Perhatian perusahaan Italia terhadap keamanan TI semakin meningkat, di tahun yang sangat sulit di depan ini, di tengah ditemukannya pelanggaran 500 juta akun Yahoo dan dugaan tindakan spionase dunia maya selama pemilihan presiden AS. Pada 2016, pasar solusi keamanan informasi di Italia mencapai 2016 juta euro pada 972, naik 5% dibandingkan tahun 2015, dengan a pengeluaran terkonsentrasi di perusahaan besar (74% dari total) dibagi antara teknologi (28%), layanan integrasi TI dan konsultasi (29%), perangkat lunak (28%) dan layanan terkelola (15%).
Hal ini dikemukakan oleh Observatorium Keamanan & Privasi Informasi Sekolah Manajemen Politeknik Milan, yang dipresentasikan pada Kamis pagi di konferensi "Cyber Crime: Ancaman tak terlihat yang mengubah dunia”. Menurut penelitian, meskipun kesadaran tumbuh, dalam menghadapi tantangan baru yang ditimbulkan oleh perkembangan teknologi seperti Cloud, Big Data, Internet of Things, Seluler dan Sosial, pendekatan jangka panjang untuk mengelola keamanan dan privasi belum tersebar luas dengan struktur tata kelola yang jelas: hanya 39% perusahaan besar yang memiliki rencana investasi dengan jangka waktu beberapa tahun dan hanya 46% yang secara formal memiliki sosok Chief Information Security Officer, profil manajerial yang bertanggung jawab atas keamanan.
"Kejahatan dunia maya adalah ancaman nyata, meskipun seringkali tidak terlihat, yang mampu mempengaruhi dunia, seperti yang ditunjukkan oleh berita harian, yang membutuhkan alat dan model baru untuk menghadapinya - kata Gabriele Faggioli, direktur ilmiah Keamanan Informasi & Privasi -. Tren inovasi digital baru seperti Cloud, Big Data, Internet of Things, Mobile dan Social membutuhkan jawaban baru yang tidak bisa ditunda lagi. Regulasi Eropa yang baru tentang Perlindungan Data Pribadi menciptakan beberapa prasyarat yang diperlukan untuk sampai pada kerangka referensi, yang bagaimanapun perlu dipahami dan diterapkan. Jalur manajemen Keamanan & Privasi Informasi mengharuskan perusahaan untuk menerapkan model tata kelola, perencanaan, dan solusi yang sesuai untuk menghadapi transformasi”.
Seperti yang dijelaskan oleh Alessandro Piva, Director of the Information Security & Privacy Observatory, "Jika kami menganalisis data penelitian lebih dalam, sebenarnya kami menyadari betapa besar organisasi Italia yang tertinggal: lebih dari setengahnya belum memiliki sosok manajerial yang terkodifikasi untuk TI. manajemen keamanan, menyoroti kesenjangan penting dibandingkan dengan apa yang terjadi di negara lain. Selain itu, terdapat keterlambatan dalam memahami implikasi tren inovasi digital seperti Cloud, IoT, Big Data, Mobile, terhadap manajemen keamanan. Dalam konteks saat ini, diperlukan model tata kelola yang lebih matang dan transversal, memastikan campuran keterampilan yang tepat untuk mengelola teknologi yang semakin meluas. Dan di satu sisi perlu merancang sistem yang mampu memprediksi kemungkinan serangan, di sisi lain mengembangkan program kesadaran bagi pengguna, untuk mempromosikan perilaku yang bertanggung jawab”.
Proyek-proyeknya
Proyek keamanan perusahaan Italia di bidang keamanan terutama berorientasi pada identifikasi risiko dan perlindungan terhadap serangan, sementara dukungan untuk deteksi peristiwa dan kemudian respons dan pemulihan masih belum matang. Bahkan, proyek yang paling populer di kalangan perusahaan besar adalah uji penetrasi dan keamanan data (51%), keamanan jaringan (48%), keamanan aplikasi (45%), keamanan titik akhir (43%), informasi keamanan & manajemen acara (SIEM ). (38%), keamanan perpesanan (38%), keamanan web (36%), tata kelola & administrasi identitas (IGA) (32%), kecerdasan ancaman (20%), keamanan transaksi (19%), keamanan media sosial ( 16 %).
