{"id":558,"date":"2024-03-29T18:22:00","date_gmt":"2024-03-29T17:22:00","guid":{"rendered":"https:\/\/www.hermescse.eu\/?p=558"},"modified":"2025-02-19T17:14:52","modified_gmt":"2025-02-19T16:14:52","slug":"le-pmi-italiane-tra-nis1-e-nis2","status":"publish","type":"post","link":"https:\/\/www.hermescse.eu\/en\/le-pmi-italiane-tra-nis1-e-nis2\/","title":{"rendered":"Le PMI italiane tra NIS1 e NIS2"},"content":{"rendered":"

PREMESSA<\/strong><\/p>\r\n\r\n\r\n\r\n

Lo scenario attuale in ambito sicurezza cibernetica \u00e8 probabilmente il frutto derivante dall\u2019unione di quattro grandi direttrici: la digitalizzazione dei processi, la globalizzazione e lo scontro tra Stati (o aree di influenza) ed il cybercrime.<\/p>\r\n\r\n\r\n\r\n

La crescente globalizzazione \u00e8 riuscita a mutare le classiche basi geopolitiche, tra cui in parte quella relativa ai confini tra Stati, in quanto questi sono stati per molti aspetti cancellati, anche a causa dell\u2019avvento di internet.<\/p>\r\n\r\n\r\n\r\n

La rete ha di fatto creato un nuovo spazio operativo con caratteristiche geopolitiche.<\/p>\r\n\r\n\r\n\r\n

Comunemente la geopolitica \u00e8 definita come una disciplina che analizza le relazioni tra la geografia fisica, la geografia umana e l’azione politica.<\/p>\r\n\r\n\r\n\r\n

In tale ottica si andr\u00e0 a sostituire la geografia fisica con lo spazio digitale globale, ovvero la rete internet.<\/p>\r\n\r\n\r\n\r\n

Al classico schema terra, mare, cielo e spazio interstellare, lo spazio cibernetico \u00e8 divenuto il quinto dominio, ed in tale dominio ora si aprono scenari di guerra, che qui assumono connotati di \u201ccyberwarfare\u201d.<\/p>\r\n\r\n\r\n\r\n

Qui fa da padrona la chiave asimmetrica delle operazioni di attacco.<\/p>\r\n\r\n\r\n\r\n

\r\n

Il fenomeno della digitalizzazione dei processi ormai coinvolge praticamente ogni settore della societ\u00e0 e quindi delle stesse nazioni. La diffusione massiccia delle comunicazioni internet rende praticamente tutto un potenziale bersaglio per gli attacchi informatici, che potrebbero mettere a rischio le infrastrutture critiche di una nazione anche tramite il bersaglio di singole aziende.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

Nessuno \u00e8 immune da questa minaccia in quanto l’interconnessione digitale ha reso vulnerabili sia i giganti industriali che le piccole imprese locali.<\/p>\r\n\r\n\r\n\r\n

\r\n

Secondo il rapporto Clusit dell\u2019ottobre 2023, l\u2019Italia appare sempre pi\u00f9 nel mirino dei cyber criminali, nel 2023 \u00e8 andato a segno l\u201911% degli attacchi gravi globali, era il 7,6% nel 2022. Il totale \u00e8 di 310 attacchi, dato che \u201cmarca una crescita del 65% rispetto al 2022. Oltre la met\u00e0 degli attacchi \u2013 il 56% \u2013 ha avuto conseguenze di gravit\u00e0 critica o elevata. Con uno sguardo agli ultimi cinque anni, emerge inoltre che oltre il 47% degli attacchi totali censiti in Italia dal 2019 si \u00e8 verificato nel 2023.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

\r\n

Nel 2023 il mercato italiano della cybersecurity ha raggiunto un record: 2,15 miliardi di euro, +16% rispetto al 2022. Il rapporto tra spesa in cybersecurity e PIL in Italia si attesta allo 0,12%, in crescita rispetto al 2022 (era pari allo 0,10%). Nonostante l\u2019aumento, questo risultato colloca ancora il nostro Paese all\u2019ultimo posto nel G7, a grande distanza dai primi in classifica, Stati Uniti (0,34%) e Regno Unito (0,29%), e da Paesi come Francia o Germania allo 0,19%.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

