La sicurezza informatica è da anni una preoccupazione crescente, anche nel settore sanitario. Lo scorso gennaio, ad esempio, è avvenuto un attacco DDoS (distributed denial of service) contro diversi ospedali olandesi, coordinato dal gruppo di hacktivisti filo-russi Killnet. Durante la crisi del coronavirus, una digitalizzazione rapida e profonda ha già portato a ulteriori attacchi informatici contro il settore sanitario, ha scritto nel 2021 l’agenzia di sicurezza Z-Cert. Nel febbraio 2021 è stato raggiunto un picco provvisorio in tutta Europa. La guerra in Ucraina ha ulteriormente aumentato la minaccia di attacchi informatici perpetrati da attori statali come i gruppi di hacker sostenuti dalla Russia.

Opinioni degli amministratori

Il Board Insights Report del 2023 delinea ampiamente le opinioni dei membri del Consiglio sul panorama delle minacce globali, sulle priorità della sicurezza informatica e sulla collaborazione con i leader della sicurezza informatica (CISO). Il rapporto si concentra su tre temi: le minacce informatiche e i rischi che i leader devono affrontare, quanto sono preparati a difendersi da queste minacce e se sono allineati con i CISO. Il rapporto mostra che il numero di CISO che si sentono vulnerabili e impreparati è aumentato in modo analogo e che i dirigenti e i responsabili della sicurezza sono più allineati rispetto a prima.

Il rapporto analizza le risposte a un sondaggio condotto su 659 membri dei consigli di amministrazione di organizzazioni con 5.000 o più dipendenti in vari settori. Nel giugno 2023 sono stati intervistati più di 50 membri del consiglio nei seguenti paesi: Stati Uniti, Canada, Regno Unito, Francia, Germania, Italia, Spagna, Australia, Singapore, Giappone, Brasile e Messico.

IA generativa della paura

L’anno scorso è stato caratterizzato da continue tensioni geopolitiche, da un aumento di ransomware dirompenti e da attacchi alla catena di fornitura. Anche il crescente rischio degli strumenti di intelligenza artificiale (AI) come ChatGPT può contribuire a questo sentimento: il 59% dei membri del consiglio di amministrazione ritiene che l’intelligenza artificiale generativa rappresenti un rischio per la sicurezza della propria organizzazione.

I membri dei consigli di amministrazione sono preoccupati, anche se il 73% di loro considera già la sicurezza informatica una priorità. Inoltre, il 72% ritiene che il proprio consiglio di amministrazione abbia una buona conoscenza dei rischi informatici che devono affrontare e il 70% ritiene di aver investito abbastanza nella sicurezza informatica.

Il consenso tra amministratori e CISO è un buon segno

“Questo consenso tra i leader e i loro CISO sul rischio informatico e sulla preparazione è un segnale positivo della loro più stretta collaborazione”, ha affermato Ryan Kalember, vicepresidente esecutivo della strategia di sicurezza informatica di Proofpoint. “Tuttavia, questo riavvicinamento deve ancora portare a miglioramenti significativi negli atteggiamenti in materia di sicurezza informatica. E questo mentre i membri del consiglio di amministrazione sono soddisfatti del tempo e delle risorse che investono nella lotta a questo rischio.

Secondo Kalember, resta difficile tradurre questa maggiore consapevolezza in strategie di sicurezza informatica efficaci. Ritiene fondamentale rafforzare ulteriormente il legame tra il consiglio di amministrazione e il CISO. “Consente ai dirigenti e ai responsabili della sicurezza di avere conversazioni più significative e di assicurarsi di investire nelle cose giuste. »

Risultati principali

I risultati principali del Cybersecurity: Board of Director’s Perspective Report 2023 sono i seguenti:

• L’intelligenza artificiale generativa sta attirando l’attenzione dei consigli di amministrazione: con strumenti come ChatGPT regolarmente sotto i riflettori, il 59% degli intervistati vede questa tecnologia emergente come un rischio per la sicurezza della propria organizzazione.

• I membri dei consigli di amministrazione sono più preoccupati per il rischio informatico: il 73% degli intervistati ritiene che la propria organizzazione sia esposta a un rischio significativo di un attacco informatico, rispetto al 65% nel 2022.

• Consapevolezza e budget non si traducono in preparazione: il 73% dei membri del consiglio afferma che la sicurezza informatica è una priorità per loro, il 72% ritiene che il proprio consiglio comprenda i rischi informatici che devono affrontare, il 70% ritiene di aver investito abbastanza nella sicurezza informatica e l’84% crede che la propria sicurezza informatica sia adeguata. il budget aumenterà nei prossimi 12 mesi. Tuttavia, questi sforzi non portano a una migliore preparazione: il 53% ritiene che la propria organizzazione sia impreparata a un attacco informatico nei prossimi 12 mesi.

• Dirigenti e CISO concordano ampiamente sulle minacce principali, con i dirigenti che citano il malware come la loro principale preoccupazione (40%), seguita dalle minacce interne (36%) e dagli attacchi agli account cloud (36%). Questo non è diverso dai CISO. Citano le frodi via email/BEC (33%), le minacce interne (30%) e gli attacchi agli account cloud (29%) come le loro principali preoccupazioni.

• I manager sono fortemente in disaccordo con i CISO sui rischi umani e sulla sicurezza dei dati: mentre la maggior parte dei manager (63%) e dei CISO (60%) concordano sul fatto che l’errore umano è il rischio più grande, i membri del consiglio di amministrazione (75%) hanno molta più fiducia nella propria organizzazione. proteggere i dati rispetto ai CISO (60%).

• Budget più elevati, risorse IT aggiuntive e una migliore intelligence sulle minacce sono in cima alla lista dei desideri dei membri del consiglio: il 37% dei membri del consiglio afferma che la propria organizzazione trarrebbe vantaggio soprattutto da un budget per la sicurezza informatica, il 35% vorrebbe più risorse IT e addirittura il 35% vorrebbe una migliore intelligence sulle minacce .

• Le relazioni tra i membri del consiglio e i CISO stanno gradualmente migliorando, con il 53% dei membri del consiglio che riferisce di avere contatti regolari con i leader della sicurezza. Sebbene si tratti di un aumento rispetto allo scorso anno (47%), in quasi la metà dei casi manca ancora una forte relazione tra il CISO e il management. Tuttavia, i membri del consiglio e i CISO sono generalmente sulla stessa lunghezza d’onda quando interagiscono tra loro: il 65% dei membri del consiglio e il 62% dei CISO sono d’accordo.

• La responsabilità personale è una preoccupazione per amministratori e CISO: il 72% dei membri del consiglio afferma di essere preoccupato per la responsabilità personale a seguito di un incidente di sicurezza informatica nella propria organizzazione, e il 62% dei CISO è preoccupato per la responsabilità personale.

Progressi dei conducenti

I membri del consiglio prendono sul serio la sicurezza informatica e non si fanno illusioni sui rischi umani e sull’impatto delle minacce informatiche sui profitti. Stanno facendo progressi nei loro rapporti con i leader della sicurezza e comprendono che una stretta collaborazione tra il consiglio di amministrazione e il CISO è più importante che mai, conclude Kalember.

“Ma ora non è il momento di stare a guardare. Il consiglio deve continuare a investire nella prontezza e nella resilienza organizzativa. Ciò significa che i CISO devono avere conversazioni ancora più approfondite con i leader per prendere decisioni strategiche informate che portino risultati positivi.

Sicurezza informatica: Rapporto Outlook 2023 del Board può essere scaricato qui.