Qual è il costo della violazione dei dati?

Lo studio è di quelli significativi: con un campione rappresentativo, senz’altro indicativo dei costi che le imprese devono sostenere a seguito di attacchi cybercrime. Si tratta dell’annuale “Cost of a Data Breach Report 2020” commissionato da IBM Security al Ponemon Institute, frutto di un’analisi svolta tra agosto 2019 e aprile 2020 presso imprese che hanno subìto violazioni reali (524 organizzazioni violate, di cui 21 italiane, di dimensioni piccole, medie e grandi; 3.200 responsabili della security intervistati; 17 Paesi e 17 settori d’industria coinvolti – violazioni che vanno dai 3.400 ai 99.730 record compromessi), con aggiornamenti anche a seguito del dirompente fenomeno Covid-19 e dei suoi impatti sui livelli di vulnerabilità digitale delle aziende. L’analisi, che considera centinaia di fattori di costo tra cui attività legali, normative e tecniche dovute a perdite di valore del brand, clienti e produttività dei dipendenti, è giunto alla sua 15ma edizione, consentendo quindi anche un’analisi storica dei trend (figura 1).

Tendenze generali: gap in aumento, tecnologie smart e impatti Covid

Il report 2020 rileva un costo medio totale di una violazione dati in leggero calo, da 3,92 milioni di dollari del 2019 agli attuali 3,86 milioni di dollari. Preoccupante è l’accesso fraudolento ai dati dei dipendenti, con il risultato che ben l’80% di questi attacchi ha portato all’esposizione di informazioni di identificazione personale dei clienti, con severi contraccolpi sul piano dei costi e dell’immagine aziendale. Inoltre, la relativa diminuzione di costo, sottolinea il report, non significa purtroppo che il fenomeno stia stabilizzandosi: la diminuzione va piuttosto inquadrata in un gap che tende ad ampliarsi tra organizzazioni che hanno processi di sicurezza, di risposta agli incidenti e tecnologie di security automation più avanzati (nonché dispongono di specifici team dedicati) rispetto a realtà arretrate e non adeguatamente protette, facendo pesare maggiormente su quest’ultime una buona parte dei costi rilevati.

1 – Tecnologie smart e riduzione dei costi

Lo studio ha evidenziato anche una diretta correlazione tra imprese che hanno adottato soluzioni tecnologiche di automazione per la governance della protezione e della security (basate su funzioni di intelligenza artificiale e machine learning per l’analisi, l’orchestrazione automatizzata al fine di identificare e rispondere meglio agli attacchi) e una riduzione significativa dei costi. Le imprese che hanno implementato queste soluzioni (e conseguenti disegni organizzativi e di processo), hanno infatti sostenuto meno della metà dei costi di violazione di dati rispetto ad aziende sprovviste di tecnologie evolute (2,45 milioni di dollari contro 6,03 milioni di dollari, in media).

Queste tecnologie di security automation consentono, da quanto emerge dall’analisi del campione, di rispondere in tempi più veloci agli attacchi, del 27% in media, rispetto a realtà che ne sono sprovviste, le quali impiegano in media 74 giorni in più per identificare e contenere un attacco, con relativo aggravio di costi. Poiché tecnologie e organizzazione vanno spesso di pari passo se si tende all’obiettivo dell’efficacia, le aziende che non hanno un proprio team di sicurezza e che non testano i propri piani hanno registrato una spesa media di 5,29 milioni di dollari, mentre chi ha adottato entrambe le misure spende in media 2 milioni di dollari in meno in caso di violazione.

2 – Furto di credenziali ed errori di configurazione dei server cloud

Tra le vulnerabilità più comuni, che causano ben il 38% dei cyberattacchi, spiccano “furto e compromissione delle credenziali” ed “errate configurazione dei server cloud” (figura 2). Le imprese che hanno subìto attacchi alle proprie reti aziendali attraverso l’uso di credenziali rubate, hanno dovuto spendere in media 1 milione in più rispetto alla media globale (raggiungendo quindi 4,77 milioni di dollari per violazione). E certamente lo spostamento da modelli in house verso architetture cloud ha reso, come previsto, più vulnerabili i sistemi informativi. Gli hacker, conferma infatti il report, hanno sfruttato nel 20% dei casi proprio errori di configurazione dei server cloud per attuare gli attacchi, determinando un inevitabile aumento dei costi di oltre mezzo milione di dollari.

3 – Attacchi Nation-State, la voce di costo più importante

Non molto pubblicizzati, per ragioni spesso di sicurezza nazionale e strategicità dei soggetti coinvolti, sono gli attacchi cosiddetti “nation-state”, cioè quelli indirizzati ad Agenzie governative, enti statali, infrastrutture critiche a livello paese, grandi industrie con dati sensibili per la collettività, ecc. Nonostante rappresentino soltanto il 13% delle azioni malevole rispetto a quelli di natura finanziaria (53%), che sono in maggior numero, hanno un maggiore impatto economico. Perpetrati attraverso tecniche molto sofisticate finalizzate a raggiungere dati di alto valore, spesso inducono i soggetti colpiti a cercare il compromesso per questioni di immagine, sicurezza, impatti sociali e politici, ecc, con un conseguente aumento dei costi di recovery che si assestano attorno ai 4,43 milioni di dollari.

4 – Covid 19: maggiore vulnerabilità del sistema con aggravio di costi

E veniamo al Covid. Non solo ha colto di sorpresa il mondo intero in tutte le sue attività economiche e sociali, ma, ovviamente, nell’urgenza di provare a garantire un minimo di continuità operativa delle aziende e delle varie organizzazioni, si sono determinate vulnerabilità di sistema, subito sfruttate dagli hacker, legate soprattutto alla non preparazione delle persone a un modello di smart working e collaboration per molti mai sperimentato prima (e al quale molte organizzazioni non erano affatto preparate e non avevano nemmeno mai preparato le persone).