\r\n

Secondo il diffuso sito internet Cybercrime Magazine sono previsti nel 2023 danni per 8 trilioni di dollari nel 2023, che potrebbero raggiungere circa 10,5 trilioni di dollari entro il 2025.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

L\u2019ammontare eccessivamente rilevante in termini economici potrebbe rappresentare una delle pi\u00f9 ampie attivit\u00e0 di redistribuzione di ricchezza economica registrate, minacciando intere filiere produttive, l’innovazione ed investimenti. Il suo impatto in molte aree del globo potrebbe finanche superare i danni causati dalle catastrofi naturali in un anno. Sono numeri su cui bisogna fare una seria riflessione a tutti i livelli.<\/p>\r\n\r\n\r\n\r\n

INTRODUZIONE<\/strong><\/p>\r\n\r\n\r\n\r\n

In tale contesto generale, nel 2016 l\u2019Unione Europea ha approvato una Direttiva comunitaria per la sicurezza delle reti e dell\u2019informazione, nota come Direttiva NIS (Network and Information Security)<\/strong>, che fissa i requisiti minimi relativi alla sicurezza informatica per gli operatori dei servizi essenziali e dei servizi digitali. La direttiva NIS del 2016 \u00e8 stata fatto oggetto da parte della Commissione Europea di una proposta di revisione, fatto che mostra con estrema chiarezza quanto sia importante per le istituzioni europee la materia riguardante la cyber security.<\/p>\r\n\r\n\r\n\r\n

Le novit\u00e0 introdotte riguardano l\u2019estensione di determinati obblighi in materia anche nei confronti di soggetti operanti in settori ad oggi non coperti dalla Direttiva NIS, tra i quali i settori del ciclo dei rifiuti, aerospaziale, della produzione e consegna di alimenti, della produzione e distribuzione di prodotti chimici, dei servizi postali, della produzione di dispositivi medici, apparecchiature elettroniche e della pubblica amministrazione. Una nota di particolare merito riguarda l\u2019aspetto inerente all\u2019apertura di una procedura di infrazione da parte della Commissione Europea a carico degli Stati Membri che non hanno ancora attuato a pieno la Direttiva NIS.<\/p>\r\n\r\n\r\n\r\n

I grandi player aziendali ed amministrativi si stanno uniformando alle prescrizioni richieste dalla normativa, ma sarebbe opportuno verificare lo stato di adozione delle PMI in relazione agli strumenti adottati volti al contrasto delle minacce derivanti dagli attacchi alla cybersecurity.<\/p>\r\n\r\n\r\n\r\n

\r\n

Relativamente al contesto italiano appare utile rammentare che, secondo l\u2019ISTAT in Italia vi sono circa 214.000 PMI. Secondo il Servizio Statistico Nazionale (Sistan) al 2022, considerando la dimensione delle imprese, si osserva che circa il 77,7% del totale appartiene alla classe con un numero di occupati inferiore o uguale a 5, mentre la quasi totalit\u00e0 (92,8%) \u00e8 compresa nella classe di imprese che hanno fino a 15 occupati. Riguardo ai settori, il maggior numero di imprese si concentra nel commercio all\u2019ingrosso e al dettaglio e nella riparazione di autoveicoli e motocicli (21,8%), cui seguono le attivit\u00e0 manifatturiere (14,6%) e le attivit\u00e0 dei servizi di alloggio e di ristorazione (14,2%). Questi dati fanno evincere come la struttura principale italiana sia composta da piccole e medie imprese. Il dato numerico in termini economici non \u00e8 lontano dai 1000 miliardi di euro (quasi la met\u00e0 del PIL nazionale). Tali dati fanno ampiamente comprendere l\u2019importanza in termini strutturali delle PMI sotto il profilo sia della sicurezza prettamente cyber di tali tipi di aziende, ma anche in un contesto pi\u00f9 ampio in termini di sistema paese.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

