Negli ultimi anni, i costi del cybercrime sono aumentati esponenzialmente: rispetto al 2016 sono cresciuti del 23%, registrando un +62% se confrontati con cinque anni fa.
Secondo un nuovo studio pubblicato oggi da Accenture e dal Ponemon Institute, nel 2017 il costo medio dei crimini informatici ha raggiunto gli 11,7 milioni di dollari per azienda, con un aumento del 23% rispetto ai 9,5 milioni di dollari registrati nel 2016 e del 62% nell’ultimo quinquennio. Confrontando i diversi paesi analizzati, le aziende statunitensi sostengono il costo medio più alto pari a 21,22 milioni di dollari, mentre la Germania evidenzia la crescita più significativa con un costo medio che è passato da 7,84 a 11,15 milioni di dollari. Questo rapido incremento è il risultato della recente serie di attacchi malware divenuti tristemente famosi, come WannaCry e Petya, che sono costati a diverse aziende globali centinaia di milioni di dollari in mancati ricavi.
Ad oggi, i cyber-attacchi stanno costando a ogni azienda nel mondo una media di 11,7 milioni di dollari all’anno; il primato per i danni più onerosi spetta agli Usa (21,22 milioni di dollari), mentre in Italia il costo del cybercrime è di 6,73 milioni di dollari.
Sono questi i principali risultati dello studio Accenture “Cost of Cyber Crime Study”, pubblicato in occasione dell’apertura di CyberTech Europe 2017: un evento di due giorni (Roma, 26 e 27 settembre) in cui i massimi esperti mondiali di security si confronteranno sulle tecnologie più all’avanguardia e sulle ultime innovazioni del settore.
Lo studio ha coinvolto 2.182 professionisti informatici ed esperti di sicurezza in 254 aziende in tutto il mondo, dal 2009, anno in cui il Ponemon Institute ha avviato lo studio, il numero degli attacchi informatici non ha mostrato segni di rallentamento. Tra i risultati principali dello studio emerge che:
- In media un’azienda subisce 130 violazioni all’anno, con un aumento del 27,4% rispetto al 2016 e con un valore quasi doppio rispetto al numero di attacchi informatici dell’ultimo quinquennio. Le violazioni sono intese come infiltrazioni nella rete o nei sistemi aziendali.
- Le aziende dei settori finanziario e dell’energia sono le più colpite, con un costo medio annuo rispettivamente pari a 18,28 e 17,20 milioni di dollari.
- Aumenti analoghi si rilevano anche nel tempo necessario per risolvere i problemi causati dagli attacchi. Tra le violazioni che richiedono un maggiore tempo di intervento figurano quelle portate a termine da attaccanti interni, che vengono contenute in media in 50 giorni, mentre il ransomware richiede in media 23 giorni.
- I malware e gli attacchi web sono i due tipi di violazioni che comportano i maggiori costi, con spese per le aziende rispettivamente pari a 2,4 e 2 milioni di dollari.
In media ogni impresa subisce 130 violazioni all’anno e le società dei settori dei servizi finanziari e dell’energia sono le più colpite, con un costo medio annuo rispettivamente pari a 18,28 e 17,20 milioni di dollari. Cresce anche il tempo necessario per risolvere le criticità: per rimediare alle violazioni messe in atto da aggressori interni sono necessari in media 50 giorni, mentre i ransomware richiedono in media più di 23 giorni.
Eppure, le nuove tecnologie di sicurezza permetterebbero di prevedere gli attacchi e limitare i costi, ma sembra che le imprese investano in modo sbilanciato nelle varie tecnologie di security, concentrandosi spesso sulla pura compliance e tralasciando le soluzioni più innovative.
“Le conseguenze sempre più costose e devastanti che le aziende subiscono a causa dei crimini informatici sottolineano l’importanza crescente di una pianificazione strategica e un monitoraggio costante degli investimenti in sicurezza. Come evidenzia lo studio, investire nell’innovazione può fare la vera differenza nella lotta al cyber crime – ha dichiarato Kelly Bissell, Managing Director di Accenture Security – I criminali informatici sono sempre più determinati e utilizzano mezzi sempre più sofisticati. E’ quindi necessario che le organizzazioni adottino una strategia di sicurezza dinamica e agile, che costruisca resilienza dall’interno e non si focalizzi sulla difesa del perimetro. Occorre inoltre un approccio che sia specifico per ciascun settore e che tuteli l’intera catena del valore dell’azienda”.
