Italia in ritardo negli investimenti sulla sicurezza informatica

Il costo economico globale dei crimini informatici raggiungerà i 10,5 trilioni di dollari nel 2025. Non stupisce che il mercato della sicurezza informatica sia in crescita. L’Italia però è ultima tra i paesi del G7 per investimenti in questo campo.

Un tema sempre più rilevante

Sono numerosi e frequenti gli attacchi informatici lanciati nel mondo a istituzioni, aziende e privati. Secondo il rapporto di Clusit, pubblicato a ottobre 2022, tra il 1° gennaio 2011 e il 30 giugno 2022 si sono registrati 15.115 attacchi di particolare gravità, ossia eventi che hanno avuto un impatto significativo in termini di perdite economiche, di danni alla reputazione, di diffusione di dati sensibili, o che prefigurano scenari particolarmente preoccupanti. Il dato include solamente gli attacchi di cui si è venuti a conoscenza. Tendenzialmente, un attacco informatico è degno di nota quando è rivolto a un’istituzione statale, come un ministero o la polizia (e in quel caso spesso accade che i relativi siti internet non si possano consultare per diverse ore), oppure quando provoca un disservizio rilevante perché, ad esempio, è rivolto verso le strutture ospedaliere.

Più della metà degli attacchi (8.285) si sono verificati tra gennaio 2018 e giugno 2022. Nei primi sei mesi del 2022 sono stati 1.141 (in crescita dell’8,4 per cento rispetto al primo semestre del 2021): la media è di 190 attacchi al mese con un picco di 225 a marzo 2022, il dato più alto registrato fino a oggi. Ciò evidenzia la crescita esponenziale del fenomeno e il bisogno, sempre maggiore, di trovare soluzioni strutturali di difesa.

Figura 1

In un mondo sempre più digitalizzato e connesso, dove il numero di attacchi cresce esponenzialmente anno dopo anno, la sicurezza informatica è diventata di fondamentale importanza. I principali attori istituzionali si sono mossi per attuare particolari strategie capaci di proteggere i propri sistemi. Nel dicembre del 2020 la Commissione Ue e il Servizio europeo per l’azione esterna (Seae) hanno presentato la nuova strategia dell’Ue in materia di sicurezza informatica, con l’obiettivo di rafforzare la resilienza europea di fronte alle minacce informatiche. Negli Stati Uniti, invece, nel 2022 è stato approvato il Cybersecurity Act 2022, un pacchetto di leggi con l’intento di rafforzare la sicurezza informatica americana.

Il costo degli attacchi informatici

Secondo uno studio condotto da McAfee, il costo monetario dei crimini informatici nel 2020 è stimato pari a circa 945 miliardi di dollari, equivalenti a poco più dell’1 per cento del Pil mondiale. Se si considerano anche le spese in sicurezza informatica, il costo stimato sale a un trilione di dollari. Rispetto al 2018, si registra quindi un aumento di più del 50 per cento e la tendenza non è destinata a esaurirsi. Tuttavia, McAfee potrebbe sottostimare l’impatto economico di questi crimini. Per Cybersecurity Ventures, infatti, il costo annuo globale sarebbe stato pari a 3 trilioni di dollari nel 2015 e 6 trilioni nel 2021. Secondo tali previsioni, le perdite legate ai crimini informatici arriverebbero a 8 trilioni di dollari nel 2023 e a 10,5 trilioni nel 2025.

Figura 2

Per quantificare l’impatto economico dei crimini informatici si considerano diversi fattori, di natura sia economica sia extra-economica. Si può incorrere in perdite dirette, come ad esempio il pagamento di un riscatto per rientrare in possesso di dati sensibili e personali (in questo caso si parla di ransomware), oppure si può prevedere un maggior investimento in sicurezza informatica e consulenza tecnica esterna a seguito dell’attacco (il 39 per cento degli intervistati dello studio di McAfee hanno aumentato il proprio budget per la sicurezza, mentre il 30 per cento ha assunto nuovi tecnici informatici). Tuttavia, si possono individuare ulteriori costi indiretti, talvolta difficili da quantificare in termini monetari. Gli attacchi informatici, infatti, generalmente distolgono risorse dagli impieghi usuali e alterano il normale processo produttivo anche per periodi prolungati. Questo può provocare una perdita di efficienza, un calo nella produzione e disservizi in tutto il sistema. Ulteriori oneri sono legati alla perdita di proprietà intellettuale, che eventualmente può portare all’annullamento o riduzione del vantaggio competitivo, o di altre informazioni personali e sensibili, il cui valore economico non può essere facilmente quantificato (in alcuni casi, le imprese devono anche pagare un risarcimento nei confronti dei soggetti lesi). In aggiunta a ciò, i soggetti colpiti possono subire danni reputazionali, perché l’impresa può apparire negligente o non sufficientemente affidabile. A seguito dell’evento, quindi, marchio e nome dell’azienda possono perdere valore e questo può influire negativamente sia sul rapporto con il pubblico (ad esempio, si perdono clienti) sia sull’affidabilità creditizia. In sede di negoziazione dei prestiti, infatti, si potrebbe associare un rischio maggiore all’impresa che è stata precedentemente oggetto di un attacco informatico, con un conseguente aumento del costo del debito.

La situazione in Italia

Nel 2021 il mercato italiano della sicurezza informatica aveva registrato un aumento del 15 per cento rispetto all’anno precedente, con una spinta dettata dalla ripresa degli investimenti e una maggiore presa di coscienza delle sfide da affrontare. Nel 2022 l’Italia ha ottenuto risultati migliori, registrando un aumento degli investimenti pari al 18 per cento, per un valore complessivo pari a 1.855 milioni di euro. È chiara la volontà delle imprese di destinare maggiori risorse economiche alla sicurezza informatica, dato che il 61 per cento di loro ha aumentato il budget destinabile ad attività riconducibili a essa negli ultimi 12 mesi.

Figura 3

Nonostante il rapporto tra spesa in sicurezza informatica e Pil sia in lieve aumento rispetto al 2021 e si attesti allo 0,1 per cento, l’Italia rimane il paese G7 che investe meno in questo settore, dimostrando di avere ancora molti progressi da fare. In particolare, gli Stati Uniti e il Regno Unito destinano lo 0,31 per cento del loro Pil alla sicurezza informatica. A ogni modo, tra i passi in avanti che l’Italia ha fatto negli ultimi anni è da sottolineare la Strategia nazionale di cybersicurezza 2022-2026, istituita nel 2021 con obiettivi di protezione, aumento della capacità di risposta agli attacchi e sviluppo consapevole e sicuro delle tecnologie digitali.

Sui 7.144 attacchi attuati nel mondo tra il 2018 e il 2019, oltre 900 offensive hanno colpito l’Europa e 185 di queste sono state registrate in Italia, che di fatto è diventata un bersaglio sempre più frequente. Solo nelle ultime settimane, nel nostro paese si sono verificati due attacchi informatici di particolare rilevanza: il primo è del 4 febbraio 2023, quando sono stati messi fuori uso e bloccati migliaia di server in tutto il mondo, coinvolgendo prima di tutto la Francia ed espandendosi poi all’Italia e ad altri paesi europei ed extra-europei, come gli Stati Uniti e il Canada. Il secondo attacco, successivo alla visita a Kiev della presidente del Consiglio, Giorgia Meloni, è stato sferrato contro i siti istituzionali di ministeri e società quotate, provocando vari disservizi, ma senza furti di dati.