Calcolare l'elevato costo delle violazioni dei dati nel 2021

Quando si parla di violazioni dei dati, spesso ci si limita a citare i “dati” che sono stati compromessi. Il problema è che, se non si tiene conto del costo di queste violazioni, manca il contesto. Dopotutto, non c’è esempio più chiaro dell’impatto su un’azienda di quanto incida sui profitti.

In questo articolo vedremo:

• Perché si verificano le violazioni dei dati.
• I principali fattori che determinano i costi delle violazioni dei dati.
• Costo medio di una violazione dei dati.
• Esempi di violazioni dei dati nel 2020 e nel 2021.
• Quanto potrebbero essere costate queste violazioni dei dati.
• Cosa può fare la tua organizzazione per ridurre l’impatto.

(Se hai poco tempo, alla fine dell’articolo trovi un riassunto “tl;dr”)

Perché si verificano le violazioni dei dati?

Abbiamo tre categorie principali di cause delle violazioni dei dati: errore umano, attacchi dolosi e malfunzionamenti del sistema.

Ma, grazie a un rapporto di IBM Security sui costi delle violazioni dei dati, possiamo vedere che raramente la colpa è tutta della parte tecnica. No, nel 75% dei casi, la colpa è proprio di chi usa la tecnologia. Sia per errore umano, sia per qualche tipo di attacco doloso.

Fonte: Rapporto sui costi delle violazioni dei dati 2020, IBM Security

Se analizziamo un po’ più da vicino la categoria degli attacchi dannosi, ci rendiamo conto che gran parte della colpa è da attribuire a configurazioni cloud poco sicure e password deboli. Entrambe queste criticità possono essere effettivamente mitigate con una formazione regolare sulla sicurezza e una politica di sicurezza efficace.

Fonte: Rapporto 2020 sul costo delle violazioni dei dati, IBM Security

La complessità dei moderni sistemi di sicurezza ha senza dubbio portato a sfide sempre più impegnative per i team di sicurezza. Dato che diverse parti dell’organizzazione devono ricorrere a un numero sempre maggiore di software esterni, si apre un altro vettore di minaccia da cui difendersi. È anche difficile ignorare gli attacchi di phishing come potenziale vettore di minaccia, visto che rappresentano il 14% delle violazioni dei dati dolose.

Calcolo del costo delle violazioni dei dati

Ci sono tanti fattori da considerare se vogliamo provare a calcolare quanto potrebbe costare una violazione dei dati, ma in sostanza possiamo suddividerli in quattro principali voci di costo:

• Rilevamento ed escalation: si tratta di qualsiasi azione intrapresa da un’azienda per individuare una violazione, come ad esempio i servizi di audit.
• Avviso: una volta che un’organizzazione si è resa conto che c’è un problema, deve comunicare non solo con gli interessati, ma anche con le autorità di controllo, gli esperti legali e i consulenti in materia di normative.
• Perdita di affari: a seconda della natura della violazione, un’organizzazione può subire tempi di inattività che incidono sui ricavi e, a lungo termine, dovrà affrontare un danno d’immagine.
• Reazione a posteriori: una volta che la violazione si è verificata e gli utenti coinvolti sono stati avvisati, arriva l’ondata di richieste, i potenziali costi legali, le multe e magari anche offerte e sconti per recuperare un po’ di quella reputazione ormai compromessa.

Oltre a queste principali voci di costo, ci sono altri fattori che possiamo prendere in considerazione. Ad esempio, il costo per cartella clinica varia a seconda del Paese e del settore, e quelle del settore sanitario statunitense sono le più costose.

Poi c’è la tipologia dei dati stessi. Le informazioni di identificazione personale (PII) dei clienti sono il tipo di dati più costoso e di gran lunga quello più spesso oggetto di violazioni. Ma in generale, si può notare che il costo medio per record, sia per le violazioni di dati su piccola che su larga scala, si attesta a ben 146 dollari.

Fonte: Rapporto sui costi delle violazioni dei dati 2020, IBM Security

Diciamo “da piccolo a grande” perché c’è un altro fattore di costo legato alle dimensioni:

La temuta“mega violazione”.

Qualsiasi violazione che coinvolga più di 1 milione di record viene definita “mega violazione”; rappresenta lo scenario peggiore in assoluto per le organizzazioni coinvolte. Sono anche le violazioni di cui si sente parlare di più, semplicemente perché sono di portata così vasta.

Fonte: Rapporto sui costi delle violazioni dei dati 2020, IBM Security

Visto che sono così estesi, vanno analizzati separatamente dalle violazioni, dalle più piccole a quelle più grandi, altrimenti finirebbero per falsare i dati.

Le recenti violazioni dei dati e quanto costano

Sulla base dei dati qui sopra, possiamo stimare quanto siano costate a queste aziende alcune delle violazioni dei dati più clamorose.

Senza un ordine preciso, ecco una carrellata di alcune delle più gravi violazioni dei dati che abbiamo visto negli ultimi 12 mesi e più o meno, e quanto sono costate.

533 milioni - Facebook, 3 aprile 2021

Costo stimato: 3,7 miliardi di dollari

Tipo di dati esposti: numeri di telefono, data di nascita, posizioni (compresi i dati storici), nome completo, alcuni indirizzi e-mail.

All’inizio di aprile 2021 è venuto fuori che i dati personali di oltre mezzo miliardo di utenti di Facebook erano stati divulgati. Facebook ha deciso di non avvisare gli utenti coinvolti (forse per risparmiare, visto che sappiamo che le notifiche e le risposte a posteriori sono due delle principali voci di spesa) dopo che i loro dati sono stati raccolti sfruttando una vulnerabilità in una funzione ormai dismessa.

