Gli attacchi informatici hanno un impatto finanziario sempre più significativo per le organizzazioni di tutto il mondo. Secondo un nuovo studio di Accenture e del Ponemon Institute, nel 2017 il costo medio dei crimini informatici ha raggiunto gli 11,7 milioni di dollari per azienda, con un aumento del 23% rispetto ai 9,5 milioni di dollari registrati nel 2016 e del 62% nell’ultimo quinquennio. Confrontando i diversi paesi analizzati, le aziende statunitensi sostengono il costo medio più alto pari a 21,22 milioni di dollari, mentre la Germania evidenzia la crescita più significativa con un costo medio che è passato da 7,84 a 11,15 milioni di dollari. Questo rapido incremento è il risultato della recente serie di attacchi malware tristemente famosi, come WannaCry e Petya, che a diverse aziende globali sono costati centinaia di milioni di dollari in mancati ricavi.
Secondo il report “Cost of Cyber Crime Study", che ha coinvolto 2.182 professionisti informatici ed esperti di sicurezza in 254 aziende in tutto il mondo, dal 2009, anno in cui il Ponemon Institute ha avviato lo studio, il numero degli attacchi informatici non ha mostrato segni di rallentamento. Tra i risultati principali dello studio emerge che:
- In media un’azienda subisce 130 violazioni all’anno, con un aumento del 27,4% rispetto al 2016 e un valore quasi doppio rispetto al numero di attacchi informatici dell’ultimo quinquennio. Le violazioni sono intese come infiltrazioni nella rete o nei sistemi aziendali.
- Le aziende del settore finanziario e dell’energia sono le più colpite, con un costo medio annuo rispettivamente pari a 18,28 e 17,20 milioni di dollari.
- Aumenti analoghi si rilevano anche nel tempo necessario per risolvere i problemi che gli attacchi comportano. Tra le violazioni che richiedono un maggiore tempo di intervento figurano quelle portate a termine da attaccanti interni, per contenere i quali sono necessari in media 50 giorni, mentre il ransomware richiede in media 23 giorni.
- I malware e gli attacchi web sono i due tipi di violazioni che comportano i maggiori costi, con spese per le aziende rispettivamente pari a 2,4 e 2 milioni di dollari.
“Le conseguenze sempre più costose e devastanti che le aziende subiscono a causa dei crimini informatici sottolineano l’importanza crescente di una pianificazione strategica e un monitoraggio costante degli investimenti in sicurezza. Come evidenzia lo studio, investire nell’innovazione può fare la vera differenza nella lotta al cyber crime.”, osserva Kelly Bissell, Managing Director di Accenture Security. “I criminali informatici sono sempre più determinati e utilizzano mezzi sempre più sofisticati. E’ quindi necessario che le organizzazioni adottino una strategia di sicurezza dinamica e agile, che costruisca resilienza dall’interno e non si focalizzi solo sulla difesa del perimetro. Occorre inoltre un approccio che sia specifico per ciascun settore e che tuteli l’intera catena del valore dell’azienda”.
L’allocazione di spesa per la sicurezza non è bilanciata
Quando i numeri e la furbizia sono dalla parte degli hacker
Delle nove tecnologie di sicurezza prese in esame dallo studio, la percentuale di spesa maggiore è stata destinata ad avanzati controlli perimetrali; tuttavia, le aziende che hanno utilizzato queste soluzioni hanno realizzato risparmi di costi operativi pari a solo 1 milione di dollari, derivanti dall’identificazione e dalla risoluzione di attacchi informatici. Questo dato fa ipotizzare un impiego inefficace delle risorse. Una delle categorie più efficaci nella riduzione delle perdite per reati informatici è quella dei sistemi di security intelligence, definiti come strumenti che raccolgono informazioni da diverse fonti e aiutano l’azienda a identificare e dare un ordine di priorità alle minacce interne ed esterne. Questi sistemi hanno consentito risparmi consistenti pari a 2,8 milioni di dollari, l’importo maggiore rispetto a tutti gli altri tipi di tecnologia analizzati in questo studio. Le tecnologie di automazione, orchestrazione e di machine learning sono state impiegate solo dal 28% delle aziende, il valore più basso tra le tecnologie analizzate. Eppure, con 2,2 milioni di dollari, hanno registrato il terzo maggior valore di risparmio tra le tecnologie di sicurezza in generale.
