Laurence CadieuxRisultati chiave del sondaggio
L’88% delle PMI fornisce agli utenti finali una qualche forma di formazione sulla sicurezza IT. Si tratta di un aumento del 14% rispetto allo scorso anno. Tuttavia, il 35% delle PMI non misura l’impatto di questa formazione.
Il modo più diffuso in cui le PMI istruiscono gli utenti finali sulla sicurezza IT è la formazione online (33%). Seguono risorse come video, webinar e articoli (31%) e formazione dal vivo e workshop (16%).
Il 44% delle PMI non dispone di un piano di risposta agli incidenti di cybersecurity completo e aggiornato. Si tratta del 4% in più rispetto allo scorso anno.
Dall’inizio della pandemia, il 36% delle PMI ha aggiunto personale dedicato alla sicurezza IT e l’8% collabora con un fornitore esterno, come un Managed Service Provider (MSP).
Nel complesso, per quanto riguarda la consapevolezza della sicurezza IT nelle PMI, la situazione è — come recita il titolo della nostra infografica del report del sondaggio — “non così brutta come si pensa”. Ma questo non significa nemmeno che sia ottima.
La maggior parte delle PMI deve aumentare la consapevolezza della sicurezza IT in tutta l’azienda, per affrontare e mitigare i rischi e le conseguenze crescenti di ransomware, malware, attacchi alla supply chain e altre minacce. Per raggiungere questo obiettivo critico in modo pragmatico ed economico, raccomandiamo alle PMI di concentrarsi su tre priorità: sviluppare un piano di sicurezza IT completo, istruire gli utenti finali sui principi fondamentali della sicurezza IT e (se necessario) collaborare con un MSP per colmare il divario di competenze.
Sviluppare un piano di sicurezza IT completo
Il sondaggio ha chiaramente rivelato che la maggior parte delle PMI non dispone — ma ha urgentemente bisogno — di un piano di sicurezza IT completo, che garantisca che obiettivi e requisiti vengano comunicati tempestivamente a tutte le parti interessate necessarie. Ci sono tre elementi fondamentali:
Definire e documentare gli obiettivi: molte organizzazioni si concentrano interamente sulla competenza e la conformità degli utenti finali, ma trascurano di verificare che gli obiettivi siano compresi o addirittura conosciuti fin dall’inizio.
Definire ruoli e responsabilità: assicurarsi che le principali parti interessate interne comprendano i requisiti di cybersecurity in tutta l’azienda e mapparli su una matrice RACI (Responsible, Accountable, Consulted, Informed). Un esempio di matrice RACI è disponibile nel report (a pagina 57).
Comunicare a valle e monitorare a monte: le politiche di sicurezza IT devono essere disponibili per tutte le parti interessate e gli aggiornamenti devono essere comunicati tempestivamente. Stabilire canali di comunicazione bidirezionali è fondamentale, così come apportare continui aggiustamenti e miglioramenti quando necessario.
Istruire gli utenti finali sui principi fondamentali della sicurezza IT
Quando si formano gli utenti finali, raccomandiamo alle PMI di trattare, come minimo, i seguenti argomenti relativi alla sicurezza IT:
- Controllo degli accessi
- Bring Your Own Device (BYOD)
- Servizi cloud
- Fuga di dati
- Furto d’identità
- Segnalazione degli incidenti
- Proprietà intellettuale
- Introduzione alla sicurezza delle informazioni
- Malware
- Dispositivi mobili
- Rischi del Wi-Fi aperto
- Gestione delle password
- Phishing
- Sicurezza fisica
- Privacy
- Protezione dei dati delle carte di pagamento
- Uso responsabile di Internet
- Ingegneria sociale
- Social network
- Viaggiare in sicurezza
- Lavoro da remoto
Alcuni dirigenti e responsabili decisionali, osservando questo elenco, potrebbero pensare: “è un elenco piuttosto lungo, dobbiamo DAVVERO trattare tutti questi argomenti nella nostra formazione sulla sicurezza IT?”
La risposta è SÌ. Basta una singola violazione causata da un utente finale per aprire le porte a un disastro. È bene ricordare che il costo medio di una violazione dei dati è salito a 4,24 milioni di dollari per incidente, e ben l’88% delle violazioni dei dati è causato da errore umano.
Collaborare con un Managed Service Provider (se necessario)
Entro il 2024, si stima che 2,5 milioni di posti di lavoro nella sicurezza IT rimarranno vacanti a livello mondiale. E entro il 2025, si prevede che questo numero salirà a 3,5 milioni. Si tratta di un’ottima notizia per i professionisti della sicurezza IT esperti e aspiranti tali, la cui principale fonte di stress professionale non sarà trovare un lavoro ben retribuito, bensì decidere quali allettanti offerte di lavoro rifiutare (che è sicuramente uno di quei problemi “piacevoli” da avere!).
Ma per la maggior parte delle PMI, la situazione è tutt’altro che ideale. È impossibile competere con le grandi imprese in termini di retribuzione e vantaggi, come l’accesso alle tecnologie e agli strumenti più recenti (e molto costosi).
Fortunatamente, esiste un’opzione praticabile: le PMI possono collaborare con un managed service provider (MSP) per colmare il divario di competenze e mantenere un profilo di sicurezza IT solido e conforme. Raccomandiamo alle PMI di scegliere un MSP che:
- Si impegni a fornire consulenza informata e obiettiva.
- Proponga strategie e soluzioni efficaci ed economicamente vantaggiose.
- Soddisfi/superi le aspettative di reattività previste dal Service Level Agreement (SLA).
- Disponga degli strumenti, del personale e delle politiche per monitorare l’infrastruttura della PMI 24 ore su 24, 7 giorni su 7, 365 giorni all’anno, e supporti la continuità operativa e il ripristino in caso di disastro.
- Fornisca raccomandazioni informate e obiettive senza alcun interesse personale (ovvero, l’MSP sia “agnostico rispetto a tecnologie e fornitori”).
- Sappia comunicare efficacemente sia con un pubblico tecnico che non tecnico.
Uno sguardo al futuro
Nel nostro prossimo approfondimento sul report del sondaggio Devolutions State of IT Security in SMBs in 2022-23, esamineremo come le PMI gestiscono l’accesso remoto e le sfide e le preoccupazioni relative alla sicurezza IT che devono affrontare a causa dell’accesso remoto.