Ricerca 2006 sulla sicurezza IT : i nuovi rischi e le priorità di intervento

Accenture, in collaborazione con InformationWeek, ha recentemente completato l'annuale ricerca sulla sicurezza. Lo studio 2006, intitolato "InformationWeek Research's Global Security Survey 2006 " analizza lo stato dell'arte e le linee evolutive caratterizzanti il panorama internazionale della sicurezza IT. La ricerca, ormai giunta al nono anno, indica come il livello di rischio rimanga elevato, nonostante i passi avanti compiuti sul fronte della prevenzione e del controllo. In Italia il 66% degli intervistati dichiara di sentirsi più vulnerabile agli attacchi alla sicurezza rispetto allo scorso anno. Tra le priorità di intervento indicate, vi sono una maggiore consapevolezza degli utenti, l'applicazione delle policy di sicurezza ed il controllo dei sistemi di accesso.

Maggiore confidenza con la sicurezza per il privato ma anche per le PA

La ricerca del 2006 analizza gli investimenti in sicurezza e le priorità di intervento segnalate da oltre 2000 professionisti, impegnati nella gestione della sicurezza IT nell'ambito di organizzazioni pubbliche e private di 8 paesi, tra cui gli Stati Uniti, l'India, la Cina, l'Italia e la Francia.
Lo studio ha rilevato un incremento nel livello di confidenza verso gli strumenti di sicurezza, tanto che rispetto allo scorso anno quasi la metà degli intervistati si ritiene meno esposta, e solo l'11% si sente più vulnerabile.
D'altra parte la natura delle minacce sta cambiando, e il rischio è sempre più legato alla protezione dei dati. Ciò è vero in particolare per il settore pubblico, dove la sicurezza informatica rimane un fattore fondamentale nel processo di digitalizzazione dei servizi per i cittadini e le imprese. E difatti se in passato la principale preoccupazione era la difesa del perimetro della rete aziendale, oggi gli intervistati segnalano che gli "attacchi" più frequenti riguardano il furto d'identità, la proprietà intellettuale e l'accesso ad informazioni confidenziali. La vulnerabilità delle risorse di rete e applicazioni rimane un tema attuale, ma in misura significativamente ridotta rispetto al passato.
Nelle aziende e nelle amministrazioni in cui si rileva una maggior fiducia verso le tecnologie di sicurezza, si riscontra l'adozione in modo industrializzato di strumenti e processi per proteggere i sistemi, e parallelamente l'uso di sistemi di controllo degli accessi.
Per citare un noto esempio su larga scala, negli Stati Uniti è stata realizzata l'iniziativa US-VISIT per rafforzare la sicurezza dei confini e riconciliare gli ingressi e le uscite dei visitatori non americani. Tale iniziativa, di cui Accenture è il lead contractor, richiede l'integrazione di sistemi e organizzazioni con policy e regole di accesso alle informazioni differenti, e allo stesso tempo deve adattarsi a un contesto tecnologico in rapida evoluzione.
Tuttavia la gestione della sicurezza nel contesto dell'integrazione dei sistemi informativi dell'azienda con la rete dei partner e dei clienti rimane tra le sfide maggiori. E di pari passo viene segnalata la necessità di aumentare la consapevolezza degli utenti, in particolare con formazione mirata, e l'effettiva applicazione da parte loro delle policy di sicurezza.

Italia: alcune specificità

Sul fronte degli investimenti la previsione per il prossimo anno, è di una crescita della spesa per la sicurezza IT. E l'elemento prioritario in questo caso, seppure con diverse gradazioni dipendenti dalle legislazioni locali, è il monitoraggio del rispetto della normativa sugli standard di sicurezza e sulla privacy.

