#1 La confusione in materia di cybersicurezza

Dopo essere stato oggetto di speculazioni e controversie, il California Consumer Privacy Act (CCPA) è stato formalizzato l’11 gennaio 2019.

L’obiettivo è quello di proteggere i dati personali e prevenire l’uso improprio o l’uso non autorizzato da parte di entità senza scrupoli. La legge impone sanzioni pecuniarie esemplari: fino a 7.500 dollari per violazione intenzionale e 2.500 dollari per violazione non intenzionale.

Devono sottostare alle direttive le organizzazioni che elaborano o trattano dati personali dei residenti in California, indipendentemente dal fatto che siano collocate in aree geografiche diverse.

Gli utenti hanno il diritto di controllare i loro dati personali e il loro eventuale utilizzo, esattamente come prevede il GDPR dell’UE.

Il problema è rappresentato dal fatto che se si conferisce ad ogni stato americano l’autorità per emanare il proprio regolamento in materia di cybersicurezza, potremmo trovarci a dover rispettare 50 diverse leggi sulla privacy che potrebbero contraddirsi e sovrapporsi.

Tutto questo, nel 2020, potrebbe portare ad una confusione tale da delegittimare l’ambito giuridico in merito alla cybersicurezza, erodendo la componente deterrente.

#2 Le violazioni dei dati da parte di terzi domineranno il panorama delle minacce.

Secondo Symantec gli attacchi che hanno come obiettivo un qualsiasi nodo di una filiera aziendale sono aumentati del 78% nel 2019.

Le aziende competitive e di successo si distinguono solitamente per un alto livello di competenza e specializzazione e tendono, dunque, a concentrare tutte le risorse di cui dispongono per raggiungere l’eccellenza in un particolare mercato.

Per permettersi questa concentrazione di energie, esternalizzano la maggior parte dei loro processi aziendali secondari a fornitori qualificati e a terzi esperti.

Purtroppo, questi terzi, operano in mercati globali turbolenti e altamente competitivi e raramente possono permettersi un livello adeguato di sicurezza informatica e protezione dei dati per i loro clienti.

A questa situazione può essere ricondotta la lentezza con la quale vengono identificate le violazioni: IBM afferma che il tempo medio per identificare una violazione nel 2019 è stato di 206 giorni

#3 La superficie di attacco esterno continuerà ad espandersi senza controllo.

Secondo CSO Online, il 61% delle organizzazioni ha avuto un incidente di sicurezza all’interno del proprio IoT nel 2019.

La proliferazione globale dello IOT e dei dispositivi connessi, dell’uso del cloud pubblico, del PaaS e dell’IaaS facilita notevolmente il business e consente una rapida crescita.

Il progresso che accompagna la pratica di queste nuove tecnologie nasconde, però, una minaccia rappresentata dall’aumento della superficie informatica passibile di attacchi.

In parole povere, una superficie di attacco esterno è composta da ogni asset digitale (alias asset IT), ovvero tutte le componenti informatiche che vanno a comporre lo IoT, ed eventuali aggressori potrebbero designare come obiettivo di un attacco una qualsiasi di queste componenti.

#4 Le configurazioni errate del cloud esporranno le aziende al rischio di attacchi.

Forbes afferma che l’83% del carico di lavoro delle imprese passerà al cloud entro il 2020.

Purtroppo, la crescita costante del cloud per l’archiviazione e l’elaborazione dei dati, supera ampiamente i requisiti di sicurezza e di formazione adeguata del personale IT responsabile dell’infrastruttura cloud.

Non è un caso che gran parte delle fughe di dati nel 2019 sia imputabile alle malconfigurazioni degli storage cloud.

#5 Il riutilizzo della password e gli attacchi di phishing saliranno alle stelle.

Secondo ImmuniWeb, solo considerando le aziende più grandi del mondo per la lista Fortune 500, si possono contare oltre 21 milioni di credenziali valide esposte nel Dark Web nel 2019.

Anche se molte organizzazioni sono finalmente riuscite ad implementare un sistema di Identity and Access Management (IAM), con l’adozione di politiche rigide sulla creazione di passwords, MFA e monitoraggio continuo delle anomalie, sono tuttavia molto rari i casi in cui i sistemi esterni, destinati all’operazione di attività aziendali secondarie, vengono inclusi nel perimetro protetto.

Questi sistemi a zona grigia vanno dal SaaS CRM e ERP alle piattaforme di cloud.