Oltre la metà delle aziende italiane (55%) non ha subito attacchi a i suoi sistemi IoT. Ma questo perché il 31% ammette di non usare sistemi di Internet of Things. Solo lo 0,7% ha rilevato attacchi di questo tipo. Una percentuale così bassa non deve trarre in inganno sui rischi potenziali del mondo IoT ed alle sue crescenti connessioni con i più “tradizionali” sistemi informatici dell’azienda/ente: il numero degli oggetti IoT è in fortissima crescita e proporzionalmente cresceranno minacce e vulnerabilità. Lo rileva un’indagine di Statista, secondo cui tra i “buchi” che facilitano le aggressioni soprattutto password troppo deboli ed il mantenimento delle password di default pre configurate nel dispositivo (es: password 0000).
Il progetto Owasp sui 10 più usati dispositivi nel mondo IoT ha individuato una media di 25 vulnerabilità per oggetto, che includono privacy, autorizzazioni deboli, mancanza crittografia nelle comunicazioni, interfacce web insicure, software insicuro, insufficiente sicurezza fisica dei dispositivi. Il problema dell’autenticazione di un dispositivo IoT è diffuso e grave: sarebbe necessaria un’autenticazione con un certificato digitale, ma questo farebbe aumentare complessità e costi realizzativi.
Per la sicurezza IoT non si dovrebbero considerare solo le caratteristiche dell’oggetto e della sua “sicurezza intrinseca”, ma anche tutti gli altri aspetti che includono il cloud, le applicazioni mobili (molti oggetti sono basati su OS mobili), le interfacce di rete, il software, l’uso delle porte Usb, la crittografia, le modalità di autenticazione.
Ma quanto ad un’azienda costa un cyberattacco? Secondo il valore medio del singolo attacco più grave 3.605,3 euro mentre quello più alto è di 70mila euro. Mediamente il costo complessivo di tutti gli attacchi subiti nel 2015 è di 6mila euro mentre e il più alto è pari 120mila. “Dato il basso valore indicato, è ragionevole ipotizzare che i rispondenti hanno fatto riferimento ai soli costi diretti per il ripristino della situazione informatica ex ante, e non considerano altri costi quali l’impatto sul business, la perdita di fatturato e di immagine, e così via”, spiegano gli esperti di Statista.
In questo senso è interessante una recente ricerca del Ponemon Institute, secondo cui il costo di violazione dei dati per persona continua, in media, a crescere passando da 105 euro del 2015 a 112 nel 2016.
In Italia determinati settori merceologici hanno costi più elevati, rispetto aIla media: in particolare le industrie dei servizi, quelle finanziarie e della sanità. Altri settori hanno un costo decisamente inferiore. ed includono le pubbliche amministrazioni e l’industria alberghiera. La maggior parte delle violazioni dei dati sono causate da criminali informatici per ottenere illegali ritorni economici: questa tipologia di violazione è la più difficile da identificare ed anche per questo è la più costosa come impatto economico;
In questo contesto alcune misure di prevenzione e di protezione riducono il costo della singola violazione: l’uso estensivo della crittografia e di meccanismi di DLP8, i piani di continuità operativa, l’uso di strutture quali il team di gestione degli incidenti e delle emergenze. Non è un caso infatti che il 25% delle violazioni dei dati è causata da difetti dei sistemi Ict, spesso combinata a malfunzionamenti dei processi aziendali ad essi associati; il 29% delle violazioni dei dati è causata dalla negligenza degli operatori Ict e dai fornitori di Ict.
Focus anche sulle attività di intervento messe in campo a seguto di un attacco.Due gli interventi effettuati da più della metà dei rispondenti: l’attivazione di indagini interne (cerchiamo di capire che cosa è successo nel 30% dei casi) e le correzioni del software (patch e/o aggiornamento della versione nel 44% dei casi). Di poco inferiori percentualmente, ma sempre alti, altri due interventi, uno tecnico ed uno organizzativo: l’acquisizione di ulteriori nuovi strumenti di prevenzione e protezione, e l’aggiornamento- miglioramento delle policy in atto.
