La domanda che le organizzazioni italiane si pongono in materia di sicurezza è cambiata nella sostanza. Non riguarda più il “se” un attacco arriverà, ma il “quando” accadrà e in quali condizioni troverà l’azienda. È questa la premessa da cui parte l’indagine che ManageEngine ha condotto su cinque mercati europei, Italia, Spagna, Germania, Paesi Bassi e Regno Unito, raccogliendo più di 300 risposte per Paese, per un totale di 1.514 decision maker di primo livello tra CIO, CISO, IT director e security director. Il Regno Unito è stato incluso per misurare la divergenza in atto dopo la Brexit, con un percorso normativo che punta a discostarsi dal quadro europeo su privacy, intelligenza artificiale e protezione dei dati.
“Esistono solo due tipi di aziende: quelle che hanno già subito un attacco e lo sanno, e quelle che lo hanno subito ma non lo sanno – sostiene Andrés Mendoza, technical director Southern Europe & LATAM di ManageEngine –. L’azienda che non è mai stata attaccata non esiste: l’attacco c’è sempre, la differenza sta nell’essere consapevoli che qualcosa di sbagliato sta accadendo dentro la propria rete.” La fotografia che emerge è netta. Tre intervistati su cinque dichiarano di aver affrontato un incidente, una vulnerabilità o un problema di sicurezza, mentre in Italia la quota di organizzazioni che ha registrato un incidente (non un attacco) raggiunge il 62% del campione. Il dato non descrive un’eccezione ma una condizione ordinaria, che sposta l’attenzione dalla prevenzione assoluta alla capacità di assorbire l’impatto e tornare operativi.
Quando l’attacco non è più un’ipotesi
Tra i vettori più frequenti spicca lo sfruttamento delle vulnerabilità, che si declina in forme diverse. Può trattarsi di una patch non installata, di una configurazione errata o di credenziali di default mai modificate su un dispositivo di rete, una porta lasciata aperta che un tempo richiedeva lavoro manuale per essere individuata e oggi viene scoperta e sfruttata con il supporto dell’AI. “Lo stesso mecca nismo che consente a un GPT di pianificare un viaggio permette a un attaccante di generare codice malevolo e personalizzare l’offensiva – osserva Mendoza -. È in questo contesto che si puà parlare di phishing 2.0. I messaggi non hanno più loghi assenti, errori di battitura o toni generici, ma sfruttano i dati pubblici reperibili su LinkedIn e sui social per costruire comunicazioni credibili, calibrate sul ruolo, sui colleghi e sulle attività del destinatario. A questo si aggiungono l’errore umano, con la curiosità che spinge ad aprire allegati sospetti, e gli attacchi alla supply chain, che colpiscono fornitori e contractor già dotati di accessi alla rete dell’organizzazione bersaglio. Tre elementi restano centrali per ridurre l’esposizione: tecnologie adeguate, processi aggiornati e persone consapevoli”.
La resilienza è un tema per C-level
Il passaggio culturale che ManageEngine pone al centro riguarda il livello a cui la sicurezza viene discussa e il superamento della logica per cui ci si attiva soltanto quando l’incidente è già in corso.
“Dobbiamo passare dalla cybersecurity alla cyber resilience, perché l’idea che un attacco non possa accadere è ormai superata – sostiene Sujoy Banerjee regional director MEA di ManageEngine -. La vera domanda è quanto siamo preparati ad affrontarlo e quanto rapidamente sappiamo rilevarlo, rispondere e ripristinare. Non è più una questione di un singolo reparto, è una discussione che deve avvenire nel consiglio di amministrazione.”
I numeri italiani mostrano però un coinvolgimento ancora discontinuo della leadership. Il 49% delle organizzazioni dichiara un impegno elevato del management solo durante la crisi, mentre appena il 20% lo descrive come un processo continuo. Il tema è che la sicurezza “parla” tre linguaggi differentei attraverso la catena decisionale.
“Se a livello operativo si parla di autenticazione multifattore, a quello intermedio il focus si sposta verso strategie di gestione delle identità e degli accessi e quando si arriva al vertice, dove risiede l’accountability, le cose cambiano ancora. Al C-level, infatti, non interessa sapere se è stata attivata l’autenticazione multifattore ma, invece, se esiste una strategia per ripristinare l’operatività quando qualcosa va storto, perché quella è la base della continuità del business” osserva Mendoza.
Sul fronte della preparazione formale i dati italiani appaiono solidi. Il 98% delle organizzazioni conduce revisioni post-incidente, il 95% dichiara di avere una strategia di backup e oltre il 90% rispetta l’obbligo di notifica entro 24 ore, in linea con quanto richiesto dal recepimento della direttiva NIS 2, che l’Italia è stata tra i primi Paesi a trasporre. La domanda che resta aperta non è se il backup esiste, ma se sia mai stato testato davvero attraverso una simulazione di ripristino completo. I tempi di recupero confermano invece una situazione di criticità: il 39% delle aziende si colloca tra uno e dieci giorni, mentre nessuna ha dichiarato di ripristinare l’intera operatività in meno di 24 ore.
Skill gap, integrazione e automazione
Le pressioni operative individuate dall’indagine convergono su tre fronti. Il primo è la carenza di skill e di personale qualificato, che persiste nonostante formazione e workshop. Il secondo è la mancata integrazione tra strumenti diversi, adottati da reparti diversi, che al momento dell’incidente non riescono a dialogare e allungano i tempi di reazione.
Il terzo è la presenza di processi ancora largamente manuali, che nei momenti di crisi vanno semplificati e automatizzati perché non c’è tempo per imparare uno strumento mentre l’attacco è in corso.
La risposta proposta ruota attorno a tre dimensioni che devono lavorare insieme, il workplace, il workforce e il workload, ossia il luogo di lavoro distribuito da proteggere con logiche zero trust, le persone con la gestione delle identità e dei privilegi e i carichi di lavoro tra on premise e cloud.
A monte resta l’inventario, inteso non come semplice elenco di asset ma come mappa delle dipendenze sul modello del CMDB (Configuration Management Database), che associa ogni dispositivo a una persona, a un reparto, a una sede e all’infrastruttura sottostante per misurare l’impatto reale di un incidente.