Se da un lato i progressi tecnologici hanno permesso alle piccole e medie imprese (PMI) di crescere e di evolvere i propri modelli operativi, dall'altro i rischi e le minacce della cybersecurity possono annullare i progressi fatti finora. Alla base c'è un altro grave ostacolo: la mancanza di fiducia delle PMI nella gestione della cybersecurity.
La mancanza di fiducia si manifesta con la forte convinzione delle PMI che le aziende delle loro dimensioni siano più vulnerabili agli attacchi informatici rispetto alle imprese. Hanno buone ragioni per preoccuparsi della perdita di dati, dell'impatto finanziario e della perdita di fiducia dei clienti.
Le principali preoccupazioni per i prossimi 12 mesi sono due. In primo luogo, vi sono fattori umani legati alla scarsa consapevolezza informatica dei dipendenti e alla capacità e maturità dell'amministrazione IT. In secondo luogo, ci sono fattori tecnici come le vulnerabilità nell'ecosistema dei partner (catena di fornitura), la proliferazione delle app utilizzate dai dipendenti, gli attacchi degli Stati nazionali e la migrazione dei servizi nel cloud. Semplicemente, molte organizzazioni sono sopraffatte da queste esigenze.
Aiuto! Il tempo non si è fermato per le PMI
Sebbene le opzioni tecnologiche e di servizi si siano moltiplicate ben prima della pandemia COVID-19, la quantità di monitoraggio e gestione remota dei servizi e di software su misura per le PMI che oggi attende i clienti è spaventosa. In particolare nell'area della sicurezza, la sovrabbondanza di opzioni e i risultati talvolta scadenti hanno eroso la fiducia delle PMI in aree chiave.
Le aziende si sono divise tra la scelta di mantenere la sicurezza informatica all'interno dell'azienda e quella di esternalizzarla. Manca anche la conoscenza, in particolare per quanto riguarda l'accesso a esperti di terze parti, i tempi di risposta e le analisi forensi delle minacce. Inoltre, nonostante un buon numero di soluzioni, le argomentazioni a sostegno degli investimenti necessari non hanno tenuto il passo con i cambiamenti dei modelli operativi e le esigenze di sicurezza sottolineate dalla migrazione verso modelli di lavoro ibridi stanno diventando sempre più rilevanti.
Il 2022 ESET SMB Digital Security Sentiment Report evidenzia che molte PMI che dispongono di un budget sono molto consapevoli dei principali fattori di rischio che aumentano in modo significativo o moderato il rischio di attacchi informatici. Gli intervistati hanno dichiarato che il principale fattore di rischio nei prossimi 12 mesi sarà la mancanza di consapevolezza informatica dei dipendenti (fino all'84%), a cui si aggiungono le vulnerabilità nell'ecosistema dei partner/fornitori (79%) e la migrazione dei servizi nel cloud (77%).
Il 78% delle PMI intervistate ha espresso una forte preoccupazione per gli attacchi da parte di Stati nazionali a causa del conflitto in Ucraina. Si veda la ricerca ESET sugli attacchi wiper in corso che hanno un impatto sulle catene di fornitura in Ucraina.
Intrappolati tra un basso livello di fiducia e un posto difficile
Guardando più in dettaglio, le tre principali sfide (specifiche) per la cybersecurity delle PMI intervistate sono: stare al passo con le ultime minacce alla sicurezza digitale (54%), stare al passo con gli approcci e le tecnologie più recenti (50%) e mancanza di investimenti nella cybersecurity (49%). Altre preoccupazioni riguardano la mancanza di competenze, i team sovraccarichi di lavoro, la stanchezza da allerta e la mancanza di supporto da parte della leadership.
"Stare al passo", per alcuni, significa saper affrontare in modo pratico le preoccupazioni relative a malware, attacchi basati sul web, ransomware, problemi di sicurezza di terze parti e vulnerabilità software critiche o di elevata gravità. Più della metà è preoccupata per il protocollo RDP (Remote Desktop Protocol), gli attacchi DDoS (Distributed Denial-of-Service), la compromissione delle e-mail aziendali (BEC), i problemi di cloud computing e gli attacchi alla catena di approvvigionamento.
