Gli attacchi più costosi sono quelli che colpiscono i fornitori esterni. L'indagine di Kaspersky

Kaspersky ha pubblicato l'ultima edizione del report annuale IT Security Economics 2021: Managing the trend of growing IT complexity in cui vengono analizzati gli attacchi informatici subiti dalle aziende. La ricerca ha messo in evidenza che questi incidenti informatici colpiscono le aziende tramite i fornitori con cui collaborano, con un'impatto economico medio che ammonta a circa 2 milioni di dollari.

Il 28% delle grandi aziende europee ha subito attacchi attaverso i fornitori

I dati aziendali infatti vengono generalmente condivisi con più terze parti che includono service provider, partner, fornitori e filiali. Le aziende devono considerare non solo i rischi di sicurezza informatica che interessano la loro infrastruttura IT, ma anche quelli che possono provenire dall'esterno. Secondo la ricerca di Kaspersky, un terzo (28%) delle grandi aziende europee ha subito attacchi che coinvolgevano dati condivisi con i fornitori. La percentuale è in linea con il report del 2020 (si parla di un 29%) e l'impatto finanziario è più o meno lo stesso dell'anno scorso, con una stima che si aggira sui 2 milioni di dollari.

Per quanto riguarda le altre tipologie di attacco, l'impatto economico sembra essere inferiore: la perdita fisica di dispositivi di proprietà dell'azienda si aggira su 1,3 milioni di dollari, così come quella relativa agli attacchi di cryptomining (1,3 milioni di dollari) o all'uso inappropriato delle risorse IT da parte dei dipendenti (1,3 milioni di dollari). In generale, l'impatto economico medio di un attacco a un'impresa europea è aumentato: da 839 mila dollari nel 2020 si è passati a 1,1 milioni di dollari nel 2021. A livello globale, invece, è diminuito: da 1,09 milioni di dollari nel 2020 si è passati a 927.000 dollari nel 2021. Questo calo globale può essere spiegato con gli investimenti realizzati dalle imprese per prevenire qualsiasi tipo di attacco, e anche dalla minor propensione delle aziende a segnalare le violazioni dei dati, con il 41% che è riuscito a evitarlo contro al 33% nel 2020. 

Evgeniya Naumova, Executive VP, Corporate Business di Kaspersky, ha così commentato: "Nel momento in cui le organizzazioni valutano le esigenze di sicurezza informatica per la loro attività dovrebbero prendere in considerazione il rischio di una violazione che coinvolge i dati condivisi con i fornitori, soprattutto tenuto conto la gravità delle conseguenze. La pandemia ha cambiato il panorama delle minacce e le organizzazioni dovrebbero essere pronte ad adattarsi. Le aziende dovrebbero classificare i propri fornitori in base al tipo di lavoro che svolgono e alla complessità dell'accesso che ricevono (se trattano dati e infrastrutture sensibili o meno) e applicare i requisiti di sicurezza di conseguenza. Le aziende dovrebbero condividere i dati solo con terze parti affidabili ed estendere i propri requisiti di sicurezza ai fornitori. Questo vuol dire che nel caso di trasferimento di dati o informazioni sensibili andrebbe richiesta ai fornitori tutta la documentazione e le certificazioni (come SOC 2) in modo da confermare il livello di condivisione che può essere messo in atto. In casi molto delicati, consigliamo inoltre di condurre un audit di conformità preliminare di un fornitore prima di firmare qualsiasi contratto".

Il report completo IT Security Economics 2021: Managing the trend of growing IT complexity è disponibile a questo link.