L’Agenzia dell’Unione Europea per la Cybersecurity pubblica l’ultimo rapporto sugli investimenti in sicurezza delle reti e dell’informazione nell’UE, fornendo una panoramica su come la direttiva NIS ha influito sul budget degli operatori per la cybersecurity nell’ultimo anno, con approfondimenti nei settori dell’energia e della sanità. Il rapporto analizza i dati raccolti dagli Operatori di Servizi Essenziali (OES) e dai Fornitori di Servizi Digitali (DSP) identificati nella Direttiva dell’Unione Europea sui Sistemi di Sicurezza delle Reti e dell’Informazione (Direttiva NIS). L’analisi cerca di capire se questi operatori hanno investito i loro budget in modo diverso nell’ultimo anno per soddisfare i nuovi requisiti stabiliti dal testo legislativo. Il direttore esecutivo dell’Agenzia europea per la sicurezza informatica, Juhan Lepassaar, ha dichiarato: “La resilienza delle infrastrutture e delle tecnologie critiche dell’UE dipenderà in larga misura dalla nostra capacità di effettuare investimenti strategici. Sono certo che abbiamo le competenze e le capacità necessarie per raggiungere il nostro obiettivo, che è quello di garantire le risorse adeguate per sviluppare ulteriormente le nostre capacità di sicurezza informatica in tutti i settori economici dell’UE”.
Parametri contestuali che inquadrano l’analisi
Il rapporto comprende un’analisi che ha raggiunto più di 1.000 operatori nei 27 Stati membri dell’UE. I risultati relativi mostrano che la percentuale del budget per le tecnologie dell’informazione (IT) dedicato alla sicurezza informatica (IS) sembra essere inferiore rispetto ai risultati dello scorso anno, scendendo dal 7,7% al 6,7%. Questi numeri devono essere concepiti come una panoramica generale della spesa per la sicurezza delle informazioni in una variegata tipologia di settori strategici. Di conseguenza, specifiche contingenze macroeconomiche come il COVID19 possono aver influenzato i risultati medi.
Quali sono i risultati principali?
- La direttiva NIS, altri obblighi normativi e il panorama delle minacce sono i principali fattori che incidono sui budget per la sicurezza informatica;
- I grandi operatori investono 120.000 euro in Cyber Threat Intelligence (CTI) rispetto ai 5.500 euro delle PMI, mentre gli operatori con SOC completamente interni o insourcing spendono circa 350.000 euro in CTI, il 72% in più rispetto agli operatori con un SOC ibrido;
- i settori sanitario e bancario sostengono i costi più elevati tra i settori critici in caso di gravi incidenti di cybersecurity, con un costo diretto mediano di un incidente in questi settori pari a 300 000 euro;
- Il 37% degli operatori di servizi essenziali e dei fornitori di servizi digitali non dispone di un SOC;
- per il 69% la maggior parte degli incidenti di sicurezza informatica è causata da vulnerabilità in prodotti software o hardware, con il settore sanitario che dichiara il maggior numero di incidenti di questo tipo;
- L’assicurazione contro le minacce informatiche è scesa al 13% nel 2021, raggiungendo un minimo del 30% rispetto al 2020;
- Solo il 5% delle PMI sottoscrive un’assicurazione informatica;
- l’86% ha implementato politiche di gestione dei rischi di terzi.
- Principali risultati dei settori Salute ed Energia
Salute
Da una prospettiva globale, gli investimenti nell’ICT per il settore sanitario sembrano essere fortemente influenzati dal COVID-19, con molti ospedali alla ricerca di tecnologie per espandere i servizi sanitari da erogare oltre i confini geografici degli ospedali. I controlli di cybersecurity rimangono comunque una priorità assoluta per la spesa, con il 55% degli operatori sanitari che chiede maggiori finanziamenti per gli strumenti di cybersecurity. Il 64% degli operatori sanitari ricorre già a dispositivi medici connessi e il 62% ha già implementato una soluzione di sicurezza specifica per i dispositivi medici. Solo il 27% degli OES del settore intervistati ha un programma di difesa dedicato al ransomware e il 40% non ha un programma di sensibilizzazione alla sicurezza per il personale non informatico.
L’energia
Gli operatori del settore petrolifero e del gas sembrano dare priorità alla cybersecurity, con un aumento degli investimenti pari al 74%. Il settore energetico mostra una tendenza a spostare gli investimenti dall’infrastruttura legacy e dai data center ai servizi cloud. Tuttavia, il 32% degli operatori di questo settore non ha un solo processo critico di Operation Technology (OT) monitorato da un SOC. OT e IT sono coperti da un unico SOC per il 52% degli OES del settore energetico.
Premessa
L’obiettivo della Direttiva sulla sicurezza delle reti e dei sistemi informativi (Direttiva NIS) è quello di raggiungere un elevato livello comune di sicurezza informatica in tutti gli Stati membri. Uno dei tre pilastri della direttiva NIS è l’attuazione degli obblighi di gestione e segnalazione dei rischi per gli OES e i DSP. Gli OES forniscono servizi essenziali nei settori strategici dell’energia (elettricità, petrolio e gas), dei trasporti (aerei, ferroviari, idrici e stradali), delle banche, delle infrastrutture dei mercati finanziari, della sanità, della fornitura e distribuzione di acqua potabile e delle infrastrutture digitali (punti di scambio Internet, fornitori di servizi di sistema di nomi di dominio, registri di nomi di dominio di primo livello). I DSP operano in un ambiente online, in particolare mercati online, motori di ricerca online e servizi di cloud computing. Il rapporto analizza il modo in cui gli operatori investono nella sicurezza informatica e rispettano gli obiettivi della direttiva NIS. Fornisce inoltre una panoramica della situazione in relazione ad aspetti quali il personale addetto alla sicurezza informatica, l’assicurazione informatica e l’organizzazione della sicurezza informatica negli OES e nei DSP.
