Aumentano gli attacchi alla sicurezza informatica e crescono gli investimenti in cyber security, i profili professionali dedicati alla protezione, anche se non abbastanza. È quanto emerge dagli ultimi dati dell’Osservatorio Information Security & Privacy della School of Management del Politecnico di Milano.
Nel 2017 il cyber crime è aumentato in modo incessante e progressivo, con attacchi sempre più frequenti, aggressivi e sofisticati, ma sono cresciute anche l’attenzione delle imprese alla cyber security e le risorse stanziate per prevenire gli attacchi.
Il mercato delle soluzioni di information security in Italia raggiunge un valore di 1,09 miliardi di euro, in crescita del 12% rispetto al 2016. La spesa si concentra prevalentemente fra le grandi imprese (il 78% del totale), trainata dai progetti di adeguamento al General Data Protection Regulation (GDPR), che contribuiscono ad oltre metà della crescita registrata.
In oltre un’impresa italiana su due (il 51%), è in corso un progetto strutturato di adeguamento alla nuova regolamentazione UE in materia di trattamento dei dati personali che diventerà pienamente applicabile a partire dal 25 maggio 2018 (erano appena il 9% un anno fa) e un altro 34% sta analizzando nel dettaglio requisiti e piani di attuazione. Contemporaneamente, cresce al 58% (rispetto al 15% di un anno fa) la percentuale di aziende che hanno già un budget dedicato all’adeguamento al GDPR.
Insieme al mercato cresce la consapevolezza della necessità di un approccio di lungo periodo nella gestione della sicurezza: nel 50% delle imprese è in corso un piano di investimenti pluriennale, anche se ben il 21% dichiara di stanziare un budget in sicurezza solo in caso di necessità. E si definiscono i ruoli nelle organizzazioni: il 39% delle imprese sta inserendo in organico nuovi profili che si occupano di security e il 49% di privacy. Aumentano responsabilità e competenze richieste al Chief Information Security Officer ed emergono figure emergenti come il Security Administrator, il Security Architect, il Security Engineer e il Security Analyst. Il 28% delle imprese ha già in organico o collabora con un Data Protection Officer con il compito di facilitare il rispetto del GDPR.
"Nonostante le minacce aumentino, l’evoluzione del mercato restituisce un quadro tutto sommato ottimistico — Gabriele Faggioli, Responsabile scientifico dell’Osservatorio Information Security & Privacy del Politecnico di Milano —: nelle aziende italiane cresce la consapevolezza dell’importanza della gestione della sicurezza e della privacy, mentre aumentano i budget stanziati. La figura del Chief Information Security Officer sta acquisendo maggior rilevanza rispetto al passato e si assiste a una progressiva strutturazione delle funzioni preposte alla gestione della sicurezza. Il tema della sicurezza e della data protection è diventato ormai prioritario, anche grazie all’attenzione mediatica, e la gestione del rischio cyber inizia ad entrare nelle strategie aziendali. Aumentano le sfide, ma sta mutando anche l’approccio delle organizzazioni con soluzioni sempre più sofisticate”.
Sono le grandi imprese a dividersi la maggior parte della spesa in soluzioni per l’information security (78%). Se si esclude la quota destinata ai progetti di adeguamento al GDPR, la spesa è ancora orientata principalmente alle componenti di sicurezza tradizionali, come la Business Continuity & Disaster Recovery (19%), la Network Security (14%) e Security Testing (9%). Seguono le quote dedicate alle piattaforme di Incident Response (8%), ai sistemi di Identity e Access Management (6%) e alle soluzioni di Data Leakage e Data Loss Prevention (4%). Lo scenario appare diverso se però si osservano le prospettive di spesa per il futuro: le maggiori percentuali di incremento sono previste nel mobile e nel cloud computing, con il 63% delle imprese che dichiara un aumento della spesa dedicata alla protezione dei device mobili (che pesa circa il 4% sulla spesa attuale) e il 59% che definisce in crescita il budget relativo alla protezione degli ambienti di cloud computing (che attualmente copre il 3% della spesa). Seguono la Security Awareness & Training (in crescita per il 56%) e la Cyber Insurance (indicata dal 52%, con una quota attuale di mercato del 2,5%). La metà delle grandi imprese (50%) dedica all’information security piani di investimento pluriennali, in crescita di 11 punti rispetto al 2016, quando erano soltanto il 39%. Fra queste, il 23% inserisce questi investimenti anche nel piano industriale. Il 29% si limita, invece, a prevedere piani di investimento annuali, mentre c’è ancora una fetta consistente di imprese, pari al 21%, che afferma di predisporre un budget per la sicurezza solo in caso di necessità.
Cresce sensibilmente la consapevolezza delle aziende sulla normativa GDPR, applicabile a partire dal 25 maggio 2018. Soltanto l’8% delle imprese, infatti, dichiara una scarsa conoscenza delle implicazioni (contro il 23% di un anno fa), mentre sale dal 9% del 2016 al 51% attuale il numero di aziende in cui è già in corso un progetto strutturato di adeguamento al GDPR. Un’impresa su tre (il 34%) sta invece analizzando i requisiti richiesti e i piani di attuazione possibili. Alla maggiore conoscenza corrisponde anche un deciso incremento delle risorse: il 58% delle aziende ha un budget dedicato all’adeguamento al GDPR, di cui il 35% con orizzonte annuale e il 23% su base pluriennale, mentre erano soltanto il 15% dodici mesi fa (7% pluriennale e 8% annuale). Resta ancora molto elevata, tuttavia, la percentuale di organizzazioni senza un budget dedicato: il 42%, divise fra il 23% che prevede di stanziarle nel corso dei prossimi sei mesi e il restante 19% che non lo ha ancora programmato.