Per quanto riguarda l'Italia i risultati della ricerca evidenziano alcune specificità. Rispetto al 2005, infatti, la maggioranza degli intervistati si sente più vulnerabile e più "a rischio" di fronte ad eventuali "attacchi". Nello specifico, secondo il 19% del campione il potenziamento e l'effettiva applicazione delle policy per la sicurezza rimane la sfida più grande che le organizzazioni devono affrontare. Il 16% degli intervistati ritiene, invece, che la consapevolezza degli utenti rispetto alle problematiche legate alla sicurezza sia prioritaria. Infine, il 12% circa del campione sottolinea la necessità di prevenire le intrusioni e lamenta l'insufficienza di risorse specializzate.
"Il fatto che il 74% degli intervistati riferisca di aver subito attacchi tramite virus lo scorso anno (rispetto alla media globale del 66%), e che il 41% del campione dichiari di aver subito il furto delle credenziali via e-mail è un dato preoccupante" - afferma Roberto Marinelli, Partner Accenture - "Tale dato - prosegue Marinelli - andrebbe analizzato con molta attenzione soprattutto in ambito pubblico, considerando gli attuali scenari e il trend evolutivo dei servizi e-Government. In tale contesto, se da un lato la nostra ricerca annuale ha rilevato una forte propensione a favore di una nuova generazione di servizi in grado di aumentare le opportunità di accesso alla macchina pubblica, sfruttando in modo coordinato tutti i canali e avviando, allo stesso tempo, un dialogo più stretto tra le varie istituzioni locali e quelle centrali, dall'altro si assiste ad una crescente domanda di sicurezza". "In altre parole, - conclude Marinelli - la capacità di fornire servizi integrati e coordinati sempre più ritagliati sulle esigenze di cittadini e imprese, deve essere associata a precise garanzie di elevati livelli di sicurezza in termini di riservatezza, integrità, disponibilità e autenticità dei dati".

Identity and Access Management

Sul piano dell'efficienza nella gestione della sicurezza, infatti, va anche indirizzata la necessità di ottimizzare la gestione operativa di enti pubblici e privati, caratterizzati da strutture complesse, con soluzioni di Identity and Access Management (IAM).
L'Identity and Access Management (IAM) è una soluzione integrata che gestisce e controlla l'accesso alle risorse informatiche e ai dati, non solo attraverso l'uso di nuove tecnologie, ma anche tramite il ridisegno dei processi e la revisione degli aspetti organizzativi. L'Identity Management identifica il richiedente, mentre l'Access Management definisce che cosa può essere fatto, data l'identità. "Una soluzione di IAM - commenta Francesca Della Mea, Senior Manager Accenture e responsabile dell'offerta di Security Technologies - richiede un'implementazione tecnologica, ma questo aspetto è solo una componente dell'intera soluzione. È necessaria una trasformazione dei processi. Occorre definire la soluzione in modo da coinvolgere le persone che fanno parte dell'organizzazione. Questo tipo di soluzione trasforma i processi di supporto alla gestione delle identità in essere, ad esempio la definizione dei ruoli e del modello dei permessi di accesso permette la semplificazione degli accessi utente. Laddove possibile, i processi manuali sono automatizzati e i processi che si basano sull'IT sono semplificati". In pratica, un'efficace soluzione di Identity and Access Management favorisce la gestione efficiente dell'operatività secondo caratteristiche di flessibilità, elevate capacità di risposta e sicurezza, ma soprattutto consente di migliorare l'efficienza e l'efficacia del servizio per gli utenti finali.
"Le nostre esperienze in Belgio ed in Irlanda, per esempio - conclude Della Mea - vanno proprio in questa direzione. In Belgio abbiamo affiancato il Governo Federale nella realizzazione del portale federale,disegnato per essere il punto di contatto di tutte le informazioni, comunicazioni e transazioni tra il governo del Belgio e i suoi 10 milioni di cittadini, aziende e altre organizzazioni. L'utente riceve un codice d'identificazione univoco, che offre accesso ai servizi della pubblica amministrazione belga, sia che questi siano gestiti dalla struttura federale, da quella regionale o da quella locale. In Irlanda, dove abbiamo supportato il Dipartimento delle Entrate nel programma di pagamento/riscossione delle tasse on-line, sono state usate soluzioni innovative e sicure di autenticazione degli utenti, che riducono al minimo il rischio legato all'accesso ad informazioni confidenziali e personali".