Criticità e profili di sviluppo per le PMI in un ecosistema cyber-ready

La sicurezza informatica è un punto di debolezza del sistema produttivo italiano ampiamente sottostimato, almeno dalla maggioranza dei manager e delle imprese. Questo è un problema che tende ad acuirsi con il passare del tempo. Se è vero che la consapevolezza dei rischi derivanti dalla vulnerabilità informatica sta crescendo nell’opinione pubblica, non fosse altro perché sta mano a mano diventando un tema al centro del dibattito, resta pur sempre il presentimento che il sentimento dominante sia che si tratti di problemi remoti o, comunque, riguardanti altri e questo nonostante i dati, ancora una volta, evidenziano come la possibilità di subire un attacco informatico non sia più una questione di “se”, ma di “quando”.

In questo scenario, mentre è ragionevole attendersi una minore sensibilità da parte di chi possiede una “cultura informatica limitata” e forse proprio in questo senso comune si annidano gli errori delle attuali politiche pubbliche sul tema, è invero quasi sorprendente riscontrare, soprattutto in Italia, un grado di disinteresse ancora troppo elevato tra chi riveste ruoli di responsabilità manageriale, sia nel settore privato che in quello pubblico.

A livello nazionale, ma soprattutto a livello europeo, si stanno compiendo alcuni passi significativi nella direzione di una strategia comune a livello Europeo e “paese” per quanto attiene l’Italia, che includano difesa, polizia, intelligence, infrastrutture critiche, pubblica amministrazione ed imprese, così come hanno fatto altri paesi, tra cui Germania e Regno Unito.

Questo sforzo, coordinato dalle istituzioni, rappresenta la necessaria ed ormai imprescindibile risposta alla crescita delle attività informatiche criminose, terroristiche, di spionaggio e di hacktivism a cui ogni paese è ormai esposto in maniera massiva e, purtroppo, crescente. Non vi è peraltro dubbio, anche se probabilmente siamo solo all’inizio di una nuova era di inedite sfide alla sicurezza, che l’accelerazione nell’introduzione di nuove tecnologie digitali, dell’industria 4.0 e dell’era dei dati porterà a una crescita esponenziale dei rischi.

Volendo limitare la problematica al mondo delle imprese, senza dubbio le grandi imprese italiane hanno preso atto del problema e si sono organizzate con strutture e risorse adeguate con l’intento, in alcuni casi, di fare da traino ad un sistema di P.M.I. in difficoltà nello stare al passo. Se è vero che, di fronte ad alcune minacce generate da una grande disponibilità di risorse finanziarie e umane, il concetto di sicurezza è comunque probabilistico, le grandi imprese hanno comunque creato strutture interne almeno in grado di alzare il livello di sicurezza e di presidiare le variabili rilevanti. In questo certamente sono stati fatti enormi passi avanti e strumenti quali quello delle partnership privato-privato nonché l’istituzione del Perimetro di Sicurezza Nazionale Cibernetica potranno fare da volano per lo sviluppo di un ecosistema di cybersecurity che possa maggiormente comprendere le P.M.I..

Per queste ultime, infatti, i dati dimostrano come la cybersecurity sia interpretata prevalentemente come un problema che riguarda la direzione sistemi informativi e la consapevolezza dei rischi attuali ed imminenti è molto contenuta.

È certamente vero che un attacco a una media impresa, probabilmente, avrebbe un impatto meno grave di quanto non possa accadere nel caso in cui fosse interessato un grande operatore finanziario o dell’energia, ma la situazione non è certamente così trascurabile. Da un lato, infatti, le P.M.I. rappresentano la dorsale su cui poggia l’intero sistema produttivo italiano poiché in molti casi producono prodotti e servizi rilevanti per la società, ma soprattutto rappresentano segmenti fondamentali delle filiere produttive dei settori più competitivi del Paese. Dall’altro, trattandosi di soggetti più vulnerabili, un attacco che possa contagiare porzioni rilevanti del sistema potrebbe avere conseguenze di gravità simile a possibili attacchi a imprese di maggiore dimensione. Ed infine, nell’attuale scenario digitale, è sempre più probabile come attacchi cibernetici mirati a P.M.I. siano in grado di sferrare colpi micidiali dai quali risulta poi impossibile riprendersi vuoi per i costi da sostenere per il riavvio dell’attività, vuoi per il furto di know-how che rappresentava il valore aggiunto dell’impresa in un mercato sempre più competitivo, vuoi per problemi di reputation aziendale in grado di sovvertire completamente e definitivamente le sorti dell’azienda sul mercato.

In questo quadro, in cui si è ancora ben lontani dalla soluzione del problema della sicurezza informatica, ci si troverà molto presto a fronteggiare nuovi rischi derivanti dai sistemi cyber-fisici. Pensando allo sviluppo dell’Industry 4.0 e in particolare all’IoT ed alla connessione dei sistemi produttivi, è chiaro che l’industria (e di conseguenza la società) si appresta ad “accogliere” miliardi di oggetti dotati di capacità di connessione.

Sotto questo profilo è lecito chiedersi se l’avvento dei sistemi cyber-fisici rappresenti un incontro tra mondo industriale e mondo informatico o possa diventare uno scontro tra una cultura solida e, dunque, regolamentata e soggetta a cambiamenti graduali ed una cultura immateriale, più allergica alle norme e geneticamente in mutazione continua.

La sicurezza di questi sistemi è indubbiamente un nuovo problema di sicurezza che va affrontato a livello istituzionale, ma, soprattutto, a livello manageriale ed imprenditoriale. La cybersecurity delle imprese non può più essere pensata come un problema del responsabile dell’IT, ma è un tema strategico che deve entrare nell’agenda del top management e non è più nemmeno un problema di costo, ma deve divenire investimento strategico nell’ottica di poter crescere e trasformarsi in fattore produttivo per l’azienda.

Ovviamente servono anche competenze tecniche per gestire questi aspetti e ruoli nuovi che siano in grado di governare questa variabile a livello alto, possibilmente entrando a far parte dei board aziendali, e trasversale. Resta sullo sfondo il tema cruciale quindi, quello della formazione e dell’evoluzione culturale di un Paese ancora una volta costretto ad inseguire. La tematica non offre soluzioni facili anche perché appare davvero lontano il concetto di cyber-safe cioè la possibilità di essere davvero e completamente protetti dalle minacce cyber; serve piuttosto una consapevolezza diffusa che guidi le scelte pubbliche e private verso un nuovo paradigma di cybersecurity in grado, come sta accadendo nel Regno Unito, di divenire volano per l’economia e non restare un superfluo costo aziendale.

Estratto dalla tesi del Master in “Intelligence Economica” ed. 2019-2020

Candidato Alessandro Nicola Pirrazzo

Tutor Giacomo Stucchi, Vito Manfredi Latilla