Crimine informatico: dimensioni, statistiche, risorse ed opportunità

Non è un segreto, almeno per gli addetti ai lavori, che la criminalità informatica sia in crescita esponenziale, e lo sia ormai da alcuni anni. Una ricerca di CyberSecurity Ventures, un noto sito di notizie cyber, stima che il “mercato” del cyber crime arriverà a valere 8 trilioni di Dollari Americani nel 2023. Se considerassimo il fenomeno come il PIL di un paese, il crimine informatico sarebbe la terza economia al mondo, dietro solamente a Stati Uniti (23 trilioni) e Cina (18 trilioni).

8 trilioni all’anno si traducono in: 665 miliardi al mese, 22 miliardi al giorno, 925 milioni all’ora, 15 milioni al minuto, 260 mila al secondo.

Partendo da questi dati possiamo analizzarne altri, che da un lato ne spiegano le dimensioni e dall’altro ne sono le dirette conseguenze. Cominciamo dall’analizzare ciò che sta a monte del fenomeno.

Il mercato e il valore dei dati informatici

Attualmente la “popolazione” di internet (persone e aziende che hanno almeno un proprio dato personale salvato in rete) si stima essere di circa 6 miliardi di soggetti, circa il 75% della popolazione mondiale totale, e si calcola arriverà a 7,5 miliardi entro il 2030. I dati presenti in rete nel 2020 erano circa 20 Zetabytes (20 seguito da 21 zeri!) e arriveranno ad essere 200 entro il 2025. Ogni dato informatico ha un suo “valore di mercato” che, come si può immaginare, varia molto in base alla natura del dato stesso: un indirizzo e-mail avrà un valore piuttosto basso (è facile da reperire), un IBAN attribuito ad una persona vale già molto di più, il numero di una carta di credito ancora di più e così via a salire. Per inciso tra i dati più “quotati” al mercato nero in rete troviamo tutte le informazioni sanitarie (cartelle cliniche, esami, prescrizioni), quindi si può immaginare come all’incremento della criminalità informatica abbia contribuito la pandemia causata dal Covid.

I costi per le vittime del crimine informatico

Quali sono i costi per le vittime? Altissimi. Nel 2021 la media dei costi totali per un’azienda a seguito di un attacco informatico di successo è stata di circa 4,24 milioni di dollari, lo rivela lo studio che il Ponemon Institute, un’autorità in materia, pubblica tutti gli anni. Tale media varia poi da paese a paese (in Italia la media è di circa 2,7 milioni) e da settore a settore (Sanitario, Energia e Finanza i settori con medie più alte). Tra i molti dati interessanti dello studio ne emerge un altro particolarmente interessante per l’Italia, e cioè che la media del danno causato da crimini informatici non è linearmente proporzionale alla dimensione dell’azienda (in numero di dipendenti): le aziende piccole e medie subiscono in proporzione un danno più elevato di un fattore 7-8x.

La percezione del problema per fortuna sta cambiando, anche grazie al fatto che sempre più casi di vittime del cyber crime eccellenti finiscono sulle pagine dei giornali, tuttavia siamo ancora allo stadio in cui la maggior parte degli imprenditori, finchè non si subisce un attacco, risponde “perché proprio noi, siamo piccoli, mica verranno da noi”. Peccato che ormai gli hacker informatici non si dedichino solo più alla “pesca grossa” (la metafora della pesca in questo caso è particolarmente azzeccata, visto anche il nome di uno dei tipi di attacco più comuni, il “phishing”) ma anche a quella “a strascico”, e cioè vanno anche alla ricerca di falle note (bug di programmi molto popolari che regolarmente vengono scoperte) in tutti i siti e server che gli capitano a tiro in maniera del tutto casuale.

Come difendersi dagli attacchi informatici?

• Cambiando atteggiamento e riconoscendo che chiunque può essere la prossima vittima. Ciò significa mettersi in discussione e rivolgersi ad esperti di settore.
• Facendo fare agli esperti una analisi delle propria situazione di partenza dal punto di vista informatico; questa analisi prende il nome di “Cybersecurity Assessment”. L’Assessment, che costituisce un vero e proprio check-up dell’azienda, consentirà di capire quali sono le vulnerabilità principali e quale sia il fattore di rischio attuale.
• Individuando tutte le azioni necessarie a riportare il rischio informatico ad un livello accettabile, e per accettabile in questo caso significa a livello economico prima di tutto.

Abbiamo accennato agli esperti di sicurezza informatica, dove si trovano? Ecco uno dei problemi consequenziali all’esplodere del fenomeno della criminalità informatica, ce ne sono troppo pochi. La penuria di esperti di Cyber Defense (così si definisce la pratica della difesa dal cyber crime) è una piaga dei nostri giorni che al momento ha dimensioni particolarmente rilevanti e probabilmente rimarrà tale ancora a lungo. Al momento (2022) ci sono circa 4,5 milioni di addetti (non necessiamente così esperti) alla difesa informatica in tutto il mondo, di cui circa 1,2 milioni in EMEA (Europa, Medio Oriente ed Africa). La crescita anno su anno è stata del 12,5%. Il problema è che, visto il tasso di crescita degli attacchi, si stima che il fabbisogno sia di altri 3,4 milioni di addetti a livello mondiale, di cui 320mila per l’EMEA (dato cresciuto del 60% dall’anno scorso). È evidente come, con questi numeri, ci sia un gap fra addetti presenti sul campo e quelli che sarebbero necessari destinato a crescere ancora nei prossimi anni.

Come reagire a questa situazione? 4 punti cardine per difendersi e prevenire il crimine informatico

• Formazione: formazione e ancora formazione, sia di nuove leve sia delle leve esistenti
• Valorizzazione: una volta che si trovano le risorse giuste fare in modo che rimangano in azienda
• Investimenti: software e hardware mirati in base ai continui assessment (almeno 1 ogni anno) per verificare lo stato della propria sicurezza informatica
• Assicuazione: valutare una assicurazione contro i cyber crimini (Cyber Insurance), in pieno sviluppo, di pari passo con il crimine informatico. Attenzione che questa non può essere la sola misura, anche perché più il rischio che si corre è alto, più il premio assicurativo sarà alto (esattamente come le polizze salute a fronte dell’invecchiamento dell’assicurato).

Si stima che a livello mondiale si spenderà un totale di 1,75 trilioni di dollari, fra il 2021 e il 2025. Un mercato enorme che, se da un lato denuncia i rischi che tutti noi corriamo, dall’altro rappresenta una occasione economica incredibile per chi, azienda o libero professionista, voglia cimentarsi nella difesa informatica. Per questo abbiamo creato CyberAcademy, perché la formazione in cyber security è e rimarrà la prima forma di investimento, sia per il libero professionista – che potrà poi fornire la propria conoscenza al mercato – sia per le aziende che vogliono far crescere in casa i Cyber Defense Expert del futuro.

– Enrico Amistadi, Ingegnere Informatico, Co-founder di CyberAcademy e docente di Cyber Security e Intelligenza Artificiale