E, sebbene poche di queste minacce alla sicurezza siano specifiche del loro segmento, il 74% delle PMI ritiene che le aziende delle loro dimensioni siano più vulnerabili ai cyberattacchi rispetto alle imprese. Senza mezzi termini, le preoccupazioni delle PMI per la perdita di dati, l'impatto finanziario e la perdita di fiducia dei clienti riflettono la loro mancanza di capacità di mitigare simultaneamente queste sfide mantenendo lo slancio sulle competenze aziendali principali.
Risultato a sorpresa: Nonostante i rischi per la sicurezza, il 77% dichiara che continuerà a utilizzare il protocollo RDP (Remote Desktop Protocol). Ecco ulteriori informazioni sulle minacce provenienti da RDP.
Meno di un terzo degli intervistati è MOLTO fiducioso in qualsiasi area della cybersecurity, comprese le conoscenze di cybersecurity del team IT (32%), la velocità di identificazione, isolamento e risposta a una minaccia (30%) e l'accesso a esperti di terze parti (29%).
Sempre pronti per le attività successive alle violazioni
La fortuna raramente regge per sempre e la nostra indagine dimostra che circa due terzi degli intervistati hanno sperimentato o agito in seguito a indizi di violazioni della sicurezza. In genere ci vogliono settimane per risolverle, con costi significativi per le PMI. (In media, le PMI stimano che il COSTO TOTALE per le loro organizzazioni sostenuto da queste violazioni sia l'equivalente di 219.000 euro).
In seguito alle violazioni, le PMI possono investire in formazione, effettuare audit o acquistare nuovi strumenti di sicurezza informatica. In generale, ciò significa adottare misure per rendere più rigidi gli strumenti di accesso remoto, in particolare per proteggere i login con l'autenticazione multifattoriale (50%), limitarne l'uso alle sole VPN aziendali (50%) e mantenere aggiornati gli strumenti di accesso remoto (49%).
La situazione è preoccupante: solo il 27% degli intervistati ha dichiarato di aver condotto audit di cybersecurity negli ultimi sei mesi e il 33% negli ultimi 12 mesi. Nelle organizzazioni in cui sono stati condotti audit di cybersecurity negli ultimi due anni, il 52% ha fatto ricorso a società di sicurezza informatica esterne/fornitori di servizi gestiti (MSP), mentre il 40% ha condotto gli audit autonomamente e l'8% ha fatto entrambe le cose.
Siamo tutti coinvolti
Sebbene gli approcci adottati siano ancora divisi, l'85% delle PMI afferma che tutti i membri delle loro catene di fornitura hanno la responsabilità di migliorare la loro resilienza informatica, ma la maggior parte esprime anche la preoccupazione che la mancanza di investimenti nella cybersecurity possa compromettere gli altri membri delle loro catene di fornitura. In definitiva, una cybersecurity efficace è vista come qualcosa che fornisce alle aziende la fiducia necessaria per crescere e innovare.
Seguite la nostra serie mentre esploriamo ulteriormente il 2022 ESET SMB Digital Security Sentiment Report. Possiamo già essere certi che le PMI sono consapevoli del fatto che le loro aziende e le loro catene di fornitura globali dipendono dal continuo miglioramento della loro sicurezza. Per saperne di più su come le PMI vedono il panorama della sicurezza che le circonda, leggete il nostro 2022 SMB Digital Security Sentiment Report.
Per ulteriori informazioni, visitate qui:
Consigli di sopravvivenza alla sicurezza informatica per le piccole imprese
Risorse di cybersecurity del NIST per le piccole imprese
Piccole e medie imprese: Grandi obiettivi per gli attacchi ransomware
Date un'occhiata al nostro ecosistema ESET Protect, con tecnologie di sicurezza potenti e scalabili che coprono un ampio spettro di esigenze di sicurezza.