Sebaliknya, kebijakan yang paling banyak saat ini menyangkut pencadangan (89%), pengelolaan akses logis (84%), pengaturan kebijakan keamanan TI (80%), pengelolaan dan penggunaan perangkat perusahaan (72%), manajemen siklus hidup data (58%), penggunaan media sosial dan web (57%), tindakan yang akan diterapkan sebagai tanggapan atas insiden TI (52%), kebijakan klasifikasi data (52%) dan enkripsinya (39% ).
mobil
Hampir semua perusahaan Italia (97%) menyediakan perangkat seluler untuk karyawannya, termasuk notebook, ponsel cerdas, tablet, dan aplikasi bisnis seluler, dengan risiko tidak hanya kemungkinan pencurian atau kehilangan perangkat seluler, tetapi juga kemungkinan serangan dunia maya yang ditargetkan. 74% perusahaan Italia memiliki inisiatif khusus untuk memitigasi risiko yang terkait dengan Keamanan Seluler, yang menyangkut pengenalan platform dan alat teknologi khusus seperti solusi MDM (Manajemen Perangkat Seluler) untuk membatasi penggunaan perangkat seluler (61% ), dan definisi aturan standar dan konvensional yang harus diikuti oleh pengguna perangkat saat mengakses sistem dan data bisnis. 27% organisasi telah menetapkan peraturan yang membatasi akses ke aplikasi dan layanan tertentu dari jaringan di luar perusahaan dan 61% telah menetapkan kebijakan khusus untuk penggunaan perangkat seluler.
awan
Risiko utama untuk lingkungan cloud bergantung pada hubungan dengan pemasok: ancaman terpenting bagi 63% perusahaan adalah kurangnya kendali atas operasi penyedia layanan, karena 44% masuk dengan pemasok dan pelanggaran data, untuk 41 % kurangnya transparansi sehubungan dengan kewajiban kontraktual dengan pemasok. Oleh karena itu jelas bahwa bukan lagi ancaman teknologi yang menjadi perhatian perusahaan tetapi perhatian yang lebih besar harus diberikan pada penyusunan kontrak dan pengelolaan hubungan dengan penyedia.
IOT
Dengan perkembangan Internet of Things, jumlah perangkat yang terhubung ke jaringan dan kemungkinan titik akses untuk serangan terhadap sistem informasi perusahaan meningkat. 47% organisasi belum menerapkan tindakan apa pun untuk melindungi diri mereka sendiri di area ini, 41% sedang mengevaluasi kemungkinan tindakan, 13% memiliki kebijakan keamanan dengan desain dalam desain produk (pengamanan dengan tindakan seperti memantau penggunaan kredensial dan praktik pemrograman yang lebih baik) , 10% menggunakan solusi teknologi khusus, 9% memiliki kebijakan pengumpulan data dalam batas perusahaan dan 5% untuk pengelolaan data yang dikumpulkan oleh objek pintar.
Intelijen dunia maya
Ancaman dunia maya semakin menjadi bagian integral dari tatanan digital perusahaan dan tidak mungkin untuk menghindari pelanggaran keamanan 100%, jadi di samping pendekatan tradisional berdasarkan perlindungan sistem, perusahaan mulai mengadopsi logika antisipasi ancaman. Analisis data terkait dunia keamanan informasi diawasi oleh 57% organisasi melalui pengawasan formal atau informal, untuk 8% pengawasan dilakukan di luar aktivitas keamanan informasi inti, 35% tidak diawaki.
32% perusahaan tidak menggunakan data untuk menafsirkan atau mengantisipasi masalah kritis, sementara 68% sisanya telah memulai tindakan di bidang ini. Integrasi data dari berbagai sumber (data insiden di seluruh dunia, alamat IP, log, URL mencurigakan dari laporan pengguna, dll.) memungkinkan pengembangan model pemantauan ancaman, yang mampu mencegat kemungkinan anomali dan mengelolanya sebelum situasi benar-benar menjadi kritis. Di beberapa perusahaan terdapat struktur khusus di dalam Pusat Operasi Keamanan, yang menganalisis dan mengkorelasikan data dari perspektif Cyber Intelligence.
