Le linee strategiche di Gartner nella cybersecurity

Come si sta trasformando la sicurezza informatica? Domanda complessa, che non può avere una risposta semplice: stanno cambiando le tecnologie, ma anche le strategie adottate dalle aziende, così come il panorama legislativo. Non è facile immaginare esattamente che cosa accadrà domani, perché la cybersicurezza dovrà adattarsi alle evoluzioni del panorama del rischio informatico, che sono imprevedibili. Ma c’è qualcuno che ha tentato di fare delle previsioni ed è l’autorevole Gartner, una tra le principali società di consulenza e analisi del settore digitale.

Nello scenario di breve-medio termine immaginato aleggia un’inquietante domanda, ovvero: come possiamo essere sicuri che gli attacchi informatici non facciano del male, materialmente, alle persone? In effetti, purtroppo non possiamo, ma dovremo attrezzarci per questa sempre più probabile evenienza. La proliferazione dei sistemi cosiddetti “cyber-fisici” — come i sistemi Scada, gli oggetti Internet of Things, i digital twin e i veicoli a guida automatizzata — rappresenta una golosa occasione per i criminali e un rischio per la società. Vediamo e commentiamo insieme questa e altre tendenze previste dagli analisti per i prossimi anni.

Le leggi sulla privacy

Entro la fine del 2023, leggi sulla protezione dei dati di recente applicazione regolamenteranno l’uso delle informazioni personali di oltre i tre quarti della popolazione mondiale. Il Gdpr (General Data Protection Regulation) entrato in vigore nei Paesi Ue nel 2018 ha tracciato la via, imponendo misure maggiormente tutelanti per i consumatori e multe più salate per chi non soddisfa la compliance. Al Gdpr si sono affiancati una simile legge di protezione dei dati personali varata in Brasile e il California Consumer Privacy Act.

Le architetture mesh

Nel giro di due o tre anni, secondo gli analisti, si vedranno chiaramente gli effetti dell’adozione di approcci di cybersecurity mesh, cioè basati su architetture informatiche distribuite. “Il cybersecurity mesh”, scrive Gartner, “si estende a coprire le identità che stanno fuori dal tradizionale perimetro di sicurezza e crea una visione olistica dell’organizzazione. Aiuta, inoltre, a migliorare la sicurezza per il lavoro da remoto”. Il cuore della previsione è che entro il 2024 le aziende dotate di un’architettura di sicurezza mesh ridurranno del 90%, in media, l’impatto degli incidenti informatici.

Il consolidamento dei fornitori SaaS

Numerose indagini sul tema testimoniano il problema della proliferazione delle tecnologie di diversi fornitori: le aziende si trovano a spesso a dover gestire un numero eccessivo di soluzioni non integrate fra loro. Ma assisteremo a una parziale inversione di tendenza. Secondo Gartner, entro il 2040 il 30% delle aziende avrà un unico vendor fornitore di soluzioni cloud di tipo Secure Web Gateway, Cloud Access Security Brokers, Zero Trust Network Access e Firewall as a Service. Si imporrà ancor di più il modello Software-as-a-Service (SaaS), che prevede la fruizione di un’applicazione in abbonamento e senza costi hardware.

L’analisi del cyber risk per valutare le altre aziende

Sempre più, secondo gli analisti, le aziende eseguiranno analisi del rischio cyber di società terze per valutare l’opportunità di contratti di vendita, fornitura, partnership, acquisizioni, fusioni o altri tipi di accordo societario o commerciale. In un orizzonte temporale di medio termine, entro il 2025, il 60% delle aziende userà il rischio cyber come principale criterio di decisione in tutte queste attività (cosa che d’altra parte già oggi fanno le società d’investimento).

Le leggi nazionali sui ransomware

La lotta ai ransomware (gli attacchi “ricattatori” che bloccano e cifrano dati per chiedere un riscatto) impegna oggi molti governi, tra cui per esplicite dichiarazioni di Joe Biden anche quello statunitense. Ma attualmente solo l’1% delle nazioni mondiali ha definito delle regole sui pagamenti dei riscatti, su ciò che è lecito fare nelle negoziazioni tra vittime e cybercriminali. Entro la fine del 2025 la percentuale salirà al 30%: non solo entreranno in vigore nuove leggi nazionali più ampie, ma anche multe per chi cederà al pagamento dei riscatti.

Commissioni per la cybersicurezza nel Cda

La cybersicurezza diventerà sempre di più una preoccupazione di prim’ordine per i consigli di amministrazione, ed è verosimile che nascano nelle aziende delle commissioni dedicate, controllate da membri del Cda. Sono necessari, a detta di Gartner, nuovi metodi di reporting per tenere aggiornati i dirigenti aziendali su rischi e azioni da intraprendere.

Una cultura della resilienza

Chissà se la parola resilienza sarà ancora sulla cresta dell’onda tra qualche anno. Dalla previsione di Gartner si intuisce che questo concetto dovrà essere interiorizzato nella cultura delle aziende, le quali dovranno prepararsi in anticipo all’eventualità di eventi drammatici o catastrofici in agguato (inclusi gravi attacchi informatici). Entro il 2050 sette amministratori delegati su dieci imporranno in azienda una cultura di questo tipo.

Proteggere l’incolumità delle persone

Gartner rilancia una sua vecchia previsione: i cyber attacchi si sposteranno sempre di più dai sistemi informatici ai sistemi cyber-fisici, sfruttando le vulnerabilità create dalla convergenza di Information Technology (IT) e Operational Technology (OT). Entro il 2050 i criminali tecnologici avranno imparato a trasformare l’OT in un’arma capace di causare danni materiali. Le aziende dovrebbero focalizzarsi su questi nuovi rischi, predisponendo risorse e personale dedicato.