MILANO – L’ultima edizione del report annuale IT Security Economics di Kaspersky rivela la crescente gravità degli incidenti di sicurezza informatica che colpiscono le aziende attraverso i fornitori con cui condividono i dati. Guardando alle enterprise in Europa, nel 2021, l’impatto economico medio di un incidente di questo tipoammontaa 2 milioni di dollari.Un dato questo che colloca questoincidentein cima alla lista degli attacchi più costosi.
Sono sempre più frequenti gli attacchi che colpiscono le aziende tramite i fornitori con cui collaborano.I dati aziendali infatti vengono generalmente condivisi conpiù terze parti che includonoservice provider, partner, fornitori e filiali. Pertanto, le aziende devono tenere in considerazione non solo i rischi di sicurezza informatica che interessano la loro infrastruttura IT, ma anche quelli che possono provenire dall’esterno.
Secondo il sondaggio Kaspersky, un terzo (28%) delle grandi aziende europee ha subito attacchi che coinvolgevano dati condivisi con i fornitori. La percentuale non si discosta in modo significativo dal report del 2020 (con il 29%). Anche l’impatto finanziario è lo stesso dell’anno scorso, con due milioni di dollari.
Per quanto riguarda le altre tipologie di attacco, nella maggior parte dei casi,a livello globale hanno avuto impatto economico inferiore come ad esempio la perdita fisica di dispositivi di proprietà dell’azienda (1,3 milioni di dollari), attacchi di cryptomining (1,3 milioni di dollari) e l’uso inappropriato delle risorse IT da parte dei dipendenti (1,3 milioni di dollari).
In generale, l’impatto economico medio di un attaccoad una enterprise europea è aumentatocon 1,1 milioni di dollari nel 2021 rispetto ai 839 mila dollari nel 2020. Tuttavia, a livello globale, è diminuito: da 1,09 milioni di dollari nel 2020 a 927.000 dollari nel 2021.
La possibile ragione dietro a questo calo a livello globale può essere individuata nel fatto che i precedenti investimenti in misure di prevenzione e mitigazione hanno funzionato per le imprese. Oppure il costo medio è stato influenzato dal fatto che quest’anno le imprese sono state meno propense a segnalare le violazioni dei dati, con il 41% che è riuscito a evitarlo contro al 33% nel 2020. Le aziende finanziariamente vulnerabili potrebbero essere riluttanti a dedicare tempo e spese per un’indagine penale o rischiare dannialla reputazionenel caso in cui una violazione diventi di dominio pubblico.
“Nel momento in cui le organizzazioni valutano le esigenze di sicurezza informatica per la loro attività dovrebbero prendere in considerazione il rischio di una violazione che coinvolge i dati condivisi con i fornitori, soprattutto tenuto conto la gravità delle conseguenze.La pandemia ha cambiato il panorama delle minacce e le organizzazioni dovrebbero essere pronte ad adattarsi. Le aziende dovrebbero classificare i propri fornitori in base al tipo di lavoro che svolgono e alla complessità dell’accesso che ricevono (se trattano dati e infrastrutture sensibili o meno) e applicare i requisiti di sicurezza di conseguenza. Le aziende dovrebbero condividere i dati solo con terze parti affidabili ed estendere i propri requisiti di sicurezza ai fornitori. Questo vuol dire che nel caso di trasferimento di dati o informazioni sensibiliandrebbe richiesta ai fornitori tutta la documentazione e le certificazioni (come SOC 2) in modo da confermare il livello di condivisione che può essere messo in atto. In casi molto delicati, consigliamo inoltre di condurre un audit di conformità preliminare di un fornitore prima di firmare qualsiasi contratto”, commenta EvgeniyaNaumova, Executive VP, Corporate Business di Kaspersky.
