Le organizzazioni che investono in esercitazioni strutturate per la risposta agli incidenti informatici mostrano una resilienza significativamente superiore contro le minacce cyber. Il nuovo studio del Cyber Risk Intelligence Center (CRIC) di Marsh McLennan quantifica per la prima volta l’impatto concreto di questa pratica: le aziende che svolgono regolarmente simulazioni “tabletop” hanno il 13% di probabilità in meno di subire eventi cyber significativi.
La ricerca CRIC misura l’efficacia dei controlli di sicurezza
Dal 2023, il CRIC analizza sistematicamente la correlazione tra 12 controlli di cybersecurity monitorati dal mercato assicurativo e la probabilità effettiva di subire un sinistro. Lo studio “Cybersecurity signals: Connecting controls and incident outcomes” si basa sui dati raccolti attraverso il Cyber Self-Assessment di Marsh, confrontati con le informazioni sui cyber incidenti realmente verificatisi.
I risultati di quest’anno confermano la pianificazione della risposta agli incidenti come il quarto controllo più efficace per ridurre i rischi cyber, preceduta solo da:
- Endpoint Detection and Response (EDR)
- Attività di logging e monitoring
- Programmi di formazione anti-phishing
EDR e MFA: l’implementazione fa la differenza
Lo studio rivela dettagli specifici sull’impatto dell’implementazione corretta delle tecnologie di sicurezza. Ogni incremento del 25% nell’adozione dell’EDR su workstation e laptop corrisponde a una riduzione ulteriore del 10% della probabilità di violazione.
Anche l’autenticazione multi-fattore mostra risultati variabili in base alla qualità dell’implementazione. Le soluzioni MFA progettate specificamente per resistere agli attacchi di phishing riducono del 9% il rischio di violazioni rispetto alle versioni standard.
Non basta implementare, serve gestire correttamente
Scott Stransky, Head of CRIC di Marsh McLennan, sottolinea come i risultati evidenzino un cambio di paradigma: “Implementare i controlli di sicurezza informatica non è più sufficiente: è essenziale che questi strumenti vengano gestiti in modo corretto e utilizzati in maniera completa”.
Tom Reagan, Global Cyber Practice Leader di Marsh, aggiunge che “una pianificazione accurata può favorire una migliore postura di sicurezza informatica e un’implementazione più efficace degli strumenti di controllo, contribuendo a rafforzare la resilienza organizzativa”.
Impatto pratico per le aziende italiane
I dati raccolti dal CRIC offrono alle organizzazioni italiane metriche concrete per valutare i propri investimenti in cybersecurity. La correlazione statistica tra controlli specifici e riduzione degli incidenti permette una pianificazione più strategica delle risorse destinate alla sicurezza informatica.
La ricerca conferma l’approccio proattivo alla gestione dei rischi cyber, dimostrando come la preparazione preventiva si traduca in vantaggi misurabili nella prevenzione degli attacchi. Le aziende possono ora basare le proprie decisioni di investimento su evidenze quantitative piuttosto che su valutazioni qualitative.
Gli insight del CRIC rappresentano uno strumento prezioso per i CISO e i responsabili della sicurezza che devono giustificare budget e priorità nell’ambito della protezione informatica aziendale.