Il cyber-rischio nelle aziende italiane, tra ransomware e AI
Lo scenario italiano del cyber-rischio al Digital Italy Summit. Il phishing è onnipresente, mentre crescono gli attacchi ransomware.
Il phishing onnipresente, gli attacchi ransomware continuano a crescere, e in queste e altre attività l’intelligenza artificiale gioca un ruolo sempre più importante. Sono alcuni tratti dello scenario italiano del cyber-rischio, fotografato da un’indagine condotta da Tig – The Innovation Group in collaborazione con Csa – Cyber Security Angels, che viene presentata oggi sul palco romano del Digital Italy Summit.
Dalle interviste a 166 responsabili di sicurezza informatica di altrettante organizzazioni italiane di medie e grandi dimensioni emerge che gli attacchi sono endemici, spesso ripetuti e differenziati: il phishing è la minaccia più diffusa, rilevata nel corso del 2023 da ben il 95% degli intervistati sia nelle forme più indifferenziate sia nelle modalità più mirate dello spear phishing e del social engineering. Ma sono frequenti anche lo spam (52%), i tentativi di “adescamento all’amo” per furto di dati tramite Sms e messaggi telefonici (smishing e vishing, 44%), il malware (39%), le frodi di Business Email Compromise (36%), i DDoS (18%), gli attacchi alle applicazioni e librerie Web (17%).
Numericamente prevalgono gli incidenti di gravità e impatto limitato, ma nel corso del 2023 un non trascurabile 37% ha sperimentato invece delle violazioni di dati o interruzioni di servizio. E la percentuale, tra l’altro, è in crescita rispetto al 26% riferito all’anno 2022. In sostanza, gli incidenti di elevata gravità stanno aumentando. Se non altro, nella stragrande maggioranza delle aziende anche il budget dedicato alla cybersicurezza sta aumentando o se non altro non è in calo: gli investimenti crescono soprattutto per l’acquisto di nuove tecnologie (in crescita per il 45% delle aziende), per la preparazione agli incidenti, per la formazione dei dipendenti e per i servizi di consulenza.
La quota di aziende toccate dal ransomware nel 2023 risulta pari al 14%, mentre quelle che hanno subìto almeno un attacco di questo tipo l’anno scorso o anche in precedenza sono il 34% del campione. Come si reagisce di fronte al blocco dei dati tramite crittografia o, secondo la nuova tendenza del panorama ransomware, alla minaccia di distruggere, pubblicare o rivendere quei dati? Più spesso si accetta la via del compromesso (etico ed economico): solo il 36% degli intervistati si è detto contrario al pagamento del riscatto in qualsiasi circostanza, mentre il 59% si piegherebbe alla richiesta se non fosse possibile recuperare i dati in altro modo.
"Cyber risk management 2024", TIG - The Innovation Group e Csa - Cyber Security Angels
Anche le catene di fornitura sono spesso il punto di ingresso per attacchi che colpiscono, a cascata, le aziende utenti di un determinato software o servizio. Il 12% degli intervistati ha osservato attacchi di supply chain nel 2023 all’interno della propria organizzazione. E tuttavia solo poco più di metà delle aziende, il 54%, ha previsto specifiche attività per migliorare la sicurezza della supply chain, come controlli preliminari sui fornitori di tecnologie e servizi informatici, audit periodici o richieste di autovalutazione.
L'intelligenza artificiale viene vista come un'opportunità ma anche come un fattore di rischio. Secondo gli intervistati, l’adozione dell’AI potrebbe aumentare il rischio di mancata compliance, per esempio sul tema della privacy (per il 52% del campione) o anche di maggiore esposizione ad attacchi informatici diretti verso i modelli che stanno alla base delle applicazioni di AI, e che potrebbero contenere vulnerabilità (per il 36% degli intervistati) o essere manipolati e distorti (33%). Utilizzando strumenti di AI conversazionale generativa, le aziende temono anche di ottenere delle risposte non corrette (47%) o viziate da pregiudizio (23%). E c’è poi il rischio legato non all’adozione dell’AI in azienda ma al suo uso da parte dei criminali informatici, a scopi di automazione per esempio o per creare deepfake (lo teme il 52% del campione). Insomma, se anche mai un’azienda scegliesse di non adottare l’intelligenza artificiale non potrebbe comunque ignorare l’esistenza del fenomeno. Fortunatamente una discreta fetta del campione d’indagine si sta già muovendo con azioni di formazione del personale (54%) e con valutazioni sui rischi di cybersicurezza associati all’AI.
“Nell'analisi emerge una crescente maturità delle aziende italiane nel percorso verso una gestione più efficace del rischio cyber”, ha commentato Elena Vaciago, research manager di TIG – The Innovation Group. “Tuttavia, allo stesso tempo, si osserva un aumento dell'efficacia degli attacchi, anche grazie all'impiego dell'Intelligenza Artificiale. Se da un lato l'AI offre strumenti potenti per rafforzare la difesa e automatizzare i processi di cybersecurity, dall'altro potrebbe introdurre delle criticità. Le aziende devono prepararsi ad affrontare questi attacchi sempre più sofisticati, integrando l’Intelligenza Artificiale nelle loro strategie difensive. La chiave per fronteggiare le sfide dell'AI risiede nell'equilibrio tra automazione e intervento umano, evitando di affidarsi esclusivamente alla tecnologia".
La buona notizia è che gli investimenti in soluzioni e servizi per la cybersecurity crescono costantemente. La spesa media nel 2023 è stata pari all’8,3% del budget Ict complessivo, con una previsione di crescita fino al 9% per quest’anno.