L’allocazione di spesa per la sicurezza non è bilanciata
Delle nove tecnologie di sicurezza prese in esame dallo studio, la percentuale di spesa maggiore è stata destinata ad avanzati controlli perimetrali; tuttavia, le aziende che hanno utilizzato queste soluzioni hanno realizzato risparmi di costi operativi pari a solo 1 milione di dollari, derivanti dall’identificazione e dalla risoluzione di attacchi informatici. Questo dato fa ipotizzare un impiego inefficace delle risorse. Una delle categorie più incisive nella riduzione delle perdite per reati informatici è quella dei sistemi di security intelligence, definiti come strumenti che raccolgono informazioni da diverse fonti e aiutano l’azienda a identificare e dare un ordine di priorità alle minacce interne ed esterne. Questi sistemi hanno consentito risparmi consistenti pari a 2,8 milioni di dollari, l’importo maggiore rispetto a tutti gli altri tipi di tecnologia analizzati in questo studio. Le tecnologie di automazione, orchestrazione e di machine learning sono state impiegate solo dal 28% delle aziende, il valore più basso tra le tecnologie analizzate. Eppure, con 2,2 milioni di dollari, hanno registrato il terzo maggior valore di risparmio tra le tecnologie di sicurezza in generale.
L’impatto economico degli attacchi informatici è in netta crescita
I ricercatori hanno preso in considerazione le quattro principali conseguenze di un attacco informatico: interruzione delle attività, perdita di informazioni, perdita di ricavi e danni alle infrastrutture. Oggi, l’effetto più dannoso si riscontra nella perdita di informazioni, menzionata dal 43% delle organizzazioni intervistate. Di contro, i costi legati all’interruzione dell’attività – quali ad esempio quelli relativi a malfunzionamenti dei processi aziendali – è sceso dal 39% nel 2015 al 33% registrato nello studio di quest’anno.
“La base di un piano di sicurezza forte ed efficace è identificare e rafforzare gli asset di maggior valore – ha detto Larry Ponemon, presidente e fondatore del Ponemon Institute – E’ vero che sono stati compiuti progressi costanti nel miglioramento delle difese informatiche, ma una migliore comprensione dei costi del cyber crime potrebbe aiutare le aziende a colmare il divario tra le proprie vulnerabilità e la crescita numerica e qualitativa dei criminali informatici”.
I costi medi per azienda variano molto da paese a paese e dal tipo di attacco
Con 5,41 milioni di dollari, l’Australia fa registrare il costo medio più basso in seguito ad attacchi informatici, mentre il Regno Unito ha evidenziato la variazione minore nel corso dell’ultimo anno, passando da 7,21 a 8,74 milioni di dollari. Il Giappone ha visto un aumento del 22% dei costi che hanno raggiunto 10,45 milioni di dollari, il terzo maggiore aumento tra i paesi oggetto dell’indagine.
I costi variano notevolmente anche a seconda del tipo di attacco informatico. Le società statunitensi spendono di più per risolvere gli attacchi informatici di ogni tipo, in particolare quelli da malware e quelli web (rispettivamente 3,82 e 3,40 milioni di dollari per attacco). Per le aziende tedesche e australiane, il 23% dei costi complessivi annui per incidenti informatici è relativo ad attacchi malware. In Francia, il 20% dei costi complessivi annui è riconducibile ad attacchi basati sul web. Gli attacchi di tipo denial of service rappresentano il 15% dei costi annui complessivi per reati informatici tanto in Germania quanto nel Regno Unito.
Cosa fare per aumentare l’efficacia delle misure di cybersecurity
Compiendo le azioni sotto descritte, le aziende possono ulteriormente migliorare l’efficacia delle proprie misure di cybersecurity per respingere i reati informatici e limitarne i danni:
- Costruire la sicurezza informatica partendo da fondamenta solide: investire in eccellenti strumenti di base, come sistemi di security intelligence e sistemi avanzati di gestione degli accessi, riconoscendo al contempo la necessità di innovare per tenere testa agli hacker.
- Eseguire pressure test estremi: per potenziare il proprio profilo di sicurezza bisogna andare oltre la semplice compliance, conducendo pressure test che identifichino, più di quanto non possa fare l’hacker più motivato, i punti deboli delle aziende.
- Investire in tecnologie all’avanguardia: bilanciare la spesa guardando alle nuove tecnologie disponibili, in particolare agli analytics e all’intelligenza artificiale, per potenziare l’efficacia e il valore del programma di sicurezza.
Per ulteriori informazioni sugli investimenti di sicurezza che possono aiutare le aziende ad affrontare le minacce informatiche in modo efficace, visitate accenture.com/-insights-and-innovation.