Come decidere il budget per la sicurezza IT della tua azienda

Gen 20, 2021 Alessandra Venneri Kaspersky Partner Space 0

La spesa mondiale in prodotti e servizi per la sicurezza delle informazioni è in aumento da anni. Secondo Gartner, si passerà da $ 114 miliardi nel 2018 (un aumento del 12,4% dal 2017) a una crescita prevista di oltre $ 124 miliardi nel 2019. Anche i leader della sicurezza IT nelle imprese hanno grandi aspettative: il 72% afferma che il loro budget aumenterà in 2020. Con sempre più soldi investiti nella sicurezza delle informazioni, è interessante vedere come questi investimenti sono effettivamente utilizzati.

Secondo Alexander Moiseev, Chief Business Officer di Kaspersky, ci sono fondamentalmente due modi per decidere sugli investimenti futuri, che si tratti di affari o questioni personali. Numero uno: affidarsi all’intuito e alle precedenti esperienza in situazioni simili. Questo è un approccio convenzionale. Numero due: analizzare la propria situazione nella sua unicità, suddividerla in piccoli dettagli e provare a calcolare la probabilità che questi dettagli cambino nel prossimo futuro. Questo è un approccio basato sul rischio.

In base a questi due approcci Kaspersky ci spiega come diverse aziende pianificano le loro spese per la sicurezza IT e cosa possono imparare da questi due approcci.

L’approccio convenzionale

L’approccio più tipico al budget per la sicurezza si basa spesso sulle esigenze immediate di oggi o sull’esperienza precedente. Ciò è particolarmente rilevante per le aziende in crescita che devono essere in grado di dotare rapidamente l’azienda di misure e strumenti di sicurezza informatica minimi e necessari per concentrarsi sulla crescita.

Nelle organizzazioni in questa fase, la pianificazione del budget avviene spesso secondo il principio dell’eredità, per cui l’attuale livello di budget viene mantenuto per diversi cicli con modifiche minime. Non è possibile stabilire obiettivi strategici di sicurezza IT o valutare rischi specifici e il denaro viene speso per esigenze emergenti con supporto ad hoc.

Questo approccio può funzionare bene a meno che non emergano esigenze aziendali improvvise e non contabili: ad esempio, una decisione di aumentare la parte digital dell’azienda, implementare un servizio basato su cloud per CRM o contabilità o aprire una nuova filiale. Tutte queste decisioni aziendali significano che il budget per la sicurezza IT, così come il personale, verrà rapidamente allocato per correggere il più stretto divario di sicurezza, mentre le attività e le distribuzioni precedentemente programmate vengono ritardate e accumulate per dopo.

Sfortunatamente la spesa effettiva per la sicurezza in queste organizzazioni può aumentare drammaticamente poiché ogni volta che accade qualcosa di inaspettato, l’organizzazione dovrà risolverlo il più rapidamente possibile, indipendentemente dal costo. Allo stesso tempo, le organizzazioni più grandi con un approccio più maturo alla gestione del rischio possono finire con una percentuale inferiore di denaro speso per la sicurezza delle informazioni.

Un approccio basato sul rischio

Non sorprende che nel 2019 le competenze di gestione del rischio siano citate tra le prime tre competenze per i responsabili della sicurezza delle informazioni. Nelle imprese mature la valutazione del rischio è al centro dei processi aziendali. Le organizzazioni più mature non cercano di correggere il maggior numero possibile di lacune. In primo luogo, esaminano i rischi aziendali importanti, che si tratti di tempi di inattività, opportunità commerciali perse o qualsiasi tipo di perdita monetaria diretta. Per le aziende con questa mentalità, la sicurezza informatica è basata sul calcolo del rischio (che significa la probabilità di un incidente moltiplicata per il suo costo).

Per un’azienda di e-commerce con la maggior parte delle sue attività in digitale, ci sono buone probabilità che gli attacchi DDoS alle sue risorse web possano causare danni ingenti, sia monetari che reputazionali. Nel frattempo, le organizzazioni finanziarie e governative dovranno affrontare sanzioni e multe significative da parte dei regolatori qualora i loro sistemi venissero violati in un attacco informatico avanzato, quindi i loro budget dovrebbero concentrarsi su questo aspetto. In altre parole, ci sono tanti modelli di minacce quanti sono le tipologie di business, ognuno con una serie di rischi specifici e in continua evoluzione.

Il consiglio di Kaspersky:

Ecco secondo Kaspersky alcune considerazioni per l’approccio al budget per la sicurezza IT di un’azienda:

Nel valutare i rischi, le aziende dovrebbero esaminare le minacce più rilevanti per il loro settore e le dimensioni dell’azienda e quindi pianificare il loro budget di conseguenza. L’accesso ai report di intelligence sulle minacce più aggiornati e personalizzati è prezioso per far funzionare questo approccio.
È importante accogliere le competenze (interne, esterne o la combinazione di entrambi) per valutare i rischi e il potenziale valore delle soluzioni e dei servizi di sicurezza informatica. Kaspersky e altri fornitori offrono una varietà di formazione per aiutare le organizzazioni a migliorare il proprio livello di competenza interna.
Sebbene un benchmark del settore da solo non sia abbastanza per prendere una decisione di bilancio, strumenti come Kaspersky IT Security Calculator possono essere un buon inizio per immergersi nelle minacce, nelle misure e nei numeri che vale la pena cercare per l’organizzazione di una determinata industria, dimensione e regione.

Condividi l'articolo