Investimenti: misure di cybersecurity come indicatore della qualità di un’azienda

Sempre più spesso sentiamo parlare di cyber-attacchi e violazioni informatiche verso aziende multinazionali o addirittura Governi.

Molto raramente però risulta chiaro chi ci sia dietro a specifiche azioni di cyber-spionaggio o sabotaggio e quali siano le motivazioni alla base. I colpevoli potrebbero essere organismi statali sofisticati e gruppi avanzati, sostenuti da Stati, che raccolgono informazioni o causano crisi, ma potrebbe anche trattarsi di operazioni ben finanziate da parte di organizzazioni criminali alla ricerca di profitti.

In questo quadro in evoluzione il settore della cybersecurity si è radicalmente trasformato, passando da un ruolo marginale al divenire la priorità dei CdA di tutte le multinazionali globali che vogliono proteggere i propri dati e i sistemi interni.

“L’aggressore informatico più frequente è il dipendente, ovvero un insider. Nel 2016, il Cyber Security Intelligence Index di IBM ha rilevato che il 60% di tutti gli attacchi è stato effettuato da insider. Di questi attacchi, un quarto ha coinvolto soggetti involontari, tipicamente il personale che non ha prestato attenzione alle politiche di sicurezza informatica dell’azienda, mentre i restanti casi sono stati causati da azioni volutamente dannose. In genere, lo scopo di questo tipo di attacchi è rubare informazioni sulla concorrenza, vendere dati o intelligence; tuttavia, esistono alcuni esempi in cui si riscontra la volontà esplicita di danneggiare l’organizzazione”, ha spiegato Abbie Llewellyn-Waters, esperto del settore e fund manager del team Environmental & Sustainability di Jupiter Asset Management.

Che cosa significa questo quando si analizzano le aziende?

Per il gestore di Jupiter “le aziende che hanno compreso l’importanza di dotarsi di procedure interne per resistere ai cyber-attacchi sono per noi quelle che dimostrano di avere un management e una gestione di qualità superiore, supportati da una visione e una strategia a lungo termine”.

Llewellyn-Waters spiega che ci sono semplici domande che gli investitori possono porre al management aziendale quando analizzano le opportunità di investimento a lungo termine.

“In genere ci piace concentrarci su aspetti come il ruolo del Cda, la formazione dei dipendenti, l’integrazione informatica (particolarmente importante per aziende che crescono via acquisizioni) e la trasparenza. Disponiamo di parametri specifici in queste aree, che teniamo in considerazione per migliorare la nostra analisi finanziaria di un’azienda. Crediamo che essi offrano una visione più completa del business”.

“Ci concentriamo su queste quattro aree chiave perché ci permettono di valutare rapidamente se l’azienda è consapevole dei rischi di un attacco informatico - prosegue l’asset manager -. Il rischio finanziario in sé non è legato soltanto ad eventuali difficoltà a livello operativo, ma, come abbiamo visto in diversi casi di rilievo degli ultimi anni, è anche indicativo di potenziali diminuzioni di ricavi futuri a causa di un calo della fiducia da parte dei clienti”.

Che fare quando la sicurezza informatica è sotto attacco?

Tutte le aziende sono esposte a violazioni di cybersecurity, ma quando una violazione importante diventa di dominio pubblico qual è la cosa migliora che un’azienda deve fare?

“Ci piace che le società in cui siamo investiti siano risolute e trasparenti. Ci aspettiamo che il consiglio di amministrazione si assuma la responsabilità dell’accaduto, comunicandolo ai clienti e agli azionisti. Come esempio positivo in questo senso, citiamo una delle società in cui investiamo nel settore dell’Information Technology, la cui sicurezza informatica è stata violata bloccando molte delle sue linee di produzione per diversi giorni. Ci siamo attivati immediatamente per contattare la società, che ci ha fornito spiegazioni dettagliate dell’incidente, permettendoci di valutare l’impatto finanziario e l’impatto sul cliente – oltre che, soprattutto, permettendoci di valutare il modo in cui l’azienda stava rispondendo”, ha precisato l’esperto.

L’azienda era stata colpita da un virus ransomware. I virus ransomware divennero tristemente noti nel maggio 2017, quando il virus WannaCry colpì in diverse parti del mondo, raggiungendo più di 200.000 computer in 150 Paesi e causando un danno complessivo stimato in un range compreso fra alcune centinaia di milioni di dollari e alcuni miliardi. Un ransomware viene azionato quando si attiva un kill switch, che acquisisce i dati di un computer per poi crittografarli e trattenerli fino a che non venga pagato un riscatto per il loro rilascio. In teoria, i dati vengono rilasciati nel momento in cui chi gestisce il virus riceve il pagamento, generalmente effettuato in una criptovaluta come i Bitcoin.

Llewellyn-Waters chiosa così: “Fortunatamente per la società detenuta in portafoglio, il ransomware in questione non è riuscito a crittografare i dati e ciò non gli ha permesso di chiedere alcun riscatto. Benché consapevoli della perdita diretta di ricavi derivanti dalla chiusura delle loro strutture produttive, necessaria a limitare i danni e a risolvere l’incidente, la nostra attenzione si è concentrata sulla minaccia alle relazioni con i clienti. Grazie alla politica di trasparenza e all’impegno che l’azienda ha dimostrato, abbiamo tenuto conto di queste considerazioni per costruire il nostro mosaico di convinzioni a lungo termine a proposito della qualità dei team di management e della loro capacità di gestire i rischi strategici”.