Sicurezza informatica negli appalti: tra pressione sui costi e mancanza di standard

L'importanza della sicurezza informatica negli acquisti sta crescendo, ma molti dipartimenti di approvvigionamento aziendali si trovano ad affrontare sfide notevoli. È quanto emerge da un recente sondaggio condotto dal fornitore di servizi di sicurezza informatica Sophos tra 201 responsabili degli acquisti di vari settori e dimensioni aziendali in Germania.

L'ottimizzazione dei costi come ostacolo principale

Secondo l'indagine, le quattro sfide più importanti per tutti gli intervistati sono

• Concentrarsi sulla riduzione dei costi invece che sulla sicurezza a lungo termine (45%)
• Mancanza o quasi di criteri di sicurezza standardizzati nella valutazione dei fornitori (41,6%)
• Troppo poca consapevolezza della sicurezza informatica nei reparti acquisti (40,1%)
• Mancanza di coordinamento con il proprio reparto IT/sicurezza (39,6 percento)

Per il 45%, l'attenzione alla riduzione dei costi è la sfida più frequentemente citata. Questa tensione tra efficienza e misure di protezione dimostra che la sicurezza informatica è forse ancora spesso trattata come una considerazione secondaria negli acquisti.

Le dimensioni dell'azienda determinano le sfide

Circa il 42% degli intervistati critica la mancanza o l'assenza di criteri di sicurezza standardizzati nella valutazione dei fornitori. Inoltre, quasi il 40% lamenta una mancanza di coordinamento con il proprio reparto IT o di sicurezza; questo fattore è citato soprattutto nelle aziende più grandi (oltre il 52% nelle aziende con più di 1000 dipendenti).

L'indagine rivela anche differenze in base alle dimensioni dell'azienda. Le aziende più piccole (100-249 dipendenti) devono fare i conti soprattutto con la mancanza di competenze tecniche (35,8%) e con criteri di sicurezza non standardizzati (54,7%). Le grandi aziende con 1.000 o più dipendenti riscontrano principalmente problemi di coordinamento con il reparto IT o di sicurezza (52,6%).

Se da un lato le aziende più piccole non hanno ovviamente le competenze necessarie, dall'altro le strutture complesse spesso rendono difficile un'efficace integrazione della sicurezza nelle aziende più grandi.

Le amministrazioni mancano di competenze, le utility chiedono di essere sensibilizzate sulla sicurezza informatica

Esistono inoltre chiare differenze tra i vari settori. La pubblica amministrazione segnala con particolare frequenza la mancanza di competenze e di standard (60,0% in ciascun caso). Nel settore finanziario, la mancanza di formazione è particolarmente significativa (53,8%).

Nella vendita al dettaglio, invece, le cifre sono costantemente basse: solo il 13% ritiene che la mancanza di competenze sia un problema, mentre solo il 17,4% critica la mancanza di trasparenza dei fornitori. Quasi il 100% delle aziende di servizi pubblici lamenta una mancanza di consapevolezza della sicurezza informatica nei reparti acquisti.

"Il fatto che le aziende di servizi pubblici si lamentino della mancanza di consapevolezza della sicurezza informatica negli acquisti è molto grave", commenta Michael Veit, esperto di sicurezza di Sophos. "Soprattutto nei settori sensibili, gli aspetti della sicurezza non dovrebbero essere sacrificati per ottimizzare i costi".

L'appello: dare ancora più priorità alla sicurezza informatica, anche negli uffici acquisti

I risultati dell'indagine mostrano che: La sicurezza informatica è sempre più riconosciuta come un fattore critico negli acquisti aziendali. Tuttavia, in molti luoghi mancano ancora conoscenze, coordinamento interno e linee guida strutturali. Le aziende sono quindi invitate a dare maggiore priorità alla questione, sia attraverso la formazione che attraverso linee guida chiare nella valutazione dei fornitori.

"Molti reparti acquisti stanno affrontando la sfida di integrare in modo strutturato gli aspetti della sicurezza informatica nei loro processi", afferma Michael Veit. "Tuttavia, spesso mancano competenze, criteri chiari o una stretta collaborazione con l'IT. Eppure la catena di approvvigionamento, in particolare, è una leva decisiva per la sicurezza di un'azienda. Per questo l'approvvigionamento ha bisogno di linee guida chiare sulla sicurezza, di dipendenti formati e di uno stretto coordinamento con i responsabili IT. La resilienza di intere reti di fornitura, ad esempio, non dipende più solo dai firewall, ma anche dalle decisioni prese in fase di approvvigionamento".

Fonte: Sophos

Questo articolo è apparso originariamente su m-q.ch - https://www.m-q.ch/de/cybersicherheit-im-einkauf-zwischen-kostendruck-und-fehlenden-standards/