La ricerca condotta, sotto il profilo dei dati disponibili in termini di adozione di adeguate misure volte ad evitare dei \u201cdata breach\u201d, ha mostrato una sostanziale carenza di un adeguato campione informativo che possa consentire una valida analisi. Le indagini svolte da vari operatori del settore sono abbastanza limitate per fornire dati effettivamente utili ad inquadrare il panorama oggetto di indagine. Gli studi osservati (rapporto Clusit, EY) riferiscono di indagini a campione, svolte prettamente nei confronti di aziende di medie e grandi dimensioni, escludendo quindi l\u2019ampia platea di piccole imprese.<\/p>\r\n\r\n\r\n\r\n

Si rammenti come spesso le aziende di piccole dimensioni fanno parte di un pi\u00f9 ampio indotto, ove una \u201cdata breach\u201d potrebbe rappresentare un cavallo di troia nei confronti di realt\u00e0 pi\u00f9 grandi, e quindi pi\u00f9 appetibili in ottica di attacco alla sicurezza informatica.<\/p>\r\n\r\n\r\n\r\n

\r\n

Secondo una indagine svolta da Capterra \u00e8 stato osservato che il 37% delle Pmi italiane \u00e8 a rischio attacchi informatici. Il sondaggio, effettuato su un campione di oltre 500 impiegati in piccole e medie imprese, mostra \u201cuna situazione preoccupante in merito all\u2019adozione di best practice di sicurezza informatica aziendale basiche ed essenziali\u201d.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

\r\n

Stando ai dati, solo il 21% dei dipendenti accede al server aziendale attraverso una VPN, appena il 26% ha installato un antivirus, il 37% \u00e8 stato vittima di phishing, mentre il 22% non ha mai ricevuto alcuna formazione in materia di sicurezza informatica.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

Appare importante sottolineare che, in numerosi casi le violazioni alla sicurezza informatica sono andate in porto non tanto per la capacit\u00e0 degli attaccanti, quanto per la scarsa padronanza dell\u2019argomento da parte dei dipendenti.<\/p>\r\n\r\n\r\n\r\n

\r\n

Uno studio condotto da Almaviva tramite la piattaforma Cyber intelligence Joshua rileva che delle 500 top PMI analizzate solamente il 10% non presenta vulnerabilit\u00e0. Bench\u00e9 il campione sia riferito ad una determinata categoria di imprese, un quadro a tinte fosche si potrebbe gi\u00e0 ben intravedere all\u2019orizzonte in relazione al campione dimensionale pi\u00f9 piccolo delle PMI.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

Gli organi di stampa spesso portano a conoscenza dell\u2019opinione pubblica che le violazioni informatiche siano compiute soltanto ai danni di grandi aziende. Tale divulgazione ha probabilmente alimentato l\u2019intendimento che le PMI non siano fatte oggetto di attacchi informatici.<\/p>\r\n\r\n\r\n\r\n

Purtroppo, spesso tali tipi di imprese non diffondono informazioni in merito alle violazioni informatiche subite, e sfortunatamente, vi \u00e8 anche il problema delle violazioni non individuate.<\/p>\r\n\r\n\r\n\r\n

Altro aspetto estremamente importante \u00e8 quello inerente alla logica di supply chain, infatti potrebbe accadere che, in ottica di cyber threat intelligence, un \u201cdata breach\u201d potrebbe avere origine proprio da una PMI come \u201cbackdoor\u201d verso l\u2019obiettivo finale, dove sostanzialmente l\u2019attaccante ha utilizzato l\u2019anello debole della catena (la PMI) per accedere al sistema aziendale pi\u00f9 esteso di cui era fornitore.<\/p>\r\n\r\n\r\n\r\n

\r\n

In tale cotesto, per tali aziende, vi potrebbe essere il doppio problema dell\u2019aver subito l\u2019attacco informatico e di aver perso successivamente il cliente o fornitore.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n\r\n

Una delle principali incertezze in relazione alla sicurezza informatica delle PMI potrebbe essere quella inerente alla percezione di tale problematica.<\/strong><\/p>\r\n\r\n\r\n\r\n

