News & Media

Quali sono i costi nascosti delle violazioni di dati?

Articolo a cura di Francesco Teodonno, IBM Security Leader per l’Italia

L’entrata in vigore di normative come il GDPR e di direttive come la NIS sta contribuendo ad elevare il ruolo della cyber security nei processi di digitalizzazione. Mai come ora infatti la cyber security è un elemento di base, di cui tener conto “by-design” tutte le volte in cui una organizzazione affronta temi e progetti relativi all’innovazione, sia che si tratti di innovazione tecnologica, sia di processo che culturale-comportamentale.

È questo un cambiamento molto importante, tanto atteso, nella direzione di una sempre maggiore consapevolezza dei rischi e dei comportamenti da seguire per mitigarli. Rischi che non sono solo rappresentati dai danni materiali,  ma anche da tutta una serie di  costi nascosti che  non sempre vengono valutati.

Un recente studio, il Cost of Data Breach Study del 2018,  sponsorizzato da IBM Security e svolto dal Ponemon Institute, ha evidenziato che il costo medio per la violazione dei dati ammonta globalmente a 3,86 milioni di dollari, con un aumento del 6,4 percento rispetto a quanto rilevato nel 2017. Lo studio, che si basa su colloqui approfonditi con circa 500 aziende che hanno subito una violazione dei dati, analizza centinaia di fattori di costo relativi alla violazione, dalle indagini tecniche a ripristino, notifiche, attività legali e normative, fino al costo per le perdite aziendali e per i danni alla reputazione. Lo studio ha rilevato che un terzo dei costi relativi alle mega violazioni (oltre 1 milione di record perduti) derivano dalle perdite aziendali. Invece i danni alla reputazione sono al primo posto fra le spese nascoste, seguite dal costo del turnover della clientela e i costi operativi.

Lo studio esamina inoltre i fattori che aumentano o riducono il costo della violazione, rilevando che i costi sono ampiamente impattati dalla quantità di tempo dedicato alla circoscrizione della violazione dei dati e dagli investimenti in tecnologie che velocizzano i tempi di risposta.

  • Il tempo medio per identificare una violazione dei dati è stato pari a 197 giorni ed il tempo medio per circoscrivere una violazione dei dati dopo averla identificata è stato di 69 giorni.
  • Le aziende che hanno circoscritto una violazione in meno di 30 giorni hanno risparmiato oltre 1 milione di dollari rispetto a quelle che hanno impiegato più di 30 giorni.
     

La quantità di record persi o rubati impatta il costo della violazione, con 148 dollari di media per ciascun record perso o rubato. Lo studio ha esaminato svariati fattori che aumentano o riducono tale costo:

  • Disporre di un incident response team rappresenta sicuramente il fattore di risparmio principale, in grado di ridurre di 14 dollari il costo di ciascun record compromesso
  • L'utilizzo di una piattaforma AI per la sicurezza informatica ha ridotto il costo di ciascun record perso o rubato di 8 dollari
  • Le aziende che hanno indicato "rush to notify" hanno avuto un costo maggiore di 5 dollari per ciascun record perso o rubato.

Per la prima volta quest'anno il report ha esaminato l'effetto degli strumenti di automazione della sicurezza che utilizzano intelligenza artificiale, machine learning, analisi e orchestrazione per aumentare o sostituire l'intervento umano nell'identificazione e circoscrizione delle violazioni. L'analisi ha scoperto che le organizzazioni che hanno utilizzato ampiamente le tecnologie di sicurezza automatizzate hanno risparmiato più di 1,5 milioni di dollari sul costo totale della violazione.

Per quanto riguarda i settori di industria, per l'ottavo anno consecutivo sono le aziende sanitarie a dovere sostenere i costi più elevati relativi alle violazioni dei dati, con un costo di 408 dollari per ciascun record rubato, ossia circa tre volte maggiori rispetto alla media intersettoriale (148 dollari).

L'obiettivo di questa ricerca è dimostrare il valore di prassi valide per la protezione dei dati e i fattori che fanno una reale differenza. Infatti se i costi relativi alle violazioni dei dati aumentano costantemente negli anni, osserviamo comunque segnali positivi in termini di risparmio economico tramite l'utilizzo di nuove tecnologie e programmazione adeguata, che possono ridurre i costi in maniera significativa.

In questo scenario la tendenza in Italia è quella di indirizzare gli attacchi con soluzioni specifiche. Questo sta portando le organizzazioni ad avere una complessità ed eterogeneità di soluzioni e tecnologie, la cui gestione richiede competenze e risorse non disponiibili a tutti.

Il tema di una efficace protezione degli asset aziendali passa sicuramente attraverso le tecnologie, ma non meno importanti sono i processi aziendali e i comportamenti, e quindi gli skill delle persone. Questi 3 elementi devono essere affrontati in modo integrato per non creare dei punti di debolezza del sistema. IBM è in prima linea, in Italia e nel mondo, con le proprie tecnologie e competenze per aiutare imprese e istituzioni a sviluppare e gestire sistemi di sicurezza sempre più sofisticati. Le soluzioni di AI si affiancano sicuramenti agli analisti ed esperti di settore che tuttavia, con le loro esperienza e capacità, rimangono al centro del sistema di sicurezza.