Ecco come calcolare il ritorno sull’investimento (ROI) della formazione del tuo personale nell’ambito di una campagna di sensibilizzazione sulla sicurezza.
Uno studio del Dipartimento per la Cultura, i Media e lo Sport (DCMS) ha rilevato che nel 2022 il 39% delle aziende britanniche ha subito un attacco informatico. Il costo di queste violazioni non è affatto trascurabile. Il rapporto del DCMS ha calcolato che l’impatto finanziario di un singolo attacco informatico è costato a un’azienda di medie dimensioni 19.400 sterline. Se pensi che le organizzazioni sono quotidianamente esposte alla minaccia di attacchi informatici, c’è davvero da preoccuparsi.
La formazione sulla sicurezza informatica è una delle misure che possono ridurre la probabilità che un attacco avvenga o vada avanti. Questo si traduce in una riduzione dei costi legati a un attacco. Ma il rischio di un attacco vale davvero il prezzo da pagare per seguire un corso di formazione sulla sicurezza informatica?
Elementi da considerare nel calcolo del ROI di una campagna di sensibilizzazione sulla sicurezza
Prima di chiederti se “valga la pena investire nella formazione sulla sicurezza”, devi fare un elenco di tutti gli aspetti coinvolti. Un attacco informatico e/o una violazione dei dati comporta molti fattori, ognuno dei quali comporta costi tangibili e intangibili.
Ecco una panoramica di alcuni dei costi più probabili di un attacco informatico:
La perdita finanziaria diretta causata da un attacco informatico
L’impatto diretto di un attacco informatico dipende sia dal tipo di attacco che dall’organizzazione. Ad esempio, un attacco ransomware può comportare il pagamento di un riscatto (anche se il pagamento non è una strategia consigliata). Tuttavia, vale la pena notare che negli ultimi anni gli importi dei riscatti sono aumentati.
Secondo un rapporto di Nordlocker, il pagamento medio per il ransomware è aumentato del 78%, raggiungendo la cifra sbalorditiva di 541.010 dollari (478.000 sterline).
I costi derivanti da un attacco informatico possono includere anche i danni ai sistemi IT, il tempo impiegato per risolvere l’attacco e le azioni collettive: nel Regno Unito, il numero di azioni collettive a seguito di un attacco informatico è aumentato del 120% tra il 2018 e il 2020.
Nel calcolare il ROI di una campagna di sensibilizzazione sulla sicurezza, bisogna tenere conto del costo medio di un attacco informatico. Però, questo dato dovrebbe anche riflettere il numero medio di attacchi all’anno. Secondo il rapporto del DCMS, il 31% delle aziende e il 26% delle organizzazioni benefiche ritengono di aver subito un attacco almeno una volta alla settimana.
Tempo e lavoro necessari per contenere una violazione
Una delle conseguenze di un attacco informatico è la difficoltà a individuare la catena di exploit e a contenere i danni. Un rapporto di IBM sui costi di una violazione dei dati ha rilevato che nel 2022 il tempo medio necessario per contenere una violazione era di 277 giorni. In questo lasso di tempo, i costi continuano a salire.
Nel calcolo del ROI di una campagna di sensibilizzazione sulla sicurezza dovresti includere i tempi di inattività dei sistemi IT, l’assistenza IT e le perdite di produttività stimate.
Danno alla reputazione
Il danno alla reputazione è intangibile e, di conseguenza, difficile da quantificare. Tuttavia, dopo un attacco informatico che comporta un danno alla reputazione, entrano in gioco molti fattori. Tra questi c’è una perdita generale di fiducia che si ripercuote sui clienti, sul prezzo delle azioni e sull’ecosistema dei partner.
Questa perdita di fiducia è particolarmente grave quando i clienti abbandonano un’azienda a seguito di una violazione dei dati. Uno studio condotto da YouGov e Okta ha rilevato che l’88% dei clienti smetterà di rivolgersi a un’azienda se ritiene che questa non sia in grado di proteggere i propri dati.
Il danno alla reputazione è difficile da quantificare e quindi da inserire in un’equazione, ma potresti avere alcuni dati sulla perdita di clienti grazie alle soluzioni di business intelligence (BI).
Inadempienza e multe
Diverse normative sulla protezione dei dati, tra cui il PCI-DSS e il GDPR, impongono o incoraggiano fortemente il ricorso alla formazione sulla consapevolezza della sicurezza. Pertanto, se riesci a dimostrare che la tua organizzazione utilizza la formazione sulla consapevolezza della sicurezza, qualsiasi successiva azione di applicazione normativa dovrebbe tenerne conto.
