18/10/2023
Il CEO Cyber-Resiliente: la crescita economica ha bisogno della sicurezza informatica
Mauro Macchi (Accenture): nonostante gli investimenti, l'obiettivo è ancora lontano. Pertanto, tutti gli attori interessati, pubblici e privati, devono focalizzarsi a maturare una nuova cultura della sicurezza del business
Tre quarti (74%) dei CEO sono preoccupati per la capacità delle proprie aziende di evitare o ridurre al minimo i danni da un attacco informatico, nonostante il fatto che il 96% abbia affermato che la sicurezza informatica sia fondamentale per la crescita e la stabilità organizzativa, secondo un nuovo rapporto di Accenture.
Il rapporto, intitolato "Il CEO Cyber-Resilient" si basa su un sondaggio condotto su 1.000 CEO di grandi organizzazioni a livello globale. La ricerca di Accenture sottolinea il modo reattivo in cui i CEO trattano la sicurezza informatica, che si traduce in un maggiore rischio di attacchi e costi più elevati per rispondere e porvi rimedio. Il 60% dei CEO ha dichiarato che le proprie organizzazioni non incorporano la sicurezza informatica nelle strategie, nei servizi o nei prodotti aziendali fin dall'inizio e più di quattro su 10 (44%) dei CEO ritiene che la sicurezza informatica richieda un intervento episodico piuttosto che un'attenzione continua.
A questa posizione reattiva si aggiunge l'errata assunzione da parte di oltre la metà (54%) dei CEO secondo cui il costo dell'implementazione della sicurezza informatica è superiore al costo di subire un attacco informatico, nonostante la storia dimostri il contrario.
Ad esempio, il rapporto rileva che una violazione globale di una società di spedizioni e logistica ha comportato un calo del 20% del volume d'affari, con perdite che hanno raggiunto i 300 milioni di dollari.
Inoltre, nonostante il 90% dei CEO affermi di considerare la sicurezza informatica un fattore di differenziazione per i propri prodotti o servizi per aiutarli a creare fiducia tra i clienti, solo il 15% ha riunioni del Consiglio di Amministrazione dedicate per discutere di questioni di sicurezza informatica. Questa discrepanza potrebbe essere spiegata dal fatto che la stragrande maggioranza (91%) dei CEO ha affermato che la sicurezza informatica è una funzione tecnica che è responsabilità del CIO o del Chief Information Security Officer (CISO).
Il rapporto suggerisce inoltre che l'IA generativa ha il potenziale per introdurre un livello maggiore di minacce alla sicurezza "avanzata", introducendo nuove sfide che anche le più sofisticate difese informatiche potrebbero non fronteggiare completamente. Quasi due terzi (64%) dei CEO intervistati hanno affermato che i criminali informatici potrebbero utilizzare l'intelligenza artificiale generativa per creare attacchi informatici sofisticati e difficili da rilevare, come truffe di phishing, attacchi di ingegneria sociale e hack automatizzati.
Nell'ambito del PNRR, la voce esplicitamente dedicata alla cybersecurity ha per obiettivo il rafforzamento dell'ecosistema digitale nazionale attraverso il potenziamento delle attività di monitoraggio e di gestione delle minacce cyber. È quindi evidente come il nobile fine dell'intervento sia quello della resilienza, e cioè proteggere in modo "preventivo e reattivo" il Paese dagli attacchi cibernetici
"La cybersecurity è sempre più un tema centrale nell'agenda dei decisori aziendali e delle autorità pubbliche, perché stiamo assistendo ad una fase di forte accelerazione tecnologica, con un effetto moltiplicatore che deriva dalla crescita a scala di più componenti innovative", ha dichiarato Mauro Macchi, Presidente e Amministratore Delegato di Accenture Italia. "Mi riferisco in particolare a tre tecnologie che costituiscono il cosiddetto ?digital core' di un'impresa e di un Paese: Cloud, Dati e Intelligenza Artificiale (AI), che sono i driver della creazione di valore futuro. Negli ultimi anni sono stati fatti importanti progressi negli investimenti e nell'organizzazione in tema di cybersecurity, ma l'obiettivo di raggiungere una piena cyber resilienza del business è ancora lontano. Pertanto, tutti gli attori interessati, pubblici e privati, devono focalizzarsi a maturare una nuova cultura della sicurezza informatica, perché è un tema che non può prescindere da una governance che indirizzi risorse in questa direzione. Per questo motivo ritengo importante che l'ecosistema cybertech debba aiutare le aziende - e il Paese - a sviluppare tale cultura. È un compito non facile, che richiede visione e capitale umano, forti competenze ed esperienza maturata sul campo, conoscenza delle tecnologie più avanzate e grande capacità progettuale e realizzativa.
