La
cyber security è in
costante evoluzione e difendersi richiede prima di tutto la consapevolezza dei rischi nel mondo digitale. In molti ambienti, PMI comprese, è una
consapevolezza di base. Ad esempio nella formulazione delle password o nel gestire la posta elettronica.
La questione cyber security è fatta quindi soprattutto di "
security awareness". E in questo senso sta operando anche
Nordest Servizi, azienda IT
di Udine appartenente al gruppo Eurosystem. "
Nel solo 2018 abbiamo più che triplicato le richieste da parte delle PMI di Veneto e Friuli Venezia Giulia per interventi di security awareness", sottolinea
Nicola Bosello, Amministratore Delegato di Nordest Servizi.
La percezione di una minore cyber security porta ad una
crescita degli investimenti per la protezione digitale. In particolare, nel 2018 le PMI venete e friulane hanno destinato alla sicurezza informatica circa
30 milioni di euro. È una somma che rappresenta il 2 percento di quanto è stato investito in ICT.
"
Nel complesso c'è stato un aumento di circa il 15 percento rispetto all'anno precedente, ma è un impegno ancora insufficiente a fronteggiare non solamente rischi e danni che valgono dieci volte tanto, ma anche l'aumento degli attacchi che nell'ultimo biennio è cresciuto di dieci volte tanto", aggiunge Bosello.
Anche perché le piccole-medie imprese
non sono ancora abbastanza sensibili al problema della cyber security. Da un lato spesso pensano di non essere tra i bersagli della criminalità, quando invece
lo sono eccome. Magari in attacchi che fanno perdere solo qualche migliaio di euro, somme trascurabili per le grandi imprese ma importanti per quelle piccole.
Formazione per la cyber security
Dall'altro lato, le PMI
non si "formano" abbastanza quando invece l'anello debole della catena della sicurezza resta quello umano. In questo ambito Nordest Servizi ha sviluppato un percorso di formazione che incrementa la security awareness. Intesa come, spiega
Michela Bonora, responsabile divisione sicurezza del gruppo Eurosystem, "
un insieme di metodologie interattive e simulazioni utili a far comprendere come agiscono gli attaccanti e quanto sia importante il proprio comportamento per prevenire attacchi reali".
Si tratta in sintesi di un
programma di training continuo, da 10-15 minuti per sessione, distribuito su un piano annuale. Comprende alcune domande per indagare il grado di consapevolezza informatica. Poi una parte spiccatamente formativa per spiegare i comportamenti più corretti. Infine, una simulazione mirata di phishing e la reportistica che permette di valutare caso per caso i miglioramenti fatti.