Quest\u2019ultima dovrebbe essere considerata quale processo volto al radicare la solidit\u00e0 aziendale, quindi creazione di valore, e non come un semplice costo da sostenere.<\/p>\r\n\r\n\r\n\r\n

Gi\u00e0 \u00e8 stato evidenziato come il fenomeno della digitalizzazione dei processi in relazione anche alla globalizzazione, offre delle notevoli possibilit\u00e0 di sviluppo per le imprese, ma dall\u2019altra vi \u00e8 necessit\u00e0 di predisporre adeguate \u201cbest practice\u201d in relazione alla sicurezza informatica, in quanto il sistema di sicurezza andr\u00e0 a tutelare le relazioni con clienti e fornitori, inoltre consentir\u00e0 di aumentare la produttivit\u00e0 in quanto si eviteranno interruzioni della catena produttiva di valore.<\/p>\r\n\r\n\r\n\r\n

Il costo economico dei data breach \u00e8 da considerare sotto una duplice dimensione.<\/p>\r\n\r\n\r\n\r\n

Infatti, contemporaneamente vi \u00e8 il problema del danno relativo all\u2019impatto sulla reputazione, i costi in termini di tempo ed energie impiegate per porre rimedio all\u2019attacco informatico subito, nonch\u00e9 le possibili controversie di natura giudiziaria con chiunque subisca un danno materiale o immateriale causato da una violazione dati (possibilit\u00e0 data dall\u2019art. 82 del GDPR).<\/p>\r\n\r\n\r\n\r\n

Ulteriormente, l\u2019art. 83 del GDPR\u00a0prevede per le violazioni cosiddette di\u00a0minore gravit\u00e0 sanzioni amministrative pecuniarie di importi fino a 10 milioni di euro, oppure, per le imprese fino al 2% del fatturato mondiale totale annuo dell\u2019esercizio precedente. Per le violazioni di\u00a0maggiore gravit\u00e0, fino a 20 milioni di euro o, per le imprese, fino al 4% del fatturato mondiale totale annuo dell\u2019esercizio precedente, se superiore.<\/p>\r\n\r\n\r\n\r\n

Altro aspetto, e certamente non secondario, \u00e8 quello inerente al sistema ransomware e relativo riscatto. Durante ricerca statunitense in merito agli impatti economici dei ransomware, sono stati intervistati oltre 1.000 professionisti della sicurezza informatica, \u00e8 stato rilevato che uno sconcertante 84% delle organizzazioni ha accettato di pagare una richiesta di riscatto dopo essere state violate. Se questi dati fossero confermati su scale globale sarebbe preoccupante.<\/p>\r\n\r\n\r\n\r\n

Appare evidente che i costi legati alle violazioni della sicurezza informatica hanno ampio corollario, ed in tale ottica sar\u00e0 assolutamente necessario intraprendere un percorso di sensibilizzazione da parte delle PMI in relazione alla cyber security. In tale contesto potrebbe giocare un ruolo importante la certificazione ISO 27001, la quale fa riferimento allo standard internazionale riferito alla gestione della sicurezza delle informazioni.<\/p>\r\n\r\n\r\n\r\n

In tema di policy sarebbe opportuno adottare a livello europeo un regolamento, e non una direttiva, onde evitare frammentazioni in termini di adozioni di strumenti di cyber security. L\u2019adozione degli \u201cinput\u201d forniti dalla direttiva NIS 1 e 2 in ambito cyber security sono stati adottati a macchia di leopardo, e pertanto, un regolamento \u201cself executed\u201d ben ideato certamente consentirebbe una architettura generale ben definita tra i paesi membri UE.<\/p>\r\n\r\n\r\n\r\n

L’attuale quadro generale in ambito sicurezza informatica da parte delle PMI italiane presenta sostanzialmente molte ombre e pochissime luci.<\/p>\r\n\r\n\r\n\r\n

Si \u00e8 evidenziato come esse rappresentino il centro nevralgico della struttura economica italiana, e pertanto, in tale contesto sarebbe pi\u00f9 che mai opportuno, e finanche urgente, andare a predisporre un sistema condiviso, ed effettivamente utilizzato, di \u201cbest practice\u201d da parte di tali aziende.<\/p>\r\n\r\n\r\n\r\n

