Cyber Hygiene e NIS 2: La Guida per le Aziende del Settore IT

I rischi del settore IT e la NIS 2

Gli sviluppatori e i distributori di software, così come le aziende che operano nel settore IT, sono fortemente esposti ai rischi cyber. Per tutelare se stessi e i propri clienti devono adottare un piano completo di cyber hygiene. Ma come proteggere i danni che riguardano non solo cose e persone ma anche beni immateriali, dati e perdite finanziarie? Riportiamo alcune informazioni utili tratte da un articolo pubblicato dalla Compagnia Chubb.

NIS 2: La Nuova Frontiera della Sicurezza Informatica

Per affrontare le minacce informatiche sempre più sofisticate e invasive, che hanno registrato un incremento significativo negli ultimi anni, è stata emanata la Direttiva NIS 2 (Direttiva UE 2022/2555). Questa normativa si integra con altre regolamentazioni fondamentali come GDPR, DORA e Cyber Resilience Act, rafforzando il livello di sicurezza informatica all’interno dell’Unione Europea.

NIS 2 (Network and Information Security 2) riguarda tutte le organizzazioni che forniscono servizi identificati come “essenziali” o “importanti per l’economia”. Le società europee nei settori individuati rientrano automaticamente “in perimetro NIS 2”, includendo grandi imprese, medie imprese e, in alcuni casi, anche piccole imprese.

Dover adottare i requisiti NIS 2 rappresenta una sfida considerevole, anche per aziende mediamente strutturate. Non esserne soggetti costituisce certamente un sollievo, ma occorre considerare che tra i requisiti figura l’adozione di misure per la gestione dei rischi, inclusa la sicurezza della catena di fornitura. Questo significa che molte aziende potrebbero trovarsi obbligate a conformarsi per non perdere clienti importanti.

La questione riguarda in particolare tutte le aziende IT e di software. I loro clienti, per risultare conformi alla NIS 2, potrebbero decidere di valutare rigorosamente la sicurezza informatica e la resilienza operativa dei fornitori rilevanti.

Il Settore IT: Una Esposizione Particolare ai Rischi Cyber

Gli sviluppatori e i distributori di software affrontano rischi cyber significativi. La sicurezza informatica rappresenta un’area che richiede attenzione costante ed enorme. Secondo Cybersecurity Ventures, i costi della criminalità informatica previsti su scala mondiale raggiungeranno 10,5 trilioni di dollari all’anno entro il 2025.

Le aziende del settore Information Technology risultano particolarmente esposte a tali rischi. Il loro ruolo di software e service provider le rende un potenziale veicolo per la diffusione di malware o ransomware a molteplici aziende con un solo attacco.

Richiedi una consulenza specialistica – Compila il modulo Contattaci

Esposizioni Comuni nel Settore IT

Le aziende del settore IT affrontano due rischi principali, estremamente interconnessi: gli attacchi ai propri sistemi e gli attacchi che colpiscono i clienti.

Un attacco informatico a uno sviluppatore o a un distributore di software può tradursi nel furto di dati riservati. Questi dati potrebbero essere utilizzati in modo improprio dagli hacker per accedere direttamente ai sistemi di un cliente. In caso di attacco ransomware, un’azienda del settore IT potrebbe non essere in grado di fornire servizi di supporto cruciali per i clienti.

Esiste inoltre il rischio che i clienti acquistino inconsapevolmente software compromessi da malware di tipo “backdoor”, agevolando così un attacco a centinaia o migliaia di aziende.

Le conseguenze finanziarie e reputazionali per le aziende operanti nel settore Information Technology possono rivelarsi immense. La preoccupazione dei clienti potrebbe spingerli a rivolgersi alla concorrenza, con forti ripercussioni sui profitti.

Trend Emergenti nel Panorama Cyber

Quali sono le tendenze riscontrate oggi dagli assicuratori?

Poiché le aziende migliorano progressivamente i propri livelli di protezione, i criminali informatici puntano sempre di più a colpire venditori e fornitori:

• In quanto “intermediari”, i fornitori di servizi gestiti (Managed Service Provider) sono esposti a rischi informatici concreti. L’espansione costante di questo segmento è accompagnata da un incremento dei sinistri.
• Anche i sistemi Platform as a Service (PaaS) e Software as a Service (SaaS) risultano più esposti. Il profilo di rischio è aumentato notevolmente con l’allontanamento dalle soluzioni software on-premise a favore di modelli basati su piattaforme o sul cloud.
• Un’altra area di rischio emergente riguarda il Duty of Care. Nell’ambito di una relazione tra fornitore e cliente, generalmente una società che opera nel settore IT è considerata l’esperto. Spesso le sue responsabilità vanno oltre il contratto scritto e quindi i rischi connessi alla responsabilità possono moltiplicarsi.

Come Mitigare i Rischi attraverso una Buona Cyber Hygiene

Analizziamo le best practice per le aziende del settore IT in base a quattro azioni fondamentali: identificare, prevenire, individuare e reagire.