Asuransi
Pasar asuransi risiko dunia maya masih belum matang di Italia. Cakupan risiko dunia maya ditujukan untuk menutupi kerusakan yang disebabkan langsung ke pelanggan atau pihak ketiga, mulai dari penyelidikan dan pengelolaan peristiwa, hingga pengelolaan penyelidikan awal, hingga cakupan kerusakan. Hanya 15% perusahaan yang sudah memiliki pertanggungan asuransi aktif, meskipun hanya di lebih dari setengah kasus (8%) ini adalah kebijakan yang secara tegas berorientasi pada risiko Cyber, sedangkan dalam kasus sisanya adalah pertanggungan umum yang menawarkannya di antara kondisi tersebut. . 29% mengevaluasi pertanggungan asuransi, sementara 32% tidak menganggap pasar asuransi siber cukup matang atau tidak menganggap masalahnya relevan.
Faktor X
Dalam keamanan faktor X fundamental, unsur ketidakpastian terkait dengan perilaku manusia, seperti gangguan atau kurangnya kesadaran, sering digunakan oleh penjahat dunia maya untuk menembus sistem perusahaan. 95% organisasi Italia telah meluncurkan tindakan khusus untuk meningkatkan kesadaran di kalangan pengguna korporat. Inisiatif yang paling tersebar luas menyangkut komunikasi berkala yang dikirim ke karyawan melalui email (77%) dan kursus pelatihan melalui sesi kelas atau e-learning (66%). Dalam 28% kasus, pelatihan juga didukung oleh penyebaran materi informasi (voucher, buklet, poster) di tempat. Untuk 28% organisasi, ini adalah proyek kesadaran terstruktur yang nyata dengan menggunakan berbagai alat dan seringkali mencakup cakrawala multi-tahun. Kegiatan penilaian kerentanan juga dilakukan pada karyawan perusahaan (28%), misalnya dengan mengirimkan email phishing palsu atau simulasi serangan komputer, yang di satu sisi berfungsi untuk mengukur tingkat kesadaran karyawan, di sisi lain untuk menguji efektivitas inisiatif yang sudah dilakukan.
UKM
Analisis penyebaran solusi keamanan informasi di antara sekitar 800 perusahaan kecil dan menengah Italia mengungkapkan bahwa 93% UKM mendedikasikan anggaran pada tahun 2016, meskipun hal ini tidak selalu sesuai dengan penggunaan yang matang dan sadar. Faktanya, alasan utama investasi adalah kepatuhan terhadap peraturan (48%) dan serangan yang diderita di masa lalu (35%), tetapi terkadang mereka mengikuti kebutuhan untuk menanggapi kebutuhan teknologi baru (22%) atau bisnis (31%). Sebagian besar UKM memiliki solusi keamanan dasar (76%) seperti antivirus dan antispam dan 62% menyatakan bahwa mereka juga memiliki solusi yang canggih, seperti firewall atau sistem deteksi intrusi. Namun, satu dari empat organisasi (25%) dipandu oleh akal sehat, tanpa pendekatan teknologi yang jelas. 46% memiliki kebijakan perusahaan yang jelas, sementara hanya 10% memiliki program pelatihan yang ditujukan untuk meningkatkan kesadaran. Pendekatan keamanan di UKM terutama berorientasi pada identifikasi (66%) dan perlindungan (66%), apalagi deteksi (12%) dan respons (15%). Perhatian terhadap survei tumbuh seiring dengan meningkatnya ukuran perusahaan, dari 11% perusahaan kecil menjadi 20% perusahaan menengah.
"UKM tampaknya meremehkan pertumbuhan kesadaran risiko di kalangan karyawan mereka – catatan Alessandro Piva -. Hanya 9% perusahaan kecil (antara 10 dan 49 karyawan) yang memiliki program pelatihan khusus untuk meningkatkan kesadaran sumber daya terhadap risiko TI, sementara relevansi tindakan kesadaran tumbuh dengan peningkatan ukuran perusahaan, mencapai 20% untuk perusahaan menengah-kecil (antara 50 dan 99 karyawan) dan 24% untuk perusahaan besar (antara 100 dan 249 karyawan)”.
