Cybersecurity, nel 2020 il 40% delle aziende ha aumentato gli investimenti. Il report

L’emergenza dettata dall’epidemia di Covid-19 non ha risparmiato neppure il fronte della cybersecurity. Secondo i risultati dell’ultima ricerca dell’Osservatorio Cybersecurity & Data Protection della School of Management del Politecnico di Milano, nel 2020 il 40% delle grandi aziende ha visto aumentare gli attacchi informatici rispetto all’anno precedente. Un fatto dovuto anche all’improvvisa diffusione del lavoro da remoto e dello smart working, l’uso di dispositivi personali e reti domestiche, insieme al boom delle piattaforme di collaborazione hanno infatti aumentato le possibilità di attacco a disposizione degli hacker.

Leggi anche:
Cyber Evolution la startup che fa sicurezza informatica per le PMI

A questo si aggiunge l’impatto economico causato dalla pandemia, che ha costretto le aziende italiane a ridurre il budget per la cybersecurity. Il 19% di esse ha difatti diminuito gli investimenti in cybersecurity, contro il 2% del 2019, mentre solo il 40% li ha aumentati – un dato in diminuzione, se confrontato con il 51% dello scorso anno. Tuttavia, sono emersi anche dati positivi. Stando al report dell’Osservatorio del Politecnico di Milano, per il 54% delle imprese, l’emergenza si è rivelata un’opportunità per investire in tecnologie e aumentare la sensibilità dei dipendenti riguardo alla sicurezza e protezione dei dati.

Cybersecurity, i numeri della crisi

La ricerca dell’Osservatorio Cybersecurity & Data Protection testimonia come, nel complesso, la crisi legata al Covid-19 abbia rallentato la crescita del mercato della cybersecurity, ma non l’abbia fermata. Lo testimonia il fatto che nel 2020 la spesa in soluzioni di cybersecurity ha raggiunto un valore di 1,37 miliardi di euro, in crescita del 4% rispetto al 2019 – anno in cui il mercato aveva segnato un +11% rispetto al 2018. Degli investimenti effettuati in questo ambito nel 2020, il 52% è relativo a soluzioni di security, mentre il 48% riguarda i servizi.

Leggi anche:
Intelligenza Artificiale come strumento per superare le diseguaglianze. Intervista ad Alessandro Fusacchia

Gli investimenti in cybersecurity sono legati soprattutto alla gestione dell’emergenza, come testimonia la crescita della spesa in Endpoint Security. In più, i trend che hanno maggiormente influenzato la gestione della sicurezza nell’ultimo anno corrispondono al cloud, allo smart working e ai big data. Crescono gli investimenti anche nel campo dell’Operational Technology – OT – Security e dell’intelligenza artificiale, utilizzata dal 47% delle aziende in ambito cybersecurity. Si sta ritagliando un ruolo sempre più importante anche la Supply Chain security, ovvero le attività di protezione dei sistemi e delle reti di terze parti. Ciononostante, solo il 13% del campione analizzato ha finora messo in campo strumenti tecnici e predisposto un presidio organizzativo formale.

Restano tuttavia le difficoltà relative alla scarsa maturità riscontrata fra le imprese. Soltanto nel 41% dei casi, la responsabilità della sicurezza informatica è affidata a un CISO. Inoltre, nel 38% dei casi non è prevista nessuna comunicazione al consiglio d’amministrazione sull’argomento. La gestione della protezione dei dati è invece più evoluta, anche per effetto della spinta normativa, con il 69% delle imprese che ha inserito un cosiddetto Data Protection Officer – DPO – all’interno dell’organico, mentre il restante 31% si avvale di figure esterne.

Le caratteristiche del mercato italiano della cybersecurity

La tipologia di sicurezza che attira la maggior parte degli investimenti è la Network & Wireless Security, per il 33%, ossia le strategie e le soluzioni che proteggono l’infrastruttura da danni e accessi impropri. Segue, con il 23% degli investimenti, la Endpoint Security, vale a dire la protezione di ogni dispositivo connesso. Il 14% dei fondi investiti riguarda  la Data Security, cioè i sistemi per la protezione dei dati dell’azienda e dei singoli utenti. Il 13% è impegnato per la sicurezza degli ambienti cloud, mentre il 12% si concentra sulla Application Security. Percentuali molto minori sono investite sulla IoT Security (3%) e sulle iniziative di formazione e training in tema cybersecurity (2%).

