Nessun sistema informatico è protetto al 100 percento contro gli attacchi degli hacker. Le piccole e medie imprese sono spesso il bersaglio perfetto, perché dispongono di minori risorse finanziarie o umane rispetto alle grandi aziende e sono meno in grado di proteggersi. Tuttavia, come dimostra la retrospettiva annuale degli attacchi hacker della NZZ, anche le grandi aziende, e persino la Confederazione, non sono immuni da attacchi: nel giugno 2023, ad esempio, durante la visita del Presidente ucraino Volodymyr Zelensky, sono stati paralizzati i siti web del Parlamento, della Posta, delle FFS, del Dipartimento federale di giustizia e polizia (DFGP) e delle città di Zurigo, Losanna, San Gallo, Montreux e Sciaffusa. A marzo 2023, la stessa NZZ è stata vittima di un attacco. I criminali informatici hanno rubato dati riservati, criptato file e ricattato l’editore. L’articolo «Hacker criminali attaccano e ricattano la NZZ: verbale di una crisi» (in tedesco) descrive chiaramente come funziona un attacco informatico e quanto possono essere gravi le conseguenze.
Ogni settimana, l’Ufficio federale della cibersicurezza (UFCS) riceve da diverse centinaia a 2’000 segnalazioni di incidenti informatici. Tutti sono a rischio: governi, infrastrutture critiche come fornitori di energia o ospedali, imprese statali e gruppi industriali. Ma anche le piccole e medie imprese. Le PMI devono pertanto prepararsi agli attacchi dal punto di vista tecnico-organizzativo, sensibilizzare il loro personale in merito ai temi della sicurezza IT e della protezione dei dati e potenziare la propria resilienza informatica. In psicologia, per resilienza si intende la capacità di far fronte a situazioni difficili della vita senza farsi travolgere. Nell’ambito della sicurezza informatica, la resilienza è la capacità di proteggersi dagli attacchi informatici, di riconoscerli, reagirvi prontamente e riprendersi in tempi rapidi dai loro effetti.
I criminali informatici sono costantemente impegnati a sviluppare nuovi metodi e a perfezionarli. Ecco le varianti di attacco più comuni.
Quando sono in gioco la sicurezza IT e la protezione dei dati, il tutto è più della somma delle singole parti. Backup periodici, l’uso di un firewall e un antivirus aggiornato sono senz’altro utili, ma non bastano da soli a proteggere il sistema IT e i dati. Per questo, a prescindere dalle loro dimensioni, le aziende necessitano di una strategia globale. Alla base della strategia vi sono la valutazione e la gestione dei rischi, misure di protezione tecnico-organizzative, la formazione e la sensibilizzazione del personale, la preparazione alle emergenze e un piano di emergenza.
Per avere sotto controllo i rischi, è necessario conoscerli. Tramite una strategia di valutazione dei rischi, le aziende possono identificare i rischi potenziali e ricavarne misure adeguate a ridurli al minimo. Di seguito sono illustrati i tre elementi più importanti di un’efficace strategia di valutazione dei rischi.
Grazie all’app gratuita Zurich Risk Advisor App per dispositivi Android o iOS, le imprese possono valutare autonomamente i propri rischi informatici. Oltre a identificare e a valutare i rischi, l’app multilingue raccomanda apposite contromisure.
Le aziende che vogliono proteggere efficacemente i loro dati e sistemi IT devono rivedere il proprio approccio alla sicurezza informatica e alla protezione dei dati, aggiornare i processi e introdurre strumenti adeguati.
A pagina 8 del nostro opuscolo «Cyber assicurazione», illustriamo in dettaglio gli otto consigli su come attrezzarsi e ridurre al minimo i rischi.
Il principale punto debole di qualsiasi piano di sicurezza IT è l’elemento umano. I criminali informatici sfruttano questo aspetto attraverso il social engineering (vedi «Come i criminali informatici attaccano le PMI»). Le aziende devono quindi sensibilizzare il proprio personale su temi quali il phishing, le password e la navigazione sicura. Una formazione regolare, linee guida chiare e processi semplici permettono di sviluppare una cultura della sicurezza in tutta l’azienda e promuovono un senso di responsabilità condiviso. Poiché la sicurezza dell’IT e dei dati è competenza dei vertici, la Direzione, i membri della Direzione e tutti i superiori devono dare il buon esempio, sottolineando l’importanza della sicurezza IT e della protezione dei dati in azienda attraverso il loro comportamento
Le piccole e medie imprese che stipulano una Cyber assicurazione con Zurich ricevono gratuitamente una formazione di sensibilizzazione per un massimo di 100 collaboratori e collaboratrici, compresa una simulazione di phishing.
Prevenire è meglio che curare, e certamente è anche più economico. Nel migliore dei casi, un guasto prolungato dei sistemi IT costa «solo» denaro; nel peggiore dei casi, può costare l’esistenza dell’azienda. Ogni PMI necessita quindi di un piano di emergenza IT per essere meglio preparata agli attacchi informatici. Il piano di emergenza IT ...
In Svizzera, il trattamento e la protezione dei dati personali sono regolamentati dalla Legge federale sulla protezione dei dati (LPD) e dal Regolamento generale sulla protezione dei dati (RGPD) dell’Unione europea. Le leggi stabiliscono come possono essere trattati i dati personali e come gli stessi, e quindi la privacy, debbano essere protetti. Le aziende che violano la LPD rischiano di essere punite con multe fino a 250’000 franchi svizzeri. Tuttavia, il danno in termini di reputazione e fiducia è spesso più grave e in molti casi può mettere a repentaglio l’esistenza stessa dell’azienda. Le aziende che desiderano tutelarsi da violazioni della LPD o del RGPD devono introdurre delle best practice per il Compliance Management con idonei meccanismi di controllo, linee guida e procedure.
Zurich Resilience Solution e aiuta le grandi aziende a rafforzare la loro resilienza informatica. Il piano globale si basa sulla prevenzione e sulla protezione dai rischi finanziari. Le soluzioni coprono tutti gli aspetti importanti della sicurezza IT e della protezione dei dati. Zurich Resilience Solutions ...