L’impatto economico degli attacchi informatici è in netta crescita
I ricercatori hanno preso in considerazione le quattro principali conseguenze di un attacco informatico: interruzione delle attività, perdita di informazioni, perdita di ricavi e danni alle infrastrutture. Oggi, l’effetto più dannoso si riscontra nella perdita di informazioni, menzionata dal 43% delle organizzazioni intervistate. Di contro, i costi legati all’interruzione dell’attività – quali ad esempio quelli relativi a malfunzionamenti dei processi aziendali - è sceso dal 39% nel 2015 al 33% registrato nello studio di quest’anno.
“La base di un piano di sicurezza forte ed efficace è identificare e rendere solidi gli asset di maggior valore”, ha affermato il Dr. Larry Ponemon, presidente e fondatore del Ponemon Institute. “E’ vero che sono stati compiuti progressi costanti nel miglioramento delle difese informatiche, ma una migliore comprensione dei costi del cyber crime potrebbe aiutare le aziende a colmare il divario tra le proprie vulnerabilità e la crescente forza e numerosità dei criminali informatici”.
Cosa fare per aumentare l’efficacia delle misure di cybersecurity
Compiendo le azioni sotto descritte, le aziende possono ulteriormente migliorare l’efficacia delle proprie misure di cybersecurity per respingere i reati informatici e limitarne i danni:
- Costruire la sicurezza informatica partendo da fondamenta solide: investire in eccellenti strumenti di base, come sistemi di security intelligence e sistemi avanzati di gestione degli accessi, riconoscendo al contempo la necessità di innovare per tenere testa agli hacker.
- Eseguire pressure test estremi: per potenziare il proprio profilo di sicurezza bisogna andare oltre la semplice compliance, conducendo dei pressure test che identifichino, più di quanto non possa fare l’hacker più motivato, i punti deboli delle aziende.
- Investire in tecnologie all’avanguardia: bilanciare la spesa guardando alle nuove tecnologie disponibili, in particolare agli analytics e all’intelligenza artificiale, per potenziare l’efficacia e il valore del programma di sicurezza.
Economici ma pericolosi - I ricercatori di Kaspersky Lab hanno, tuttavia, rilevato una nuova e importante tendenza per quel che riguarda il modus operandi dei gruppi criminali più sofisticati. Questi gruppi criminali utilizzano sempre meno tecniche di attacco sofisticate e costose come le vulnerabilità zero day, per avvalersi piuttosto di campagne di ingegneria sociale estremamente mirate che vengono combinate con tecniche malevole conosciute ed efficaci. Così facendo, sono in grado di sfruttare campagne dannose difficili da individuare utilizzando le ordinarie soluzioni di sicurezza aziendali. Questo cambiamento di strategia dimostra che, in generale, le infrastrutture IT delle organizzazioni moderne hanno delle vulnerabilità che consentono ai criminali di utilizzare strumenti di attacco relativamente poco costosi per raggiungere i loro obiettivi. Microcin è una campagna dannosa recentemente rilevata dagli specialisti di Kaspersky Lab, che rappresenta quello che viene definito un attacco economico ma pericoloso. Tutto ha avuto inizio quando la Kaspersky Anti Targeted Attack Platform ha rilevato un file RTF sospetto. Il file includeva un exploit (malware che sfrutta le vulnerabilità di sicurezza dei software più utilizzati per installare componenti dannosi aggiuntivi) di una vulnerabilità nota e già risolta di Microsoft Office. Non è raro che i criminali informatici utilizzino exploit di vulnerabilità note per infettare le vittime con malware distribuiti in maniera massiccia, ma come dimostra una ricerca più approfondita, questo particolare file RTF non appartiene ad un'altra grande ondata di infezioni, ma ad una più sofisticata campagna mirata.