Perché la cybersicurezza non è un punto d’arrivo ma un processo continuo

Ultimamente si susseguono rapporti che presentano dati preoccupanti in materia di sicurezza. Secondo il Rapporto Clusit 2024 sulla sicurezza Ict, nel primo semestre dell’anno scorso gli attacchi cyber censiti a livello globale sono aumentati del 23% rispetto al semestre precedente, con una media di 9 attacchi critici al giorno rispetto ai circa 4,5 eventi al giorno del 2019. Il 7,6% degli eventi rilevati quest’anno a livello globale ha riguardato attacchi verso il nostro Paese. Questo trend crescente è confermato anche dall’Enisa (l’Agenzia dell’Ue per la cybersicurezza), che tra il 2023 e il 2024 ha osservato 11.079 incidenti, come riporta nel suo Threat Lanscape Report 2024.

Nuove norme e una sicurezza multilivello

Questa escalation di attacchi ha stimolato l’emanazione di norme volte a proteggere la sicurezza informatica. Con un fitto programma a più tasselli il legislatore europeo sta cercando di creare una sicurezza multilivello: dai singoli utenti, con norme a favore dell’igiene cibernetica e dell’alfabetizzazione digitale, alle imprese, imponendo requisiti di sicurezza a prodotti e servizi, fino a Stati membri e autorità nazionali, incaricati di elaborare una strategia per la cybersicurezza ma anche di dare il buon esempio. Spesso si pensa che la sicurezza sia soltanto un problema informatico, ma in realtà investe molti diversi aspetti e può essere compromessa da minacce non solo di natura tecnologica.

«Only amateurs hack systems, professionals hack people», così Bruce Schneier – uno dei massimi esperti di sicurezza informatica e crittografia – rilevava come il fattore umano rappresenti una delle criticità più frequenti e sottovalutate in ambito di sicurezza. D’altronde le tecniche di social engineering, volte a carpire informazioni e dati personali manipolando le persone e facendo leva sull’errore umano, sono sempre più diffuse e gli unici mezzi di contrasto a questo tipo di attacchi sono l’educazione digitale e la cultura della sicurezza. Non si può pensare sia sufficiente adottare misure sofisticate quando alla base gli operatori non sono in grado di distinguere una e-mail di phishing da una richiesta attendibile.

*socia fondatrice di IAIC

Clicca qui per continuare la lettura su Milano Finanza