Un attacco ransomware può fermare la produzione, bloccare le vendite e compromettere i rapporti con clienti e fornitori. I responsabili della sicurezza conoscono questi rischi, ma farli comprendere a chi decide gli investimenti non è sempre semplice. Un elenco di vulnerabilità o un indicatore di rischio alto, medio o basso spiegano dove intervenire, ma non quanto potrebbe costare all’azienda un incidente.
È su questo problema che lavora Secure Future Group, società italiana guidata da Lorenzo Mazzei. L’azienda ha sviluppato AEGIS, una piattaforma di Cyber Risk Quantification che raccoglie dati tecnici e informazioni sul business per stimare in termini economici l’esposizione agli attacchi. Uno strumento che non nasce per prevedere con certezza quanto costerà un eventuale incidente, ma per costruire scenari probabilistici utili a confrontare rischi e investimenti, così da decidere a cosa dare la priorità sulla base del budget disponibile.
Secure Future Group: dalla valutazione delle vulnerabilità alla quantificazione economica del rischio
L’obiettivo di Secure Future Group è anche quello di cambiare il linguaggio con cui la cybersecurity viene presentata ai vertici aziendali. “I nostri referenti possono essere il CISO che vuole parlare con il board, o il CRO, che parla di rischi. Ma anche lo stesso board“, spiega Mazzei. Il punto è affiancare alle valutazioni tecniche una misura comprensibile a chi deve decidere come utilizzare le risorse.
L’altra caratteristica su cui insiste Mazzei è il perimetro dell’analisi. AEGIS può aggregare il rischio dell’intera organizzazione, dalla holding alle singole società e unità operative, fino ai processi aziendali. Il metodo riprende la logica della Business Impact Analysis, che collega le attività critiche alle conseguenze di una loro interruzione, ma la alimenta con informazioni raccolte in modo continuativo.
La piattaforma considera non soltanto l’IT tradizionale, ma anche l’Operational Technology (OT), cioè le tecnologie che controllano impianti e processi industriali, e i dispositivi IoT. È una distinzione rilevante per le aziende manifatturiere, dove un incidente può interrompere una linea produttiva anche senza compromettere direttamente i sistemi amministrativi. Per ottenere i dati AEGIS può integrarsi con strumenti di vulnerability assessment, sistemi di monitoraggio, firewall e piattaforme che aggregano eventi e log di sicurezza. Alle informazioni tecniche vengono affiancati indicatori aziendali, processi e controlli organizzativi.
Come AEGIS passa dai dati agli scenari di perdita
Il percorso non richiede necessariamente di collegare da subito tutti i sistemi del cliente. Si parte dal profilo dell’organizzazione: settore di attività, Paesi in cui opera e altre informazioni di base. Incrociando questi elementi con fonti esterne, la piattaforma produce una prima fascia di esposizione economica. La stima viene poi affinata attraverso questionari e valutazioni dei processi, anche in relazione a standard di sicurezza e normative come NIS2 e DORA.
La scelta è evitare progetti di integrazione troppo lunghi prima di ottenere un risultato utilizzabile. I questionari sono semplificati, mentre i dati tecnici possono essere aggiunti progressivamente. L’analisi diventa più dettagliata quando vengono acquisiti indicatori su vulnerabilità, configurazioni, sistemi obsoleti e minacce. Il rischio viene calcolato considerando sia la probabilità dell’incidente sia il possibile impatto sull’attività aziendale.
Il motore di AEGIS impiega modelli probabilistici e simulazioni, con scenari definiti tipico, avverso e grave. I risultati permettono di osservare come varia nel tempo l’esposizione economica e di risalire ai fattori che la influenzano, distinguendo fra problemi di governance, mancata conformità e criticità tecnologiche.
Mazzei non presenta le cifre come misurazioni infallibili. Il valore, secondo il manager, sta nella possibilità di seguire l’andamento del rischio nel tempo. Resta comunque una stima, la cui attendibilità dipende dai dati disponibili e dalle ipotesi del modello. La funzione più interessante per chi deve allocare un budget riguarda la simulazione degli interventi. AEGIS non genera un progetto tecnico completo e non stabilisce quale specifico apparato installare. Permette però di valutare macro-interventi di remediation, come il rinnovo di sistemi obsoleti, e di confrontarne il costo con la riduzione dell’esposizione economica stimata.