\r\n

La pregnante necessit\u00e0 di adozione di responsabilit\u00e0 per le PMI potrebbe consentire di limitare gli impatti delle violazioni di sicurezza informatica in ottica \u201csistema paese\u201d sotto pi\u00f9 profili, tra cui la \u201cbusiness continuity\u201d e la sicurezza dati in senso stretto. In relazione a quanto evidenziato in merito alla scarsa sensibilit\u00e0 al tema sarebbe opportuno mettere a \u201csistema\u201d le risorse presenti sul territorio onde innescare quel processo informativo in primis, e successivamente in termini di adozione, di tutte quelle attivit\u00e0 volte al miglioramento della conoscenza della cybersecurity. L\u2019aspetto fondamentale da far comprendere alle PMI \u00e8 quello inerente al cambio di visione. <\/em>Esse dovranno comprendere che i costi legati all\u2019implementazione delle dovute \u201cbest practice\u201d in ambito sicurezza informatica devono essere inquadrate sotto il profilo dell\u2019investimento in ottica futura, e non come un mero costo di gestione.<\/strong> Il discrimine potrebbe essere proprio questo, in quanto l\u2019adozione di adeguati sistemi di difesa potrebbe certamente consentire la \u201cmessa in sicurezza\u201d delle attivit\u00e0 digitali le quali, ormai non sono pi\u00f9 confinate al mero quinto dominio, ma sostanzialmente a quasi tutte le attivit\u00e0 aziendali. Altro aspetto assolutamente necessario in ottica cyber security \u00e8 quella inerente allo stato della domanda in prodotti ICT\/OT delle PMI italiane.<\/strong> Termini quali industria 4.0 hanno avuto di recente un grande impatto, ma tale discussione dovr\u00e0 essere analizzata anche sotto la carenza, praticamente generale, di adeguati sistemi di sicurezza dei sistemi OT, in quanto proprio questi ultimi di fatto rappresentano l\u2019insieme hardware e software di monitoraggio e controllo dei processi fisici, dei dispositivi e delle infrastrutture digitali. Appare quanto mai evidente l\u2019importanza cruciale di tali sistemi. Il budget medio delle PMI allocato in cybersecurity, dai dati disponibili, risulta essere praticamente irrisorio. Potrebbe pertanto essere quanto mai fondamentale incoraggiare gli amministratori all\u2019adozione di sistemi cyber security tramite incentivi fiscali, anche sotto il profilo della mera divulgazione della tematica<\/em>.<\/p>\r\n<\/blockquote>\r\n\r\n\r\n

\r\n\r\n\r\n

Articolo di Giovanni Gambino<\/a> | Senior Researcher Centro Studi Europeo | WG on Geopolitical, Strategic, Economic and Intelligence Analysis<\/em><\/p>","protected":false},"excerpt":{"rendered":"

PREMESSA Lo scenario attuale in ambito sicurezza cibernetica \u00e8 probabilmente il frutto derivante dall\u2019unione di quattro grandi direttrici: la digitalizzazione dei processi, la globalizzazione e lo scontro tra Stati (o aree di influenza) ed il cybercrime. La crescente globalizzazione \u00e8 riuscita a mutare le classiche basi geopolitiche, tra cui in parte quella relativa ai confini…<\/p>","protected":false},"author":19,"featured_media":1505,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"default","_kad_post_title":"default","_kad_post_layout":"default","_kad_post_sidebar_id":"","_kad_post_content_style":"default","_kad_post_vertical_padding":"default","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[31],"tags":[],"class_list":["post-558","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-articoli"],"_links":{"self":[{"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/posts\/558","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/users\/19"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/comments?post=558"}],"version-history":[{"count":4,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/posts\/558\/revisions"}],"predecessor-version":[{"id":1506,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/posts\/558\/revisions\/1506"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/media\/1505"}],"wp:attachment":[{"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/media?parent=558"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/categories?post=558"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hermescse.eu\/en\/wp-json\/wp\/v2\/tags?post=558"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}