Le polizze cybersecurity diventano sempre più importanti nei piani aziendali per la gestione del rischio

Nel corso degli ultimi anni, grazie anche all’evoluzione della normativa, le aziende hanno iniziato a rendersi conto che la sicurezza informatica non è un tema solo tecnico, ma trasversale a tutte le divisioni. L’istituzione di responsabilità legali per i direttori e manager d’impresa ha portato i consigli d’amministrazione, gli imprenditori e i direttori generali ad avvicinarsi a questo difficile tema, con esiti altalenanti. Il “Global Cyber Directors and Officers Survey 2025”, condotto da Willis Global FINEX, fornisce un’analisi dettagliata delle percezioni e delle strategie adottate dai leader aziendali, mostrando quanto il loro approccio sia diverso rispetto a quello degli esperti di cybersecurity. Questo studio, basato sulle risposte di direttori, dirigenti e risk manager a livello globale, offre una visione d’insieme sulla distribuzione delle aziende intervistate per tipologia, fatturato e settore, con una forte rappresentanza di società a scopo di lucro, sia private (56%) che quotate (32%). I settori dei servizi, dei trasporti e della vendita al dettaglio, nonché della finanza e delle assicurazioni, costituiscono la quota maggiore dei partecipanti. Un terzo delle aziende interessate ha un fatturato che arriva fino a 30 milioni di dollari, un terzo hanno un fatturato compreso tra i 30milioni e il miliardo di dollari e l’ultimo terzo fattura oltre il miliardo.

Le preoccupazioni primarie: Il cyber al centro dell’attenzione

Una delle conclusioni più significative del rapporto è la conferma che i rischi legati alla sicurezza informatica continuano a essere una fonte di grande ansia per le figure apicali delle organizzazioni. In particolare, la perdita di dati e gli attacchi informatici sono stati individuati come due delle tre principali preoccupazioni, affiancando, e talvolta superando in importanza, la salute e la sicurezza sul lavoro. Questa costante classificazione ai vertici dimostra la gravità e l’impatto potenziale di tali eventi sia dal punto di vista finanziario che reputazionale.

Analizzando più a fondo queste preoccupazioni, emergono distinzioni interessanti a livello geografico e settoriale. Da una prospettiva regionale, gli attacchi informatici e/o la perdita di dati si posizionano costantemente tra le prime tre minacce in sette delle otto regioni esaminate. Ad esempio, la Gran Bretagna ha classificato l’attacco informatico come il rischio numero uno, mentre Nord America e Medio Oriente hanno visto la perdita di dati come la loro principale preoccupazione. È degno di nota che l’Africa sia stata l’unica regione in cui né l’attacco informatico né la perdita di dati sono figurati tra i primi tre rischi.

Dal punto di vista industriale, gli attacchi informatici e/o la perdita di dati sono stati classificati tra i primi tre rischi in tutti i settori. Per l’industria finanziaria e assicurativa, i servizi, i trasporti e la vendita al dettaglio, questi rischi sono stati particolarmente salienti; nel settore dell’energia e delle utilities, a differenza dell’anno precedente, la perdita di dati è ora presente tra i primi sette rischi. Queste tendenze sottolineano come la minaccia cyber sia trasversale e pervasiva, adattandosi alle specificità di ogni contesto operativo.

Quando si parla di rischi specifici legati all’esposizione cyber, il rapporto evidenzia che gli intervistati sono maggiormente preoccupati per gli attacchi di phishing e l’ingegneria sociale, i ransomware e le debolezze nei sistemi e controlli di cybersecurity. Queste tre tipologie di minacce rivelano quanto ancora sia poco diffusa la reale conoscenza della sicurezza informatica tra i manager. Infatti, il contesto attuale degli incidenti dovrebbe puntare per lo più a limitare le vulnerabilità nella catena di approvvigionamento, governare in maniera rigida l’uso dell’intelligenza artificiale e stilare i rischi connessi alle nuove tecnologie. Tutte operazioni che sono, invece, molto in basso nella classifica. Questo potrebbe indicare una percezione distorta rispetto alla realtà delle perdite subite e che sottolinea l’importanza di avere personale molto competente che si occupa della cybersecurity, in grado di gestire correttamente le minacce nonostante gli input un po’ confusi che possano arrivare dalla dirigenza.