1. Puoi identificare i rischi a cui la tua azienda e i tuoi clienti sono esposti?
   • La definizione dei rischi cyber dipende da un’efficace gestione del rischio.
   • Le aziende del settore IT devono identificare con esattezza i prodotti e i servizi che forniscono, valutando cosa può potenzialmente tradursi in un rischio. Producono software o si limitano a distribuirli? Sono un Managed Service Provider? Memorizzano password per i clienti? Un Sistema di gestione per la sicurezza delle informazioni (ISMS) consente alle aziende di determinare tali dati.
2. Sai cosa fare per prevenire i rischi una volta identificati?
   • Per fermare gli attacchi informatici occorrono, come minimo, misure standard di cyber hygiene: autenticazione a più fattori; adeguata formazione per il personale; firewall; scansione delle e-mail di phishing e filtraggio dei siti web; test continui dei backup e loro archiviazione offline; particolare attenzione alla crittografia delle password e degli altri dati; presenza di un responsabile della sicurezza informatica dedicato.
   • Le aziende del settore IT dovrebbero mettere in atto le migliori best practice possibili, considerando il rischio di rilevanti perdite causate da eventi di ampia portata e le accresciute responsabilità connesse al Duty of Care. Necessitano di un sistema di gestione degli accessi privilegiati (Privileged Access Management – PAM), che preserva le identità con accessi privilegiati o funzionalità supplementari rispetto a quelle degli utenti comuni. Questo risulta particolarmente importante per i Managed Service Provider, dove molti utenti hanno bisogno di accedere a più programmi attraverso un pacchetto software centrale.
   • Prevenire non significa solo adottare misure di prevenzione tecnica, bensì anche comunicare adeguatamente e stabilire accordi contrattuali sul livello di servizio e sulla protezione dei dati. Una società operante nel settore IT ha il dovere di avvertire e istruire i clienti sul livello di protezione potenzialmente scarso di un particolare ambiente. I clienti dovrebbero essere informati per iscritto e, per tutelarsi dal punto di vista della responsabilità, il processo andrebbe documentato.
3. Sono presenti misure efficaci per l’individuazione delle violazioni?
   • I software di monitoraggio e rilevamento, quali EDR (Endpoint Detection and Response), sono imprescindibili per le aziende operanti nel settore IT, come anche i firewall efficaci e i sistemi di monitoraggio della rete, tenuti sotto osservazione 24/7 da un centro operativo di sicurezza interno o esterno. Nel momento in cui un hacker entra in un sistema, risulta fondamentale scoprirlo in tempo.
4. Esiste un piano chiaro su come reagire in caso di attacco?
   • Uno degli aspetti più cruciali per le aziende nella gestione degli attacchi cyber è la presenza di un piano di incident response ben definito. Un’attenta pianificazione anticipata permette alle aziende di reagire in modo idoneo e tempestivamente in caso di attacco. Per le società di software, questo piano va ben oltre il proprio ambiente e dovrebbe includere una procedura di comunicazione con i clienti e di gestione delle crisi.
   • In caso di violazione dei sistemi IT, le aziende devono garantire che i sistemi siano sicuri e che il ripristino delle loro funzionalità avvenga il prima possibile, oltre alla capacità di assistere i clienti in modo competente nel lasso di tempo intermedio.
   • Il futuro dei rischi cyber nell’era del digitale può intimidire, ma la mancata adozione di misure preventive per proteggere la propria azienda equivale a lasciare costantemente spalancata la porta di casa sperando che nessuno rubi niente. In un’ottica aziendale, ha molto più senso formarsi sul tema della cyber hygiene e predisporre misure adeguate per proteggere la propria attività e i propri clienti.

Fonte: Chubb – Il rischio informatico per il settore IT

La Soluzione Chubb per chi Opera nel Settore ICT

Le aziende che operano nel settore IT sono esposte a danni che riguardano non solo cose e persone ma anche beni immateriali, dati e perdite finanziarie.

Da Chubb arriva una soluzione innovativa: la polizza MULTIRISCHI TECHNOLOGY, una copertura completa che offre servizi e garanzie assicurative in un’unica polizza, proteggendo sia dai danni propri che dai danni a terzi.

Le Garanzie Chiave della Polizza Multirischi Technology

• RC Professionale (Errors & Omissions): Indennizza le perdite economiche subite dai terzi a causa di errori nella progettazione del software o ritardi nella fornitura di servizi critici.
• Cyber Incident Response: In caso di attacco, la polizza mette a disposizione un team di specialisti per l’investigazione forense, il recupero dei dati e la gestione legale delle notifiche al Garante Privacy.
• Interruzione di Esercizio: Protegge il margine di profitto dell’azienda IT se un attacco cyber impedisce l’erogazione dei propri servizi.

Richiedi una consulenza specialistica – Compila il modulo Contattaci

Duty of Care e Comunicazione Contrattuale

Un aspetto spesso trascurato riguarda la comunicazione formale. Un’azienda IT ha il dovere deontologico e legale di avvertire i clienti su eventuali vulnerabilità riscontrate. Se un cliente decide di non adottare una misura di sicurezza consigliata, il fornitore deve documentare tale rifiuto per iscritto. Questo processo risulta vitale per tutelarsi in sede giudiziaria contro richieste di risarcimento milionarie.

La Sicurezza come Vantaggio Competitivo

Investire in Cyber Hygiene e in una polizza specializzata come Chubb Multirischi Technology non rappresenta solo un costo, ma un investimento sulla reputazione. In un mercato dove i clienti sono sempre più informati e preoccupati dai rischi cyber, essere in grado di dimostrare solidità e protezione garantita diventa la leva principale per acquisire nuovi contratti e consolidare quelli esistenti.

Non lasciare la porta della tua azienda spalancata. La sicurezza informatica rappresenta oggi un fattore decisivo per la continuità del business e la fiducia dei clienti.

Pico Adviser: dal 1992, il partner strategico per il rischio tecnologico delle imprese italiane.

Per ottenere un preventivo personalizzato compila il modulo Contattaci