L’Italia si distingue come leader in Europa per la resilienza alle minacce informatiche, con un punteggio medio del 68% in termini di preparazione cyber. Questo è uno dei dati chiave emersi dall’ultimo studio condotto da Marsh che ha analizzato il livello di adeguamento delle aziende europee ai requisiti imposti dalla Direttiva Network and Information Systems (NIS) 2. Il report, basato sui dati raccolti tramite il Marsh Cyber Self Assessment (CSA), ha evidenziato sia punti di forza che aree critiche su cui lavorare.
Lo studio, intitolato “NIS 2 Directive: Are organisations ready?“, rivela che la Francia e i Paesi Bassi seguono l’Italia nella classifica con punteggi rispettivamente del 67% e 65%, mentre Germania e Portogallo risultano in fondo con il 48% e il 46%. Tuttavia, nonostante i risultati positivi del nostro Paese, permangono preoccupazioni, soprattutto riguardo all’utilizzo di sistemi informatici obsoleti.
L’uso di sistemi obsoleti e le sfide per la sicurezza
Il 70% delle aziende europee si affida ancora a sistemi end-of-life (EOL), tecnologie obsolete che non ricevono più aggiornamenti di sicurezza. Questa pratica rappresenta un rischio significativo, in quanto contrasta con le best practice di cybersecurity, rendendo le aziende vulnerabili agli attacchi informatici. Questo dato, emerso dallo studio, evidenzia quanto sia ancora urgente per molte organizzazioni affrontare la sfida dell’aggiornamento tecnologico.
Gestione degli accessi e autenticazione: i punti critici
Nonostante la crescente attenzione alla sicurezza informatica, solo il 32% delle organizzazioni ha implementato sistemi di gestione degli accessi privilegiati (PAM), che controllano l’accesso ai sistemi da parte di utenti con autorizzazioni elevate. Inoltre, solo il 60% richiede l’autenticazione a più fattori (MFA) per proteggere l’accesso a dati critici, una misura obbligatoria secondo la NIS 2. Questi dati mettono in luce una generale carenza nell’adozione di misure avanzate di sicurezza informatica, essenziali per prevenire violazioni e attacchi mirati.
La protezione anti-malware: una copertura parziale
Le soluzioni anti-malware risultano ben implementate su workstation e laptop, con un tasso di adozione del 90%. Tuttavia, la copertura scende drasticamente quando si tratta di server (74%) e dispositivi mobili (30%). Questa discrepanza evidenzia la necessità per le aziende di estendere le protezioni a tutti i dispositivi, garantendo una sicurezza a 360 gradi per le proprie infrastrutture digitali.
Un approccio proattivo: le vulnerabilità sotto controllo
Non mancano, però, segnali positivi. Il 50% delle organizzazioni esegue scansioni settimanali delle vulnerabilità, dimostrando un approccio proattivo nella gestione della sicurezza informatica. Questa pratica consente di individuare e correggere tempestivamente le falle nei sistemi, contribuendo a migliorare la resilienza delle aziende.
“I risultati del nostro Cyber Self Assessment mettono in evidenza punti di forza e altrettanto spazio per azioni di miglioramento nell’implementazione delle principali misure di sicurezza informatica da parte delle aziende europee” ha commentato Carlo Drioli, Head of Business Resilience & Digital Risk di Marsh Advisory Italia. “Per le organizzazioni interessate dalla Direttiva NIS 2 è più importante che mai analizzare il proprio livello di esposizione ai rischi cyber e valutare le strategie più adatte per la loro mitigazione, tanto sul piano dell’implementazione di soluzioni e sistemi, quanto nell’ambito della pianificazione della risposta agli incidenti e della formazione dei dipendenti”.
“L’introduzione della norma NIS 2 rappresenta un’opportunità per molte organizzazioni di rivalutare la propria posizione in materia di sicurezza informatica” ha aggiunto Rossella Bollini, Head of Cyber di Marsh Italia. “Per trarne pieno vantaggio, le aziende devono investire nella costruzione della resilienza attraverso l’introduzione di controlli di sicurezza, supportando questo processo attraverso il trasferimento del rischio residuo al mercato assicurativo. Questo strumento si sta infatti confermando come elemento fondamentale nella generale strategia delle organizzazioni, aiutandole a gestire i rischi finanziari legati agli incidenti informatici”.
Risultati per paese
I risultati specifici per Paese mostrano variazioni nei punteggi di valutazione dei controlli, con Italia, Francia e Paesi Bassi che ottengono buoni risultati e Svezia, Finlandia e Germania che ottengono i punteggi più bassi. L’Italia è in testa alla classifica per il punteggio medio CSA per Paese con il 68%. Seguono Francia e Paesi Bassi, rispettivamente con il 67% e il 65%. Germania (48%) e Portogallo (46%) sono in ritardo. La media è del 57%.
Ad un’analisi più approfondita, il nostro Paese ottiene ottimi risultati nell’implementazione dell’autentificazione a più fattori e nella predisposizione di piani di risposta documentati agli incidenti cyber. Più consolidati invece in Francia il ricorso ad assessment di sicurezza a opera di terze parti e l’implementazione della gestione degli accessi privilegiati. (vedi Figura 4). Per quanto riguarda l’adozione dell’MFA, Paesi Bassi, Belgio, Finlandia e Italia superano il punteggio medio del 73%, con punteggi compresi tra l’82% e l’86%. La Germania è in ritardo, con un punteggio del 56%. La differenza tra i Paesi con il punteggio più alto e quelli con il punteggio più basso è di oltre 20 punti percentuali, il che sottolinea la necessità di migliorare in alcuni Paesi.
Risultati per settore
I risultati specifici di settore rivelano che le industrie finanziarie e assicurative, identificate come vitali nell’ambito del NIS 2, sono in testa per quanto riguarda il livello di maturità nell’implementazione dei controlli, con un risultato CSA del 67% (valutazione media 67%). Il settore della produzione e distribuzione di prodotti chimici è invece in coda alla classifica (48%), mentre l’industria sanitaria, anch’essa considerata un settore vitale nell’ambito della NIS 2, ottiene un punteggio medio del 52%. Sorprendentemente, l’industria sanitaria, che è stata spesso bersaglio di attacchi informatici, ottiene un punteggio medio del 52%. Cionondimeno, è necessario un rafforzamento delle misure di sicurezza informatica nel settore sanitario, in particolare considerando la criticità dei dati personali trattati dei pazienti.
Iscriviti alla newsletter di InsurZine per restare aggiornato su tutte le ultime news e eventi Insurtech
