Lo scenario
ll Rapporto Clusit, aggiornato a ottobre 2024, conferma ed evidenzia una crescita preoccupante degli attacchi informatici, sia a livello globale che in Italia. Nel primo semestre del 2024, il numero di attacchi globali è aumentato del 23%, con una media di nove attacchi gravi al giorno. In Italia, si è registrato un incremento del 65% rispetto al 2023, posizionando il Paese come uno dei più colpiti a livello mondiale, con il 7,6% degli attacchi globali concentrati su settori strategici come sanità e manifattura.
- Cybercrime: Il 71% degli attacchi in Italia è motivato da guadagni economici, mentre l’hacktivism rappresenta il 29%, un dato superiore rispetto al resto del mondo
- Tecniche di attacco: I malware, in particolare i ransomware, sono la principale minaccia, responsabili del 51% degli attacchi in Italia, seguiti dallo sfruttamento di vulnerabilità e phishing
- Settori più colpiti: In Italia, il settore manifatturiero è il più bersagliato, seguito dal sanitario, che ha visto un aumento degli attacchi dell’83% rispetto all’anno precedente
Compliance
Dal punto di vista legislativo, numerose normative europee e italiane impongono obblighi specifici riguardanti la formazione e la sensibilizzazione dei dipendenti sulla sicurezza informatica, cui si aggiungono gli standard tecnici del settore che hanno un impatto significativo sugli aspetti organizzativi
- Direttiva NIS2: richiede alle aziende di settori essenziali di adottare misure di sicurezza, inclusi programmi di formazione per il personale. Gli obblighi riguardano sia l’organizzazione di corsi periodici sia l’implementazione di strategie per la gestione dei rischi informatici;
- Cyber Security Act (Regolamento UE 2019/881) e DORA (Digital Operational Resilience Act): Entrambi i regolamenti rafforzano l’importanza della resilienza informatica e impongono la formazione continua in materia di cybersecurity per mitigare i rischi operativi;
- GDPR (Regolamento UE 2016/679): Oltre alla protezione dei dati personali, il GDPR prevede la formazione dei dipendenti per prevenire violazioni che potrebbero derivare da comportamenti negligenti;
- Decreto Legislativo 231/2001: In Italia, questo decreto include anche reati informatici, e le aziende devono dimostrare di aver adottato misure adeguate, come la formazione del personale, per evitare sanzioni e responsabilità amministrative;
Formazione e Consapevolezza
La formazione periodica e la sensibilizzazione a rischio, seppur obbligatoria per i dipendenti e i dirigenti, in particolare in settori critici come finanza, energia e pubblica amministrazione, rappresenta comunque un elemento fondamentale per la prevenzione di incidenti di sicurezza.
Le aziende dovrebbero organizzare regolarmente corsi che includano moduli su malware, phishing, ingegneria sociale e gestione del rischio, oltre a simulazioni pratiche (phishing & attack simulation), per migliorare la reattività del personale, in termini di prevenzione e risposta cyber
In definitiva, il rispetto delle normative non si limita all’adozione di misure tecniche, ma comprende anche la responsabilizzazione dei dipendenti tramite programmi di awareness, considerati essenziali per garantire la sicurezza aziendale e la compliance legale.
Mirium è impegnata attivamente nella consulenza, formazione e diffusione della cultura della cybersecurity, contattaci per maggiori informazioni.
