio piano di risposta agli incidenti per incrementare la cyber-resilience.
  • Utilizzare strumenti che contribuiscono a proteggere e monitorare endpoint e dipendenti da remoto
  • Investire in programmi di governance, gestione dei rischi e conformità.
  • Ridurre al minimo la complessità degli ambienti di sicurezza e IT
  • Proteggere i dati sensibili negli ambienti cloud, utilizzando policy e tecnologia.
  • Utilizzare servizi di sicurezza gestiti per aiutare a colmare skill gap in materia di sicurezza.

Nello studio, attraverso indicazioni e link, trovate anche suggerimenti su come realizzare quanto sopra.

Stefano Uberti Foppa

Digital innovation influencer

Giornalista professionista dal 1989, inizia ad occuparsi di giornalismo nel settore informatico nel 1981, partecipando all'avvio della sede italiana del settimanale Computerworld. Nel 1987 passa al mensile ZeroUno di cui nel 1997 assume la direzione insieme a quella del settimanale PcWeek Italia. Opinion leader riconosciuto nel settore Ict in Italia, è stato direttore responsabile di ZeroUno edito da Ict&Strategy, società del Gruppo Digital360, fino al febbraio 2019. Oggi è una delle principali firme del magazine.

Argomenti trattati

Approfondimenti

H
hacker
Qual è il costo della violazione dei dati?

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

    LinkedIn

    Twitter

    Whatsapp

    Facebook

    Link

    Articolo 1 di 3