250 milioni - Microsoft, 22 gennaio 2020

Costo stimato: 1,8 miliardi di dollari

Tipo di dati esposti: indirizzi e-mail, indirizzi IP, registri delle chat.

Il 2020 era appena iniziato quando Microsoft ha annunciato una grave violazione dei dati. Anche se non hanno fornito cifre precise, secondo le stime i dati compromessi sarebbero circa 250 milioni. Questi dati includevano indirizzi e-mail e IP, oltre alle trascrizioni delle chat tra il personale dell’assistenza e i clienti. Microsoft ha ammesso che questa violazione è stata causata da una «configurazione errata di un database interno dell’assistenza clienti».

9 milioni - EasyJet, 12 maggio 2020

Costo stimato: 50 milioni di dollari

Tipo di dati compromessi: carte di credito e di debito

A maggio 2020, EasyJet ha annunciato che 9 milioni di dati dei clienti erano stati “consultati” in quello che hanno definito un “attacco informatico altamente sofisticato”. Questo attacco è arrivato in un brutto momento per EasyJet, visto che l’impatto della pandemia stava iniziando a farsi sentire e riguardava i dati delle carte di credito. Inoltre, ha portato 10.000 persone a partecipare a una causa legale contro EasyJet. A seconda dell’esito del caso, la stima di 50 milioni di dollari potrebbe salire a miliardi, dato che ogni vittima potrebbe avere diritto a 2.500 dollari.

5,2 milioni - Marriott, 31 marzo 2020

Costo stimato: 50 milioni di dollari

Tipo di dati trapelati: nomi, indirizzi, alcuni numeri di telefono e indirizzi e-mail

Il colosso alberghiero Marriott ha rivelato che i dati di 5,2 milioni di ospiti sono stati resi pubblici dopo che alcuni hacker sono riusciti a ottenere le credenziali di accesso di due dipendenti. Questo episodio si aggiunge a una precedente violazione avvenuta nel 2018, quando una delle filiali di Marriott è stata vittima di un attacco hacker che ha portato alla divulgazione di milioni di numeri di passaporto e dati delle carte di credito non crittografati.

Cosa può fare la tua organizzazione per ridurre l’impatto?

È evidente che le organizzazioni di ogni tipo e dimensione non sono del tutto al riparo. Che si tratti di disattenzione o di intenzioni malevole, quando ci sono persone che interagiscono con le macchine, ci saranno sempre dei punti deboli.

Ci saranno anche persone disposte e in grado di sfruttare quei punti deboli.

Non è però tutto così nero come sembra, perché ci sono un sacco di cose che la tua azienda può iniziare a fare subito per ridurre il rischio di una violazione dei dati.

Fonte: Rapporto sui costi delle violazioni dei dati 2020, IBM Security

• Test di risposta agli incidenti: sapere cosa fare quando si verifica il peggio può far risparmiare alla tua organizzazione oltre 230.000 dollari. Gli strumenti di gestione degli incidenti ti aiutano a coordinare tutte le parti in gioco, offrendoti una visione d’insieme del ciclo di vita di un incidente quando si verifica. Ma è fondamentale anche mettere alla prova tutto questo con attacchi simulati. Non è solo il team IT che deve essere coinvolto nei test. Tutti, dai venditori al personale di assistenza, dovrebbero partecipare. Soprattutto vista la natura in continua evoluzione di minacce come il phishing e il ransomware. Il 96% delle violazioni dei dati ha origine dalle e-mail, ma eseguire attacchi di phishing simulati per preparare il tuo team non deve necessariamente essere costoso o richiedere molto tempo.

• Formazione sulla sicurezza informatica: l’aumento del lavoro da remoto ha aggiunto un ulteriore livello di vulnerabilità, dato che i dipendenti usano dispositivi e connessioni potenzialmente non sicuri per accedere a dati sensibili. Quindi, ora più che mai, la formazione sulla sicurezza informatica dei dipendenti può aiutarti a ridurre i rischi (e i potenziali costi) legati alle violazioni dei dati.

• Crittografia estesa: molte violazioni di dati di grande risonanza hanno riguardato casi in cui i dati sensibili erano archiviati in file non crittografati, con password e dati delle carte di credito che a volte erano semplicemente lì, senza hash, in chiaro. Implementare la crittografia a livello aziendale può avere un impatto enorme, ma dipende comunque dal fatto che i tuoi dipendenti siano al passo con i tempi. Il che ci porta direttamente alla soluzione successiva.

• Gestione delle politiche: se vuoi che soluzioni come la crittografia funzionino, devi avere una politica di sicurezza informatica efficace e, cosa ancora più importante, assicurarti che tutti sappiano cosa devono fare. Gli approcci tradizionali alla gestione delle politiche spesso comportano che il reparto Risorse Umane debba rincorrere i membri del team, inviando email sempre più seccate per chiedere se hanno letto e compreso la nuova politica di sicurezza informatica. E, se il membro del team in questione l’ha letta, può per favore firmarla e restituirla? Per favore? Invece, implementando una piattaforma per la gestione delle politiche di sicurezza informatica, la tua organizzazione può individuare le lacune nelle conoscenze del personale, le carenze nelle politiche e ridurre al minimo i costi delle violazioni dei dati.

In breve

• Possono essere incredibilmente costose: a livello globale, le violazioni dei dati costano alle aziende, in media, 2,8 milioni di sterline per ogni violazione
• La maggior parte delle violazioni dei dati è di natura dolosa: più della metà di tutte le violazioni dei dati è il risultato di qualche tipo di attività dolosa.
• Come diceva sempre la mamma, “una preparazione e una pianificazione adeguate prevengono risultati deludenti”: disporre di un team di risposta agli incidenti, testare il tuo piano di risposta agli incidenti, utilizzare la crittografia e formare i tuoi utenti sono alcune delle misure più efficaci.