"L'accelerazione dell'IA generativa rende ancora più essenziale per le organizzazioni adottare misure per garantire la sicurezza dei propri dati e delle risorse digitali", ha dichiarato Paolo Dal Cin, Global Lead di Accenture Security.
"Ma è solo dopo aver subito un incidente informatico che i CEO elevano la sicurezza informatica a una priorità a livello di consiglio di amministrazione e C-suite ed espandono le aspettative oltre le funzioni tecnologiche per proteggere meglio le proprie organizzazioni. L'integrazione del rischio di sicurezza informatica in un framework di gestione del rischio aziendale è la chiave per garantire una migliore sicurezza, conformità normativa, protezione del business e fiducia dei clienti".
La ricerca identifica un piccolo gruppo di CEO che eccellono nella resilienza informatica. Questo gruppo - che Accenture chiama "CEO cyber-resilienti" e rappresenta il 5% degli intervistati - utilizza una lente più ampia per valutare la sicurezza informatica in tutti gli aspetti delle loro organizzazioni. Le aziende di questi leader rilevano, contengono e risolvono le minacce informatiche più velocemente di altre organizzazioni. Di conseguenza, i loro costi di violazione sono considerevolmente inferiori e le prestazioni finanziarie significativamente migliori rispetto agli altri, ottenendo in media una crescita incrementale dei ricavi superiore del 16%, un miglioramento de 21% nella riduzione dei costi e del 19% di bilancio.
Il rovescio della medaglia sono i "no-cyber" - che rappresentano quasi la metà (46%) dei CEO - che non intraprendono in modo coerente o rigoroso nessuna delle azioni che fanno i CEO cyber-resilienti e in genere mostrano un atteggiamento reattivo.
Cinque azioni che i CEO cyber-resilienti hanno molte più probabilità di intraprendere in modo proattivo rispetto ai no-cyber sono:
1) Integrare la resilienza informatica nella strategia aziendale fin dall'inizio. I CEO cyber-resilienti hanno quasi il doppio delle probabilità di gestire le prestazioni informatiche nello stesso modo in cui gestiscono le prestazioni finanziarie (60% contro 33%).
2) Stabilire una responsabilità condivisa della sicurezza informatica in tutta l'organizzazione. I CEO cyber-resilienti sono molto più propensi ad adottare la responsabilità condivisa tra i C-suite, ispirando i dirigenti a sostenere la sicurezza informatica come elemento di differenziazione competitiva che accelera l'innovazione in modo sicuro (70% contro 37%) e lavorare a stretto contatto con i loro CISO per valutare e gestire i rischi dell'IA generativa, garantendo che la tecnologia sia utilizzata in modo sicuro ed efficace (54% contro 33%).
3) Proteggere il core digitale nel cuore dell'organizzazione. I CEO cyber-resilienti hanno più del doppio delle probabilità di voler aumentare il loro budget per la sicurezza informatica con l'intensificarsi dell'adozione e dell'implementazione di tecnologie digitali ed emergenti (76% contro 35%).
4) Estendere la resilienza informatica oltre i confini e i silos organizzativi. I CEO cyber-resilienti hanno il 40% in più di probabilità di implementare politiche e controlli specifici per terze parti e ancora più propensi a promuovere un approccio di valutazione del rischio a livello aziendale che interviene tra le unità e le funzioni aziendali (64% contro 41%).
5) Abbracciare la resilienza informatica in corso per rimanere all'avanguardia. I CEO cyber-resilienti sono molto più propensi a impegnarsi a stabilire continuamente misure di sicurezza informatica trainanti per il settore che tengano conto del mutevole panorama dei rischi e si allineino con le priorità della C-suite al fine di proteggere il business e rilevare e rispondere efficacemente agli attacchi informatici (60% contro 34%).
