Ransomware, troppe aziende pagano il riscatto e il quantum fa paura

Raccontiamo spesso di vivere in una data economy, ma quello che vediamo a livello di cybersecurity ci dice che è difficile capire con precisione dove vengono tenuti i dati sensibili.

A parlare così è Luca Calindri Data Protection Country Manager di Thales, che ha fornito i dati del Global Data Threat Report, analisi annuale sulle minacce che la società francese fa condurre a 451 Research.

A gennaio di quest’anno sono stati contattati via web più di 2700 dirigenti con responsabilità IT e sicurezza dei dati in 17 paesi (Italia purtroppo esclusa). Hanno risposto CEO, CFO, Chief Data Officer, CISO, Chief Data Scientist e Chief Risk Officer, spiegando che solamente il 56% di loro ha un’idea precisa di ubicazione e classificazione dei propri dati (nel 2021 il dato era il 64%). Un po’ poco.

Ma il quadro si complica: il 52% ha subito un attacco in passato, il 18% lo ha patito negli ultimi mesi. Per il 56% la prima minaccia è il malware, per il 53% è il ransomware, per il 40% è il phishing, per il 37 è il Denial of service, per il 28% è il brand impersonation.

Un’azienda su cinque paga il riscatto

Veniamo alle note dolenti: il 21% delle aziende intervistate ha subito attacchi ransomware, che nel 43% dei casi hanno generato gravi danni in termini di operatività, e il 22% di loro ha pagato.

Un’azienda su cinque, nel mondo, preferisce accondiscendere alle richieste di riscatto anziché destinare budget alle azioni preventive di cybersecurity.
Così facendo alimenta il mercato del ransomware, dandogli la forza di perpetuare gli attacchi e distoglie risorse dal potenziamento della propria sicurezza.

È anche emerso, infatti, che solamente il 48% delle aziende ha un piano operativo per rispondere all’attacco. E nonostante il maggior impatto dei ransomware, il 41% degli intervistati ha dichiarato di non avere intenzione di cambiare la spesa per la sicurezza.

Crescono i timori per le minacce dal quantum computing

Interrogati sulle sfide emergenti, i manager che hanno a che fare con la sicurezza dei dati delle aziende dicono di temere nel 52% dei casi le minacce che potranno derivare dal quantum computing.
Una percentuale elevata per una tecnologia di attacco di cui si conosce la portata, ma che non è stata ancora adottata in grande scala dagli hacker.

leggi anche

Cos’è il quantum computing, a cosa serve e perché è il futuro

Le azioni che la comunità tecnologica internazionale sta organizzando dal riguardo, ha spiegato Calindri, convergono su quella che viene descritta come «il tentativo di raggiungere una entropia esterna crittografica, perché gli algoritmi recuperino efficacia».

Al riguardo Thales ha un cosiddetto Proof of Concept (una dimostrazione di fattibilità), che dimostra come si può essere pronti, ed è in contatto con gli enti regolatori per concordare i necessari standard: “al momento ci sono alcuni approcci validi e meritevoli di approfondimenti. “i aspettiamo che nei prossimi anni si possa avere standard più nitidi e aumentare l’adozione”.

L’effetto placebo del cloud

Come il cloud computing si inserisce In questo quadro?
Alla luce delle esperienze recenti, per le aziende oggi aderire a un paradigma cloud rappresenta «una forma di tranquillità psicologica, per via delle garanzie provenienti da maggiori standard», spiega Calindri.
Ma si tratta di una falsa tranquillità, o quantomeno non completa e coerente con quanto un’azienda deve fare per la sicurezza dei propri dati.

“Il servizio offerto dagli hyperscaler (i fornitori di servizi di cloud pubblico, come Aws, Google, Microsoft, Ibm, Oracle, Alibaba - ndr.) può avere livelli di compliance elevati, ma un privato non può delegare la sicurezza a un provider: la responsabilità deve rimanere in capo al titolare dei dati”.

Con il Gdpr viene richiamata un’attenzione costante sulla compliance.
Alcune informazioni dicono essere protette, crittografate e il titolare dei dati deve dimostrare di possederle, senza dare un ruolo attivo all’hyperscaler e al cloud provider.
Un tema, questo, che alle nostre latitudini si interseca con il piano cloud nazionale sviluppato dal Ministero per l’Innovazione tecnologica e la Transizione Digitale di Vittorio Colao.

leggi anche

Codice della privacy: cos’è il GDPR e cosa prevede? Ecco il testo coordinato

Tornando ai dati della ricerca, la crittografia è la prima opzione per proteggere i dati in cloud per il 59% dei manager.
Ma solamente la metà degli intervistati (50%) ammette che più del 40% dei loro dati sensibili è stato crittografato, mentre solamente un quinto (22%) ne ha crittografato più del 60%. Questo è un significativo e continuo rischio per le aziende.

Cosa fare per la sicurezza dei dati aziendali

Alla luce dei risultati della ricerca, le raccomandazioni di Thales convergono verso per un approccio cosiddetto zero-trust basato su vari fattori: aumento della consapevolezza dei dati che si possiedono e loro classificazione, protezione con cifratura di dati sensibili e confidenziali in tutti gli ambiti (nel data center tradizionale, in movimento, in uso, nel multicloud), controllo degli accessi e delle chiavi di cifratura (separazione di compiti e ruoli).

La tecnica crittografica è valida anche per la protezione dal quel tipo di ransomware che esfiltra i dati per farne mercato, ossia rivenderli al miglior offerente.