Secondo un sondaggio di Kaspersky tra i leader di sicurezza IT, la maggior parte delle aziende che adottano policy di sicurezza sull’uso dei dati vengono risarcite. Il report IT Security Economics di Kaspersky infatti sostiene che il 71% delle enterprise che segue linee guida specifiche sull’uso dei dati da parte di partner e sub-fornitori ha ricevuto un risarcimento economico in seguito ad un incidente informatico che ha coinvolto terze parti con cui vengono condivise le informazioni. Mentre solo il 22% delle organizzazioni della stessa dimensione che non dispone di simili policy ha ottenuto un rimborso.
Il Kaspersky Global Corporate IT Security Risks Survey (ITSRS) è una ricerca mondiale sui decision maker delle aziende IT, giunta alla nona edizione. Complessivamente, sono state condotte 4.958 interviste in 23 Paesi. Gli intervistati sono stati chiamati a esprimere un giudizio sullo stato della sicurezza IT nelle proprie aziende, il tipo di minacce che affrontanano e i costi che devono sostenere nel post-attacco. Le regioni interessate comprendono Latam (America Latina), Europa, Nord America, Apac (Asia-Pacifica e Cina), Giappone, Russia e Meta (Medio Oriente, Turchia e Africa).
Il report di Kaspersky ha rivelato che il 79% delle aziende dispone di policy speciali che danno indicazioni precise a partner e fornitori su come dovrebbero gestire le risorse e i dati condivisi, nonché sulle eventuali sanzioni in cui potrebbero incorrere. Le preoccupazioni delle aziende risultano fondate, infatti, secondo quanto emerso dall’indagine, i danni causati dagli incidenti costano alle organizzazioni in media 2,57 milioni di dollari e i dati breach rappresentano uno dei tre problemi più costosi affrontati dalle enterprise. I ricercatori di Kaspersky hanno scoperto diversi attacchi sofisticati rivolti alle supply chain, tra cui ShadowPad.
Uno dei principali vantaggi dell’implementazione di policy rivolte a terze parti consiste nel fatto che attraverso queste precise indicazioni è possibile risolvere le questioni di accountability e definire le diverse aree di responsabilità per entrambe le organizzazioni coinvolte. Di conseguenza, aumentano le probabilità che un’azienda riceva un risarcimento dal fornitore che si è rivelato il punto di ingresso di un attacco.
Le policy aumentano le probabilità di rimborsi anche per le PMI. Ad esempio, il 68% delle PMI dotate di policy ha ricevuto un rimborso economico, rispetto al 28% di quelle che non hanno implementato alcun regolamento per i propri sub-fornitori.
La ricerca di Kaspersky non indica se le policy sui data breach rendano più o meno frequenti gli attacchi alla supply chain. Tuttavia, quasi un quarto (24%) delle imprese di grandi dimensioni che ha implementato speciali policy IT per terze parti ha subito una violazione dei dati causata da incidenti di cybersecurity che hanno interessato i fornitori. Di contro, solo il 9% delle aziende che non ha adottato simili policy ha confermato di aver subito un attacco.
Morten Lehn, General Manager Italy di Kaspersky I risultati della nostra indagine potrebbero sembrare piuttosto paradossali se pensiamo che le aziende di grandi dimensioni dotate di policy speciali hanno dichiarato di aver sperimentato, con maggiore frequenza, attacchi rivolti alla supply chain. In realtà, è molto probabile che un’azienda con una rete più ampia di organizzazioni terze rivolga maggiore attenzione a questo settore attuando linee guida specifiche. Inoltre, avere una rete di sub-fornitori molto ampia rende sicuramente più probabile che si verifichi una violazione di dati. Per di più, le aziende che hanno adottato policy dedicate a terze parti sono in grado di determinare con maggiore precisione le cause di una particolare violazione.
Per proteggere la supply chain da attacchi informatici Kaspersky raccomanda di:
Aggiornare regolarmente la lista di partner e fornitori e i dati a cui possono accedere.
Fornire a tutte le terzi parti norme a cui attenersi, incluse anche la compliance e le security practice.
Installare Kaspersky Anti Targeted Attack, soluzione di sicurezza in grado di rilevare attacchi avanzati, che potrebbero non essere stati rilevati dalle soluzioni di protezione, inclusi gli attacchi alla supply chain, già ad uno stadio iniziale.