“Io adesso ho un milione, con questo milione cosa posso fare? […] Ci sono dieci progetti che mi sta anche suggerendo la piattaforma. Dieci macro, non micro […] con un milione ne posso fare due. Quali due scelgo? Vado a simulare quelli che potrebbero abbassarmi di più il rischio sulla piattaforma“, dice Mazzei. AEGIS, insomma, non sostituisce l’analisi tecnica, ma offre un criterio ulteriore per scegliere a quali azioni dare la priorità.
Un capitolo specifico riguarda la supply chain. Le imprese devono valutare anche il rischio introdotto da fornitori e partner. AEGIS affronta il problema su tre livelli: questionari semplificati inviati ai fornitori; analisi esterna dei domini e della superficie d’attacco attraverso feed informativi; raccolta di dati tecnologici concordata con le aziende coinvolte.
Quest’ultimo livello può includere integrazioni con gli strumenti di sicurezza già adottati dai fornitori, il trasferimento di indicatori selezionati o l’impiego di un dispositivo dedicato alla raccolta delle informazioni. La profondità dell’analisi cambia in funzione della criticità del fornitore e della sua disponibilità a condividere i dati.
NIS2, medie imprese e dialogo con il consiglio di amministrazione
La spinta delle normative è un altro fattore che sta cambiando il mercato. NIS2 e DORA, secondo Mazzei, hanno contribuito ad aumentare l’attenzione e i budget destinati alla cybersecurity. “Facendo security dal 1998 vedo ancora abbastanza ignoranza. Molti non capiscono che la security è un problema“, spiega Mazzei. Sicuramente oggi NIS2, DORA, CRA e altre norme hanno “imposto” alle imprese di adeguarsi a standard minimi di sicurezza, di investire denaro anche in questo ambito. Ma più risorse non significano automaticamente decisioni migliori: le imprese devono ancora capire come distribuirle fra strumenti, aggiornamenti, processi e controllo dei fornitori.
La strategia per la crescita di Secure Future Group
Secure Future Group ha già installazioni presso grandi imprese italiane, dove AEGIS viene utilizzata anche per ottenere una visione aggregata del rischio a livello di holding. Il mercato sul quale intende crescere, però, è quello delle medie imprese. Mazzei ritiene che proprio queste aziende, spesso inserite in filiere industriali complesse e interessate dagli obblighi di sicurezza, possano trarre beneficio da una lettura economica del rischio. Per raggiungerle, il gruppo ha avviato un canale di rivendita e predisposto un’offerta commerciale dedicata.
Il tema non è soltanto essere conformi alle norme: le conseguenze degli attacchi ransomware sulle attività produttive e commerciali possono essere enormi. Un fermo di settimane può mettere in difficoltà anche un’azienda sana, perché ai costi di ripristino si aggiungono mancati ricavi, ordini inevasi e ritardi nelle consegne. “Ci sono aziende che sono state ferme un mese per un ransomware“, osserva Mazzei. Un’interruzione prolungata può diventare un problema di sopravvivenza economica, non soltanto di ripristino dei sistemi.
Da qui la necessità di parlare a interlocutori diversi. Il responsabile della sicurezza informatica, o CISO, deve giustificare le richieste di budget; il responsabile del rischio, o CRO, deve valutarle nel quadro dell’esposizione complessiva dell’organizzazione; il consiglio di amministrazione decide quali rischi accettare e quali ridurre. Una stima economica, con tutte le sue incertezze, può rendere il confronto più concreto di una discussione limitata a configurazioni, patch o sigle tecniche.
La strategia di Secure Future Group guarda infine all’estero. Per ora, spiega Mazzei, i clienti sono italiani, anche se alcuni operano in più Paesi. Il prossimo passo è estendere la distribuzione in Europa, con Francia, Spagna e Germania fra i mercati considerati. Il gruppo punta a far leva anche sulla capacità di raccogliere in un unico modello informazioni provenienti da IT, OT e IoT, ambiti che nelle imprese vengono ancora spesso gestiti con strumenti e responsabilità separati.