Tuttavia, quando calcoli il ROI di una campagna di sensibilizzazione sulla sicurezza, dovresti tenere conto del costo tipico di una sanzione per non conformità nel tuo settore.
Puoi trovare l’ammontare delle sanzioni a cui la tua azienda potrebbe andare incontro in caso di violazione sul sito dell’Information Commissioner’s Office (ICO). Ad esempio, il GDPR del Regno Unito e il DPA 2018 fissano la sanzione massima a 17,5 milioni di sterline o al 4% del fatturato globale annuo.
Premi assicurativi
Secondo uno studio condotto dalla compagnia assicurativa Hiscox, il 63% delle aziende britanniche ha in programma di stipulare un’assicurazione contro i rischi informatici come parte della propria strategia. Inoltre, i premi potrebbero diminuire se riduci il rischio formando i dipendenti sulla sicurezza informatica.
Aggiungi il costo dell’assicurazione contro i rischi informatici al ROI di una campagna di sensibilizzazione sulla sicurezza, come parte dei costi complessivi della tua strategia di sicurezza.
Altri costi relativi al ROI includono:
- Il costo del pacchetto formativo e di eventuali funzionalità aggiuntive, come ad esempio la simulazione di attacchi di phishing.
- Costi amministrativi per la gestione del programma.
- Tempo perso perché un dipendente sta svolgendo gli esercizi del corso di formazione sulla sicurezza informatica.
Come calcolare il ROI della formazione sulla sicurezza informatica
Una volta che hai i dati, puoi inserirli in un’equazione per calcolare il ROI. Per fortuna, qualcuno ha già studiato come elaborare un’equazione per la formazione sulla consapevolezza della sicurezza.
Un’equazione del ROI nella sua forma più semplice è questa:
ROI = Come calcolare il ROI delle campagne di sensibilizzazione sulla sicurezza
Dove:
R = Rendimento (Vantaggio)
I = Investimento (Costo)
Comunque, come hai visto, calcolare R e I per la sicurezza è più complicato, perché ci sono costi immateriali come il danno alla reputazione.
Per fortuna, chi lavora nel settore della sicurezza ha analizzato quanto sia complicato calcolare il ritorno sull’investimento (ROI) per la formazione in materia di sicurezza. Michael Coden, per esempio, si basa su una ricerca del Massachusetts Institute of Technology (MIT).
Uno studio del MIT basa il calcolo dei costi degli incidenti di sicurezza informatica sulle fasi che portano a un incidente di questo tipo. Questa ricerca è stata utilizzata per sviluppare un modello noto come STACHT. Utilizzando questo modello, Coden ha sviluppato un’equazione per il ROI dei progetti di sicurezza informatica (come le campagne di formazione sulla consapevolezza della sicurezza) che include:
Dove:
Probabilità di compromissione (PC) = minacce moltiplicate per vulnerabilità
Impatto di un compromesso (IC) = valore dell’attività moltiplicato per le perdite nel caso in cui si verifichi un compromesso
L’equazione di Coden viene utilizzata per ogni progetto e indica il ROI previsto sulla base delle stime.
Una visione più qualitativa del ROI delle campagne di sensibilizzazione sulla sicurezza
Tieni presente che calcolare il ROI della formazione sulla sicurezza informatica potrebbe non ridursi semplicemente a inserire dei dati in un’equazione. Anzi, potrebbe bastare anche solo stilare un elenco dei potenziali costi e delle conseguenze di un attacco informatico per dimostrare che la formazione sulla sicurezza informatica vale la pena.
Gli esseri umani continuano a essere il bersaglio principale dei criminali informatici; se ci fosse un modo per spezzare questo circolo vizioso, ciò porterebbe naturalmente a una riduzione dei rischi e dei costi.
Un rapporto di Osterman ha definito la formazione sulla sicurezza informatica “essenziale” per prevenire gli attacchi informatici. Il rapporto sottolinea l’efficacia della formazione sulla sicurezza: i dati mostrano, ad esempio, che solo l’11% dei dipendenti era in grado di riconoscere un’e-mail di phishing prima della formazione, mentre dopo la formazione il 64% è riuscito a individuare i tentativi di phishing. Dati come questi possono essere molto utili per valutare i vantaggi di una campagna di sensibilizzazione sulla sicurezza.