La cyber security è in costante evoluzione e difendersi richiede prima di tutto la consapevolezza dei rischi nel mondo digitale. In molti ambienti, PMI comprese, è una consapevolezza di base. Ad esempio nella formulazione delle password o nel gestire la posta elettronica.

La questione cyber security è fatta quindi soprattutto di "security awareness". E in questo senso sta operando anche Nordest Servizi, azienda IT di Udine appartenente al gruppo Eurosystem. "Nel solo 2018 abbiamo più che triplicato le richieste da parte delle PMI di Veneto e Friuli Venezia Giulia per interventi di security awareness", sottolinea Nicola Bosello, Amministratore Delegato di Nordest Servizi.

La percezione di una minore cyber security porta ad una crescita degli investimenti per la protezione digitale. In particolare, nel 2018 le PMI venete e friulane hanno destinato alla sicurezza informatica circa 30 milioni di euro. È una somma che rappresenta il 2 percento di quanto è stato investito in ICT.

"Nel complesso c'è stato un aumento di circa il 15 percento rispetto all'anno precedente, ma è un impegno ancora insufficiente a fronteggiare non solamente rischi e danni che valgono dieci volte tanto, ma anche l'aumento degli attacchi che nell'ultimo biennio è cresciuto di dieci volte tanto", aggiunge Bosello.


Anche perché le piccole-medie imprese non sono ancora abbastanza sensibili al problema della cyber security. Da un lato spesso pensano di non essere tra i bersagli della criminalità, quando invece lo sono eccome. Magari in attacchi che fanno perdere solo qualche migliaio di euro, somme trascurabili per le grandi imprese ma importanti per quelle piccole.

Formazione per la cyber security

Dall'altro lato, le PMI non si "formano" abbastanza quando invece l'anello debole della catena della sicurezza resta quello umano. In questo ambito Nordest Servizi ha sviluppato un percorso di formazione che incrementa la security awareness. Intesa come, spiega Michela Bonora, responsabile divisione sicurezza del gruppo Eurosystem, "un insieme di metodologie interattive e simulazioni utili a far comprendere come agiscono gli attaccanti e quanto sia importante il proprio comportamento per prevenire attacchi reali".

Si tratta in sintesi di un programma di training continuo, da 10-15 minuti per sessione, distribuito su un piano annuale. Comprende alcune domande per indagare il grado di consapevolezza informatica. Poi una parte spiccatamente formativa per spiegare i comportamenti più corretti. Infine, una simulazione mirata di phishing e la reportistica che permette di valutare caso per caso i miglioramenti fatti.