Dalla rete opportunità ma anche molti rischi e le contromisure tecnologiche non bastano.
L’importanza di un’adeguata tutela assicurativa
L’ingresso del web nella vita di tutti noi ha rappresentato dagli anni Novanta una progressiva rivoluzione copernicana in moltissimi aspetti del nostro quotidiano, sia nelle attività professionali che di studio e di svago; ha modificato e sta modificando i nostri costumi nelle relazioni, negli acquisti, nelle convinzioni politiche. Non esistono probabilmente aspetti della vita moderna che possano dirsi completamente esenti da qualche interazione con le nuove tecnologie e con la rete.
I testi sacri, nonché le linee guida internazionali nella “Gestione del rischio” identificano cinque grandi famiglie di criticità da tenere sotto controllo: rischi operativi, rischi finanziari, rischi strategici, rischi organizzativi, rischi di pianificazione aziendale e di reporting.
I rischi derivanti dal web, cosiddetti “cyber risk”, proprio in virtù di quanto dicevamo in apertura di articolo, possono trasversalmente riguardare tutte le cinque suddivisioni tradizionali suddette, configurandosi come una sorta di “macro-categoria” determinata dall’evoluzione tecnologica.
Più precisamente, il rischio informatico può essere definito come il rischio di danni economici (rischi diretti) e di reputazione (rischi indiretti) derivanti dall’uso della tecnologia, intendendosi con ciò sia i rischi impliciti nella tecnologia (i cosiddetti rischi di natura endogena) che i rischi derivanti dall’automazione, attraverso l’uso della tecnologia, di processi operativi aziendali (i cosiddetti rischi di natura esogena).
I rischi propriamente detti di natura endogena sono:
· Naturali: incendi, calamità naturali, inondazioni, terremoti.
· Finanziari: variazione dei prezzi e dei costi, inflazione.
· Strategici: concorrenza, progressi scientifici, innovazioni tecnologiche.
· Errori umani: modifica e cancellazione dei dati, manomissione volontaria dei dati.
Quelli di natura esogena, o di natura operativa, sono invece i rischi connessi alle strutture informatiche che compongono i sistemi. E cioè:
· Danneggiamento di hardware e software.
· Errori nell’esecuzione delle operazioni nei sistemi.
· Malfunzionamento dei sistemi.
· Programmi indesiderati.
Quali ne possono essere le cause? I programmi “virus”, concepiti per insinuarsi nelle funzioni dei sistemi informatici, ma anche le truffe informatiche e dobbiamo estendere la casistica anche ad aberranti tipologie come la pedopornografia, il cyberbullismo, i ricatti a sfondo sessuale derivanti da video chat on line.
Ne deriva che siamo oggi chiamati a una presa di coscienza, a un adeguamento culturale che faccia maturare una piena consapevolezza del concetto di sicurezza informatica, l’unica che possa davvero metterci al riparo da sgradevoli sorprese.
Le statistiche sono impietosamente inquietanti: ogni giorno vengono compiuti migliaia di attacchi informatici attraverso le tecniche più varie e termini come malware, ransomware, trojan horse, account cracking, phishing, 0-dayvulnerability sono diventati parte del vocabolario anche per i non esperti.
J. Edgar Hoover, capo dell’FBI (Federal Bureau of Investigation) moltissimi anni fa affermava: “L’unico computer a prova di hacker è quello spento, non collegato a Internet e chiuso a chiave in una cassaforte”. Possiamo dire che sia così davvero. Purtroppo, appena un computer viene acceso diventa potenzialmente vulnerabile e può essere attaccato, ad esempio durante l’installazione di eventuali aggiornamenti al sistema operativo. Ne avete appena fatto uno? Non vorremmo mettervi qualche preoccupazione addosso, ma…
Sono insomma necessarie delle contromisure specifiche, professionali, estese, ben concepite. Quelli che un tempo chiamavamo i “calcolatori”, i computer che entrano in ogni aspetto della nostra vita e dell’attività di aziende, enti, professionisti, oltre alle reti di telecomunicazione, necessitano di protezione anche se come in qualsiasi ambiente la sicurezza assoluta non è concretamente realizzabile.
Il modo per proteggersi è imparare a riconoscere le origini del rischio. Gli strumenti di difesa informatica sono molteplici, si pensi antivirus, antispyware, blocco popup, firewall ecc., ma tuttavia non sempre si rivelano efficienti, in quanto esistono codici malevoli in grado di aggirare facilmente le difese, anche con l’inconsapevole complicità degli stessi utenti.
Di recente si sta assistendo alla nascita di una nuova modalità di prevenzione del rischio informatico: il Trusted Computing. L’espressione inglese Trusted Computing (TC, letteralmente informatica fidata o calcolo fidato) si riferisce ad una tecnologia nascente con l’obiettivo dichiarato di rendere dispositivi come computer o telefoni cellulari più sicuri mediante l’uso di opportuni hardware o software.
Il TC si basa sull’uso della crittografia. Dunque l’obiettivo del TC non è quello di introdurre nuovi strumenti software per fronteggiare i rischi ed attacchi connessi a sistemi informatici e a reti di telecomunicazioni, ma bensì di costruire sistemi hardware o software non abilitati a determinate funzioni in grado di comprometterne la sicurezza, nonché il controllo attraverso Internet, del rispetto delle limitazioni di funzionalità da parte degli utenti dei sistemi.
Il Risk management
Un altro aspetto di notevole importanza del rischio informatico e di interesse per gli studi professionali su cui dobbiamo soffermare la nostra attenzione è il risk management.
Si tratta di quel processo attraverso il quale si misura o si stima il rischio e successivamente si sviluppano le strategie per fronteggiarlo.
La gestione del rischio, così come descritto nella Convenzione Interbancaria per i problemi dell’Automazione (CIPA) nel rapporto sul rischio informatico si articola in diverse fasi:
· Identificazione del rischio;
· Individuazione delle minacce;
· Individuazione dei danni che possono derivare dal concretizzarsi delle minacce e la loro valutazione;
· Identificazione delle possibili contromisure per contrastare le minacce arrecate alle risorse informatiche.
Diverse sono le modalità di gestione del rischio. A seconda del livello di rischio che un soggetto sia esso un’azienda, persona o ente ritiene accettabile si distinguono:
· Evitare: si modificano i processi produttivi, modalità di gestione ed amministrazione con lo scopo di eliminare il rischio.
· Trasferire il rischio ad un altro soggetto: il trasferimento del rischio avviene nei confronti di assicurazioni, partner e si tratta principalmente di rischi economici perché più facilmente quantificabili.
· Mitigare: consiste nel ridurre, attraverso processi di controllo e verifica, la probabilità del verificarsi del rischio o nel limitarne la gravità delle conseguenze nel caso in cui si verifichino.
· Accettare: ossia assumersi il rischio ed i relativi costi.
Dobbiamo quindi affidarci a professionisti preparati per fornire tutti questi requisiti tecnici operativi, ma altrettanto importante è considerare anche l’impossibilità di poter evitare al cento per cento le probabilità di qualche falla e considerare assolutamente anche strategie assicurative adeguate, per limitare i danni che possono derivare dal malfunzionamento dei nostri sistemi, della gestione di dati sensibili della clientela, dell’erogazione di servizi e prestazioni peculiari delle nostre attività.