Leggi anche:
Minacce dallo spazio. Quali i maggiori rischi e perchè le soluzioni passano dall’uso dell’AI

La spesa totale è divisa in modo simile fra le soluzioni di security, il 52% del mercato, e i servizi professionali e gestiti, col 48%. Analizzando le soluzioni di sicurezza, ai sistemi di monitoraggio degli eventi di sicurezza spetta il 16% degli investimenti, mentre ai sistemi di gestione e monitoraggio dell’accesso degli utenti a dati e applicazioni, il 14%. Un altro 14% della spesa in soluzioni di security riguarda i sistemi per valutare la vulnerabilità e la sicurezza di sistemi, applicazioni o reti. Il 12% va invece ai sistemi per analizzare l’esposizione al rischio cyber dei sistemi aziendali e valutarne la conformità agli standard di sicurezza, e un altro 11% alle soluzioni che monitorano il traffico di rete, al fine di identificare e bloccare accessi non autorizzati.

Spostandosi sul versante dei servizi, il 51% degli investimenti è dedicato ai Professional Service, i servizi offerti da fornitori esterni all’azienda per un progetto specifico. Il restante 49% riguarda invece i Managed Service, i servizi offerti in modo continuativo da fornitori esterni per la manutenzione dei sistemi informativi aziendali. “Anche nel 2020, nonostante l’emergenza sanitaria, sono stati fatti importanti passi avanti nell’ambito della cybersecurity. Il mercato italiano della cybersecurity, però”, afferma Gabriele Faggioli, responsabile scientifico dell’Osservatorio Cybersecurity e Data Protection, “è ancora limitato in rapporto al Pil. Con un’incidenza di appena lo 0,07% nel 2019, circa 4-5 volte in meno rispetto ai Paesi più avanzati. E dalla ricerca”, prosegue, “emerge la necessità di rafforzare il presidio delle normative”.

Cybersecurity e protezione dati: a chi le competenze?

Gli ambiti della sicurezza informatica e della data protection richiedono profili e competenze specifiche. Nell’ultimo anno, in Italia, secondo la ricerca, l’area della cybersecurity non ha registrato cambiamenti significativi. Appena il 41% delle imprese affida la responsabilità a un CISO formalizzato, mentre nel 25% dei casi essa è in capo al CIO, nel 13% a un CSO o a un security manager. Nei restanti casi è in mano a un’altra figura aziendale (il 19% delle volte) o non esiste una figura dedicata (2%). Inoltre, nel 38% delle organizzazioni analizzate non è prevista una relazione periodica al CdA, da parte della figura responsabile della sicurezza sulle azioni messe in campo.

Leggi anche:
Attacchi hacker in aumento. I consigli dell’esperto per smart working sicuro

Va meglio la situazione inerente alla protezione dei dati, che risulta essere gestita in modo più avanzato. Il DPO è presente nell’organico del 69% delle imprese sentite e come figura esterna anche nel resto del campione. Nel 51% del casi tale figura riporta direttamente al board e nel 52% risponde di un budget dedicato. Un dato in aumento del 9% rispetto al 2019.

I problemi delle PMI

Le realtà più piccole hanno faticato ad adeguarsi ai nuovi modelli di organizzazione del lavoro, imposti dall’emergenza. Secondo il 59% delle piccole e medie imprese intervistate dall’Osservatorio, l’uso di dispositivi personali e reti domestiche ha esposto le aziende a maggiori rischi di sicurezza. E per il 49% sono aumentati gli attacchi informatici. Sebbene la cybersecurity inizi a rappresentare una priorità anche per le realtà meno strutturate, scarseggiano ancora gli investimenti. Soltanto il 22% delle PMI ha previsto investimenti in sicurezza per il 2021. Il 20% li aveva previsti ma ha dovuto ridurre il budget in seguito all’emergenza. Inoltre un’azienda su tre non ha un budget da dedicare e oltre un quarto non è interessato all’argomento.

A che punto siamo con la normativa europea sulla sicurezza informatica

Il quadro normativo europeo in materia di data protection e cybersecurity si è evoluto negli ultimi anni. In particolare, sono entrati in vigore la GDPR, la direttiva NIS e il Cybersecurity Act. Al termine del 2020, la Commissione Europea ha pubblicato un nuovo pacchetto di misure per realizzare un piano strategico sulla cybersecurity nel prossimo quinquennio, aumentare la resilienza di reti e infrastrutture e contrastare il crimine informatico. In Italia è ora vigente il “Perimetro di sicurezza nazionale cibernetica“.

Leggi anche:
Fare lobby con Zoom. «Più democratico». Intervista a Giulia Pastorella (EU Government Relations Director)

Tuttavia, molte altre sfide attendono tanto le imprese quanto le istituzioni, a partire dal rafforzamento della compliance. Un’altra questione centrale è quella che riguarda il rapporto tra innovazione tecnologica e protezione dei dati. In un’epoca di digitalizzazione e progresso tecnologico, occorre più che mai bilanciare le opportunità offerte dalle nuove tecnologie con gli strumenti di tutela messi a disposizione dal framework normativo in materia di protezione dei dati. Altrimenti, la trasformazione digitale e l’innovazione tecnologica, in assenza di adeguate misure regolative, rischiano di produrre effetti negativi.