Come reagire al cyber-crime: la lezione di COSCO

COME REAGIRE AL CYBER-CRIME: LA LEZIONE DI COSCO

Il cyber-crime è un rischio reale ma le aziende non hanno ancora acquisito la consapevolezza (a livello di visione e di operazioni) per valutare correttamente questo rischio e per sviluppare sistemi di difesa per prevenire danni economici ingenti. Il caso di COSCO è un esempio perfetto.

COSCO: RESILIENZA E REAZIONE DI FRONTE AD UN CYBER-ATTACCO

Alla fine di luglio è arrivata una notizia molto preoccupante, anche se poco diffusa online. In pratica, secondo quanto riferisce un comunicato inviato dalla Cosco (China Ocean Shipping Company) ai propri clienti, determinati sistemi informatici locali, le linee telefoniche locali e alcuni servizi di email sarebbero stati colpiti da un non meglio precisato cyber-attacco, localizzato nell’area americana. Non è chiaro se anche le navi e i sistemi di navigazione siano stati colpiti in qualche modo

Un gigante come Cosco messo in pericolo da un attacco senza armi, senza uniformi, e senza nessun segnale di allerta concreto? Sembra incredibile, eppure è proprio quello che è successo.Non solo: nel 2017 fu il competitor Maersk a subire il cyber-attacco con il virus NotPetya, subendo danni per circa trecento milioni di dollari – in quello che fu considerato uno dei peggiori cyber-attacchi della storia.

Nel dettaglio, il problema di sicurezza ha interessato inizialmente tutta la regione americana (US, Canada, Panama, Argentina, Brasile, Perù, Cile e Uruguay). Gli esperti lo classificano come un attacco basato su ransom-ware (in pratica l’attacco “blocca” i dati e chiede un riscatto per restituirli) che si sarebbe verificato lo scorso 24 luglio. Per evitare la propagazione dell’infezione tra il ramo di rete americano e il resto del mondo, la società ha disconnesso i servizi di email e VOIP, garantendo solo quello di telefonia tradizionale.

COSA C’E’ DA IMPARARE

Già questi sono elementi sufficienti per elaborare due considerazioni fondamentali:

1. Le informazioni su questi casi sono scarsee questo, al di là del diritto di informazione, complica la ricerca e sviluppo di soluzioni di cyber-difesa più efficaci, perché ogni azienda “vittima” tende a cercare soluzioni “in-house” invece di condividere il più possibile il suo problema con esperti certificati
2. E’ altrettanto difficile individuare l’origine, la “mano”, il “mandante”. Gli hackers utilizzano sistemi tali per cui il punto geografico esatto del loro collegamento effettivo viene rimbalzato tra decine di altri punti. Inoltre i virus e i malware che iniettano nei sistemi informatici delle loro vittime si diffondono e si moltiplicano in automatico. Quindi l’hacker colpisce solo una volta. Al resto, purtroppo, ci pensa il virus.

Sembra che un gigante internazionale come COSCO abbia impiegato “solo” 48 ore a ristabilire il “Comando e Controllo” dopo l’attacco. Ma cosa accadrebbe in Italia ad un’azienda, anche di notevoli dimensioni, in caso di attacco hacker alla sua rete?

La domanda fondamentale è: é possibile approntare piani di valutazione, intervento e gestione per l’organizzazione colpita o siamo tutti in balia del web e degli hacker?

La risposta è altrettanto fondamentale perché, sì, è possibile farlo.

E’ possibile prepararsi a fronteggiare questo tipo di rischio e ridurlo in maniera significativa con adeguati strumenti di prevenzione e protezione. 

Ma il presupposto fondamentale è la coretta valutazione del rischio e del livello di “Risk Appetite” dell’azienda, che comunque nel momento in cui opera in questo contesto deve anche “accettare” il rischio, che può comportare danni per centinaia di milioni di dollari.

UNA ROAD-MAP PER IL “CYBER RISK MANAGEMENT”

Ogni azienda può essere l’obiettivo di un cyber-attacco, ed è sempre a rischio di danni collaterali da malware non mirati e da attacchi a software e infrastrutture critiche di uso comune. Ora la sfida è come affrontare questo problema.

Ecco i punti focali che il nostro team di sicurezza informatica raccomanda:

1. Il cyber risk dovrebbe essere considerato un problema di gestione del rischio anziché un problema IT: trattare il cyber-rischio come un problema di esclusiva competenza dell’ufficio ICT non è d’aiuto.È ora che le aziende inizino a trattare le minacce informatiche come un problema di gestione del rischio. Le società dovrebbero mettere in atto una struttura organizzativa e un approccio di governance che portino trasparenza e consentano la gestione dei rischi in tempo reale.
2. Il cyber risk dovrebbe essere trattato in un contesto di business: le aziende tendono spesso ad investire troppo in gadget tecnici e a ridurre i costi della riduzione della complessità, che culmina in un sistema inefficiente.Pertanto, è importante che le aziende comprendano e affrontino i rischi informatici nel calcolo delle loro esigenze commerciali e organizzative.

3. Valutare meglio i livelli di rischio cibernetico: esistono più livelli di minacce informatiche, che vanno dai dati alle persone.Valutare tutti i livelli è un compito ingombrante. Pertanto le aziende dovrebbero sfruttare gli strumenti automatizzati per catalogare le proprie risorse al fine di concentrarsi su quelle a rischio massimo.

4. Avere una governance completa e collaborativa: nell’era digitale, le distinzioni tra sicurezza fisica e delle informazioni, tra Information Technology e Operational Technology, tra gestione della continuità aziendale e protezione dei dati e tra sicurezza interna ed esterna sono superate.Questo cambiamento indica la necessità di un approccio collaborativo e globale per affrontare le minacce alla sicurezza informatica, in quanto le responsabilità divise non aiuterebbero. Le aziende devono affrontare tutte le parti del business interessate dalle minacce informatiche, inclusi fornitori e clienti.

IL CYBER-RISK COME PARTE DEL RISK CONSULTING

Noi di PCA BROKER siamo convinti che il cyber-risk dovrebbe essere considerato un problema di gestione del rischio anziché un problema IT (qui l’articolo).  È ora che le aziende inizino a trattare le minacce informatiche come un problema di Risk Management da valutare e gestire a 360°. Le società dovrebbero mettere in atto una struttura organizzativa e un approccio di governance che portino trasparenza e consentano la gestione dei rischi (incluso il cyber-risk) in tempo reale.

In questo quadro, anche lo strumento assicurativo giocherà un ruolo sempre più rilevante; a tal fine è necessario che le compagnie assicurative affianchino le imprese nell’individuazione e gestione dei rischi cyber, insieme agli altri rischi di business e operativi in tutte le fasi del processo di Risk Management.

I servizi di Risk Consulting offerti da PCA BROKER non sono solo volti alla tutela del valore aziendale esistente ma sono anche fattore che favorisce il cambiamento e, in un contesto volatile come questo, possono aiutare le aziende ad anticipare i rischi emergenti e garantire la resilienza aziendale.