Cyber Index PMI, quanto sono consapevoli le aziende sul rischio cyber?

Saper individuare le principali minacce informatiche e saper gestire rischi e conseguenze derivanti dagli incidenti cyber. È questo lo scoglio da superare per le imprese di piccole e medie dimensioni, da tempo nel mirino dei criminali informatici. Fondamentale è, quindi, promuovere la diffusione della cultura digitale tra le PMI italiane. Con questo scopo, è stato presentato a ottobre Cyber Index PMI, l’indice che misura appunto lo stato di consapevolezza in materia di rischi cyber delle organizzazioni di piccole e medie dimensioni. Il progetto - realizzato da Confindustria e Generali Italia, con il supporto scientifico dell’Osservatorio Cybersecurity & Data Protection della School of Management del Politecnico di Milano e la partecipazione dell’Agenzia per la Cybersicurezza Nazionale - svolge azione di monitoraggio, nel tempo, circa il livello di conoscenza dei rischi informatici all’interno delle imprese, nonché le strategie e modalità di approccio per la loro gestione. Questo primo Rapporto Cyber Index PMI, che ha coinvolto 708 realtà sul territorio nazionale, rappresenta peraltro il primo tassello del futuro Cyber Index italiano, l’indice nazionale che, come previsto dalla Strategia Nazionale di Cybersicurezza, andrà ad alimentare il Cyber Index europeo.

Gli esiti dell’indagine

La situazione fotografata dal Rapporto evidenzia il bisogno di continuare a investire su una maggiore diffusione e promozione della cultura dei rischi cyber tra le PMI. In tal senso, le aziende coinvolte hanno infatti totalizzato, nell’insieme, un valore medio di Cyber Index pari a 51 su 100, inferiore quindi al livello di sufficienza che è, invece, di 60 su 100. Tre gli aspetti considerati dal Cyber Index PMI: l’approccio strategico delle organizzazioni; la loro capacità di comprendere il fenomeno e le minacce (identificazione); l’introduzione di leve per mitigare il rischio (attuazione). Quanto al primo punto, benché l’attenzione al tema sia maggiore, emerge la mancanza di una strategia che contempli la definizione di investimenti e la formalizzazione di responsabilità da parte delle imprese (punteggio medio: 54 su 100). Ugualmente, latitano le azioni di identificazione corrette che permettano di approcciare la materia in modo più consapevole, rendendo complicato stabilire specifiche priorità (valore medio: 43 su 100). Tutto ciò nonostante le leve di attuazione siano risultate, infine, maggiormente sviluppate (punteggio medio: 56 su 100).

Complessivamente, le aziende interpellate (a rappresentanza del panorama delle PMI italiane) hanno consentito di definire quattro diversi livelli di maturità rispetto al tema dei rischi cyber. Le organizzazioni considerate “mature” corrispondono al 14% e sono realtà con un approccio strategico alla materia, pienamente consapevoli dei rischi e capaci di concretare le corrette leve di attuazione con iniziative che coinvolgono persone, processi e tecnologie. “Consapevoli” sono, invece, il 31% delle imprese, ovvero organizzazioni in grado di capire le varie implicazioni dei rischi cyber, ma con una capacità operativa spesso ridotta per poter mettere in campo le azioni corrette. Il 35% degli interpellati è poi “informato”, quindi non pienamente consapevole del rischio cyber e degli strumenti da attuare, cui si affianca un approccio ‘artigianale’ alla materia. Infine, il 20% delle aziende si classifica a livello “principiante”, vale a dire con poca consapevolezza dei rischi informatici cui corrispondono misure di protezione quasi nulle.

Significativo, poi, il dato rilevato dallo studio che correla la dimensione aziendale al livello di maturità delle imprese (valore medio di 43 su 100 per le microimprese, di 53 per le piccole e fino a 61 per le medie), mentre non esistono differenze importanti legate al territorio. Interessante altresì il dato che indica un 58% delle PMI attento al tema con un budget stanziato per la sicurezza informatica, anche se in realtà solo il 17% delle imprese ne prevede uno dedicato, poiché  - nella maggior parte dei casi - la voce rientra nell’investimento più ampio destinato all’IT. A questo proposito, il Rapporto ha verificato che, per la mitigazione del rischio, il 57% delle organizzazioni dispone di un equipaggiamento tecnologico per il monitoraggio delle anomalie, mentre il 41% prevede policy comportamentali o iniziative di formazione degli utenti come contromisure per limitare l’esposizione dei dipendenti aziendali a rischi informatici. Infine, dallo studio si evince che il 17% delle realtà intervistate ha già sottoscritto una soluzione assicurativa dedicata, contro un 29% che non è a conoscenza delle possibilità di copertura del rischio cyber.

In conclusione, il valore della sicurezza informatica viene sempre più compreso dalle PMI italiane, ma ancora molto deve essere fatto perché venga intesa come fattore abilitante della trasformazione digitale.