Se le infrastrutture di rete hanno infatti mediamente ben retto sotto il profilo delle performance, il 70% delle aziende, interpellate in merito ai contraccolpi della pandemia sotto il profilo della security, si aspetta un aggravio di costi nei prossimi mesi. E ben il 76% prevede un nuovo livello di complessità da gestire per proteggere i dati dagli attacchi cybercrime (identificare e contenere con efficacia una potenziale violazione dei dati). Il lavoro da remoto incrementa così il costo medio totale di una violazione di circa 137.000 dollari, per un adeguamento del costo medio totale pari a 4 milioni di dollari.

5 – E’ colpa del Ciso, ma ha potere limitato. Allora è colpa del Cio

A qualcuno bisogna pur dare la colpa. Non importa se il potere decisionale di definire a livello globale di azienda policy e tecnologie spesso è in carico ad altre figure: il Ciso/Cso (Chief Information Security Officer) è ritenuto il principale responsabile (per il 46% degli intervistati) delle violazioni accadute, anche se il 27% ha riconosciuto il suo limitato raggio di azione in termini di poteri decisionali. Se il Ceo sembra essere escluso da questo livello di responsabilità (quando invece sappiamo che è l’intera cultura aziendale, in carico in primis a chi guida l’impresa, che deve sensibilizzarsi sulle tematiche di security e privacy), il Cio e il Cto vengono indicati come i responsabili ultimi sulle politiche e sulle scelte di security aziendali (figura 3).

Alcuni dati di dettaglio

Ed ecco ora alcuni elementi significativi per inquadrare bene il fenomeno.

• l’attacco malevolo è stata la causa principale più costosa (52%). Queste violazioni costano in media 4,27 milioni di dollari, quasi 1 milione di dollari in più rispetto alle violazioni causate da un problema tecnico del sistema o da errore umano (figura 4).

• La quota di violazioni causate da attacchi malevoli è aumentata in modo costante nel tempo, di circa 10 punti percentuali tra il 2014 e il 2020 (figura 5) e nulla fa pensare che il trend possa interrompersi, anche in relazione alla diffusione del digitale in ogni attività di impresa e privata.

• le cause delle principali violazioni cambiano in base all’area geografica. Interessante però è notare come l’Italia, insieme alle nazioni del Sud-est asiatico, abbia una significativa percentuale di violazioni le cui cause vanno ricollegate all’errore umano (figura 6).

• Cambia il livello di security automation tra i paesi, con Usa e Germania che hanno registrato le percentuali più elevate per presenza di aziende con automazione totalmente o parzialmente implementata. L’Italia occupa una posizione abbastanza allineata alla media globale (figura 7).

• Il tempo medio per identificare e contenere una violazione non è migliorato nel tempo, rimanendo pressoché costante negli anni (figura 8).
  

• È soprattutto per le aziende che implementano soluzioni di security automation che si riduce il tempo necessario all’identificazione e al contenimento di una violazione dei dati (figura 9).

Flash sull’Italia

Segnali di miglioramento rispetto al 2019 si registrano per il nostro paese nella lotta al cybercrime. Ad esempio il tempo medio per identificare una violazione è passato da 213 a 203 giorni, contro la media globale di 207 giorni, così come si è ridotto anche il tempo per contenerla, passato da 70 a 65 giorni, contro i 73 necessari a livello globale. Anche da noi la maggioranza delle violazioni deriva da attacchi malevoli, a cui seguono errori umani e falle nel sistema (figura 10).

La spesa media relativa ad ognuna di queste cause, rileva sempre al primo posto la voce relativa agli “attacchi malevoli” (con 3,20 milioni di euro), ma fissa le “falle di sistema” come la seconda voce di costo (2,62 milioni di euro) e gli “errori umani” in terza posizione, con 2,53 milioni di euro di costo (figura 11).

Anche il costo medio delle violazioni dei dati è in diminuzione, del 4,9% sul 2019, pari a 2,90 milioni di euro nel 2020 contro i 3,13 dello scorso anno (figura 12).

Continua l’adozione di tecnologie di security automation e di protezione rilevate nel 56% dei casi nel 2020 contro il 49% dello scorso anno. Il settore finanziario resta quello più colpito dal cybercrime, seguito dal farmaceutico e dal terziario.

Consigli per minimizzare gli impatti sul brand

In conclusione, proponendovi un lineare “taglia&incolla” dallo studio, vi proponiamo alcuni consigli utili segnati nel report, da attuare per aumentare il livello di protezione aziendale e soprattutto per provare a minimizzare gli impatti economici dei cyberattack:

• Investire nell’approccio SOAR (security orchestration, automation and response – definito da Gartner) per riuscire a ottimizzare i tempi di rilevamento e risposta
• Adottare un modello di sicurezza zero trust per prevenire l’accesso non autorizzato a dati sensibili.
• Eseguire lo stress test del proprio piano di risposta agli incidenti per incrementare la cyber-resilience.
• Utilizzare strumenti che contribuiscono a proteggere e monitorare endpoint e dipendenti da remoto
• Investire in programmi di governance, gestione dei rischi e conformità.
• Ridurre al minimo la complessità degli ambienti di sicurezza e IT
• Proteggere i dati sensibili negli ambienti cloud, utilizzando policy e tecnologia.
• Utilizzare servizi di sicurezza gestiti per aiutare a colmare skill gap in materia di sicurezza.

Nello studio, attraverso indicazioni e link, trovate anche suggerimenti su come realizzare quanto sopra.