La resilienza informatica rappresenta oggi una sfida determinante per le multinazionali, poiché la criminalità informatica globale, le tensioni geopolitiche, l’espansione normativa e i rapidi cambiamenti tecnologici convergono per ridefinire il concetto di rischio. Come spiega Rebiah Bardot-Girard, Global Head of Cyber Risk Consulting Services di AXA XL, la rapidità di risposta, la governance e la resilienza a livello di sistema sono essenziali, così come lo è la figura di un consulente esperto.
La tecnologia è in costante evoluzione, ad un ritmo incalzante. Se da un lato ciò comporta enormi vantaggi per le imprese di qualsivoglia settore, dall’altro le espone anche tutte al rischio informatico: siamo tutti connessi.
Nel corso della mia carriera, ho assistito all’evoluzione del crimine informatico in un’attività globale e industrializzata. Dagli hacker adolescenti nelle loro camerette alle diffuse e sofisticate organizzazioni criminali internazionali con ruoli ben definiti che offrono servizi di cyber crime su richiesta, i rischi sono molto concreti, reali ed in continua evoluzione.
Per aiutare i nostri clienti a sviluppare la resilienza di fronte a questa minaccia in continua evoluzione, io e i miei colleghi cerchiamo costantemente di affinare la nostra competenza.
Continuare ad apprendere per gestire il rischio
Fortunatamente, amo imparare. Ho una laurea in Informatica, un master in Risorse Umane, un Executive MBA e attualmente sto studiando per conseguire un dottorato di ricerca sulla governance dei processi decisionali automatizzati nei sistemi di sicurezza informatica.
Ma per comprendere la resilienza informatica non basta lo studio teorico. Io ed il mio team sappiamo che dobbiamo dedicare del tempo alla formazione sulle tecnologie più recenti per saperne valutare i rischi e le opportunità. Alcune delle mie esperienze più significative derivano dai ruoli che ho ricoperto nella protezione delle imprese dai criminali informatici a livello globale e nel garantire la continuità operativa presso AXA GIE a Parigi, dove vengono coordinate la strategia e la collaborazione per l’intero Gruppo AXA. La definizione di strategie di protezione mi ha fornito importanti spunti su come aiutare i clienti a sviluppare la resilienza al rischio informatico all’interno delle loro realtà.
Per quanto la tecnologia stia evolvendo rapidamente, in definitiva è pur sempre utilizzata dalle persone, ed il rischio informatico e la resilienza dipendono principalmente dal fattore umano.
È (quasi) tutta una questione di persone
Per quanto la tecnologia stia evolvendo rapidamente, in definitiva è pur sempre utilizzata dalle persone, ed il rischio informatico e la resilienza dipendono principalmente dal fattore umano. Circa il 90% degli incidenti informatici infatti è causato da errori umani. Una componente rilevante del ruolo del mio team consiste nell’aiutare i nostri clienti a sensibilizzare l’intera organizzazione, a tutti i livelli, sulle vulnerabilità esistenti. Sottolineiamo costantemente l’importanza della formazione e dello sviluppo delle competenze.
La mia esperienza mi spinge a considerare sempre le conseguenze dello scenario peggiore. Durante la mia esperienza in AXA GIE come CSO e Crisis Coordinator, abbiamo preso in esame diversi scenari di rischio chiave, testando ripetutamente le nostre risposte. Una pandemia globale era uno di questi. Nonostante fosse uno dei rischi che meno ci aspettavamo, nel 2020 il mondo intero ne ha fatto esperienza.
Proteggere l’intero ecosistema per aumentare la resilienza informatica
Per molti versi, la pandemia ha messo in luce un’importante lezione che avevo imparato alcuni anni prima. Quando, nel 2016, la Senna raggiunse il livello più alto degli ultimi 30 anni, la città si stava rapidamente allagando. Facevo parte del team che doveva decidere se, e quando, evacuare l’edificio AXA GIE. Una delle principali considerazioni era che ciò non avrebbe interessato solo un ufficio, ma l’intero ecosistema di oltre 20 altre entità AXA a Parigi.
È stata una decisione complessa e stressante. Alla fine, abbiamo optato per non procedere all’evacuazione ed infatti, nei giorni a seguire, il livello delle acque è sceso. Così come le altre 20 entità,siamo riusciti a continuare ad operare senza interruzioni. Questi eventi ci ricordano che, per sviluppare la resilienza al rischio, l’intero ecosistema deve essere coinvolto ed informato dei rischi per poter essere protetto in modo efficace. Ciò è particolarmente vero quando si tratta di rischio informatico.
Il futuro dell’AI è già qui; dobbiamo essere tutti preparati
Non appena è disponibile una nuova tecnologia, ecco che arrivano i buoni ed i cattivi. L’AI migliora notevolmente la capacità di tutti di svolgere determinate attività. Allo stesso tempo, offre ai malintenzionati maggiori possibilità di commettere crimini informatici su scala industriale.
Recentemente, Anthropic, la società di ricerca sull’AI, ha dichiarato che non avrebbe rilasciato pubblicamente un nuovo modello – Mythos – perché si sarebbe rivelato troppo pericoloso se fosse finito nelle mani sbagliate.
Dobbiamo ricordare però che l’AI ci fornisce anche gli strumenti per combattere alcuni di questi rischi. Il patching guidato dall’AI, ad esempio, può ridurre notevolmente il tempo che intercorre tra la scoperta di una vulnerabilità e l’implementazione di una patch, oltre a minimizzare il rischio di errore umano in tale processo.
Quando parliamo con i clienti, ribadiamo un messaggio molto semplice: il momento di lavorare sulle basi della sicurezza informatica è adesso. Non è possibile gestire un’azienda solida senza disporre di una valida strategia di difesa informatica.
Il mondo cibernetico è in rapida evoluzione, il che comporta rischi potenzialmente enormi. L’intelligenza artificiale sta accelerando il ritmo di questa evoluzione. Tuttavia, se tutti noi facciamo la nostra parte all’interno dell’ecosistema e continuiamo ad apprendere e ad adattarci di conseguenza, possiamo rafforzare la resilienza in tutti i settori della società, nelle imprese grandi e piccole. Con questo obiettivo abbiamo definito i quattro pilastri — Prevent, Prepare, Protect, Prevail (Prevenire, Prepararsi, Proteggere e Gestire) — per offrire un approccio completo alla sicurezza informatica, mentre i clienti ricevono anche servizi gratuiti quali valutazioni di sicurezza, alert, formazione, esercitazioni di crisi e consulenza di esperti per aumentare la loro maturità informatica.
Potrebbe sembrare che il mio lavoro consista nel pensare sempre allo scenario più grigio. È vero, ci sono delle sfide. È un lavoro entusiasmante ed affascinante; c’è sempre qualcosa di nuovo da imparare. Posso tranquillamente affermare che non c’è mai tempo per annoiarsi!
