«Abbiamo fatto la polizza cyber. Ora possiamo scegliere un antivirus che costi meno?»
Parlando con gli imprenditori, sentiamo sempre più spesso accostare queste due idee: assicurarsi contro gli attacchi informatici e risparmiare sulla sicurezza. La polizza porta sollievo. La protezione dei dati sembra una questione risolta.
Poi entriamo nel merito.
«Come gestite la sicurezza? Avete una politica di sicurezza aziendale?»
«Certo, abbiamo l’antivirus…»
«È una soluzione gestita? Chi controlla gli avvisi, verifica gli accessi e interviene quando qualcosa non va?»
«Gestita…? Mah, si aggiorna da solo. E comunque abbiamo l’assicurazione.»
In quel “comunque” c’è tutto il ragionamento: abbiamo pagato per proteggerci, perché dovremmo spendere ancora? Come se la firma sulla polizza bastasse a rendere meno necessari i controlli, gli aggiornamenti e qualcuno pronto a intervenire.
Il risparmio è facile da calcolare. Ma che cosa succede se domani un attacco blocca l’azienda: che cosa possiamo davvero chiedere alla nostra assicurazione?
La sensazione di aver risolto il problema
Capisco il ragionamento di un imprenditore. Le cose da seguire sono tante, le competenze informatiche non sempre sono presenti in azienda e la sicurezza viene spesso percepita come una spesa difficile da misurare.
Una polizza, invece, è qualcosa di concreto: un contratto, un premio, un massimale. Offre un riferimento chiaro davanti a un rischio che appare complicato.
Il problema nasce quando quella firma chiude anche la conversazione sulla cybersicurezza.
L’antivirus c’è. Il backup dovrebbe esserci. Il fornitore, se serve, risponde. E adesso c’è anche l’assicurazione.
Tutto sembra al proprio posto. Finché non serve verificare se lo sia davvero.
Ma cosa abbiamo davvero assicurato?
Abbiamo assicurato, nei limiti del contratto, alcune conseguenze economiche di un incidente. Non abbiamo ottenuto la garanzia che i nostri dati siano protetti o sempre recuperabili.
Una polizza cyber può offrire un aiuto importante: assistenza specialistica, gestione dell’emergenza e copertura di determinati costi di ripristino, interruzione dell’attività o responsabilità verso terzi. Coperture, esclusioni e condizioni vanno però verificate nel contratto. Fonte: NCSC, Cyber insurance guidance
Può quindi finanziare il lavoro necessario a recuperare i dati. Ma se non esistono copie utilizzabili e il recupero tecnico è impossibile, nessun risarcimento può ricreare quelle informazioni.
Un indennizzo non contiene lo storico dei clienti. Non ricostruisce automaticamente anni di progetti. Non restituisce gli ordini, le lavorazioni e i documenti definitivamente perduti.
E il risparmio sull’antivirus? Ridurre le protezioni perché abbiamo una polizza significa lasciare più esposti proprio i dati che ci servono per lavorare. L’assicurazione può sostenere alcuni costi dell’incidente; l’antivirus e la sua gestione servono a contrastare le minacce. Sono funzioni diverse, entrambe da valutare nella gestione del rischio.
“Si aggiorna da solo” non significa che qualcuno stia controllando
Torniamo alla conversazione iniziale.
Un antivirus che si aggiorna automaticamente svolge una funzione utile. Ma l’aggiornamento automatico, da solo, non equivale a una gestione della sicurezza.
Chi verifica che la protezione sia attiva su tutti i dispositivi? Chi legge gli avvisi? Chi interviene se viene rilevato un comportamento sospetto? Chi controlla gli accessi di un dipendente che ha lasciato l’azienda?
“Gestito” significa che esistono responsabilità, controlli e interventi.
Lo stesso vale per i backup. Il messaggio “copia completata” non risponde alla domanda che conta: riusciremo a recuperare ciò che ci serve, nei tempi necessari?
Le indicazioni ENISA raccomandano copie diversificate e protezioni contro modifica e cancellazione, anche attraverso backup offline o immutabili. Sono accorgimenti che servono a evitare che lo stesso incidente comprometta sia i dati sia le copie destinate al recupero. Fonte: ENISA, indicazioni tecniche sulla gestione del rischio informatico
E se i dati fossero stati anche rubati?
C’è un’altra conseguenza da considerare.
Un attacco può comportare la sottrazione dei dati, oltre al blocco dei sistemi. In questo caso, anche un ripristino perfettamente riuscito lascia aperto un problema: qualcuno potrebbe avere una copia delle nostre informazioni.
Contratti, dati personali, progetti riservati, condizioni commerciali.
Tornare operativi non significa aver recuperato la riservatezza. Nessuna assicurazione può garantire di rendere nuovamente segreto ciò che è stato divulgato.
E la fiducia di un cliente che ci ha affidato i propri dati non si ricostruisce con un bonifico.
Prima costruire la sicurezza, poi coprire il rischio che rimane
Le assicurazioni cyber possono essere una scelta sensata. Il punto è il ruolo che assegniamo loro.
La priorità deve essere conoscere e ridurre il rischio: proteggere gli accessi, mantenere aggiornati i sistemi, formare le persone, controllare gli eventi sospetti, proteggere i backup e provare il ripristino.
Serve anche sapere chi fa cosa durante un’emergenza. Perché cercare numeri di telefono e assegnare responsabilità mentre l’azienda è ferma significa perdere altro tempo.
Su queste basi, una polizza può completare la protezione, aiutando a sostenere le conseguenze economiche residue, comprese quelle che coinvolgono clienti e altri soggetti.
Alla domanda «come proteggiamo i nostri dati?», serve una risposta diversa.
