La certificazione delle aziende riduce l’esposizione ai cyberattacchi

Oggi in Italia sono poco meno di 3.500 le aziende che possono esibire la certificazione Iso/Iec 27001 per la sicurezza delle informazioni, un numero in assoluto molto contenuto ma pur sempre in crescita del 21% nel raffronto sui dodici messi. A rilasciare questi “green pass” relativi ai dati sono 20 organismi accreditati, mentre sono cinque i laboratori di prova deputati ad eseguire attività di “vulnerability assesments” e circa 700 professionisti ad oggi certificati come Responsabili della protezione dei dati personali.

A fare luce su quella che è una materia spesso poco dibattuta nell’ambito del tema della cybersecurity ci ha pensato Accredia, l’Ente unico nazionale di accreditamento designato dal Governo italiano (attivo dal 2002 con il compito di attestare la competenza dei laboratori e degli organismi che verificano la conformità di prodotti, servizi e professionisti agli standard di riferimento), che ha reso pubblico un Osservatorio realizzato insieme al Cybersecurity National Lab del Cini, il Consorzio interuniversitario per l’informatica, per verificare il contributo e i benefici che può avere la certificazione rispetto alla qualità dei sistemi di difesa contro l’azione dei cybercriminali.

Per farlo sono stati esaminati due campioni di imprese pubbliche e private e analizzati i rispettivi siti web, verificando numero di vulnerabilità note, il corretto utilizzo del protocollo Https e il livello di aggiornamento e sicurezza della piattaforma di content management.

Il dato che balza immediatamente all’occhio è che le organizzazioni (imprese ed istituzioni) dotate di certificazione dei sistemi di gestione per la sicurezza delle informazioni sono esposte ad attacchi informatici in una misura del 23% inferiore rispetto a quelle in possesso della sola certificazione per la qualità Iso 9001: delle 1.207 vulnerabilità sui servizi Web riscontrate, in particolare, 524 appartenevano al primo cluster e 683 al secondo.

La certificazione ha inoltre il vantaggio di produrre benefici duraturi in azienda e non limitati alla migliore gestione del rischio informatico. Dall’analisi di tipo qualitativo che ha coinvolto alcune grandi aziende italiane, tra cui Poste e Gruppo Iccrea, è infatti emerso come lo sforzo di adeguare l’organizzazione alla certificazione abbia prodotto, nel medio e lungo periodo, un miglioramento profondo dei processi aziendali (omogeneizzazione, monitoraggio, valutazione delle prestazioni, auditing e altro ancora) e stimolato al contempo una crescita della cultura della sicurezza.