67 / 84
marzo-aprile 2017
65
FILO DIRETTO
Il passo successivo nella costruzione dei marketplace
sarà presentare e orchestrare questi dati a vantaggio
del business. Gartner prevede che entro il 2020 il 20%
di tutte le organizzazioni governative locali sarà in grado
di generare fatturato dai dati a valore dei marketplace.
La chiave per la loro monetizzazione sarà l’estensione
dell’esperienza d’uso per consentire ai cittadini e alle
imprese di consultare i dati, condividendone i modelli
all’interno delle organizzazioni o delle comunità. Gli
utenti avranno più opzioni per ‘pagare’ l’accesso ai dati
a seconda dell’uso. Un normale cittadino potrà sem-
plicemente usufruirne offrendo in cambio i propri dati,
mentre l’uso da parte delle imprese potrà richiedere la
condivisione dei proventi con il proprietario dei dati o
l’acquisto di una licenza per accedere a una fonte più
ampia di dati.
Secondo l’ultimo IT Key Metrics Data di Gartner, le
organizzazioni spendono in media il 5,6% del proprio
budget IT per la sicurezza informatica e la gestione
del rischio con una percentuale che oscilla tra l’1%
e il 13%: dato che, però, non è indice dell’effettivo
successo dei progetti. In genere, le aziende vogliono
sapere se i propri investimenti in sicurezza sono equi-
valenti alla spesa stanziata dai competitor in modo da
valutare se stanno eseguendo la corretta due diligence.
Ma i confronti basati su medie generiche di settore non
dicono molto sull’effettivo livello di security raggiunto.
Si potrebbe, infatti, spendere la stessa cifra di una re-
altà simile per tipologia di business, area geografica di
appartenenza e dimensione, ma investire su tematiche
sbagliate ed essere quindi estremamente vulnerabili.
Oppure, si potrebbe spendere in modo appropriato,
ma avere una diversa propensione al rischio.
Secondo Gartner, fino al 2020 purtroppo la maggior
parte delle organizzazioni continuerà a considerare la
cifra mediamente spesa per la sicurezza informatica un
criterio corretto per stabilire il proprio livello di IT se-
curity. Ma senza contestualizzare requisiti di business,
tolleranza al rischio e livello di soddisfazione, la metrica
della percentuale di budget IT speso in sicurezza non
fornisce informazioni comparative valide. Forniscono
semplicemente un dato indicativo degli investimenti
medi, senza considerare complessità o esigenze.
Identificare il budget “reale” destinato alla sicu-
rezza
La spesa per la sicurezza viene generalmente distinta in
hardware, software, servizi (outsourcing e consulenza)
e personale. In genere, le statistiche sulla spesa in IT
security sono però sottostimate, perché non riescono
a calcolare il valore economico di tutte quelle funzioni
di sicurezza incorporate nell’hardware, nel software e
nelle attività non immediatamente riconducibili a ini-
ziative di security. In base all’esperienza maturata da
Gartner, molte organizzazioni non conoscono affatto
il budget destinato alla protezione dal rischio. Questo
in parte perché pochi sistemi di contabilità in uscita
distinguono la voce sicurezza e in parte perché molti
importanti processi di security sono svolti da personale
che non è dedito esclusivamente alla sicurezza, il che
rende impossibile calcolare con precisione i costi delle
risorse umane. Il risultato è che nella maggior parte dei
casi il Chief Information Security Officer (Ciso) non ha
una visibilità piena sugli investimenti.
Per identificare il vero budget stanziato, dovrebbero es-
sere monitorati numerose componenti, come il ricorso
a dispositivi di rete con funzioni di sicurezza incorporate,
l’allocazione della protezione dei desktop all’interno dei
budget dedicati al supporto, i tipi di applicazioni azien-
dali in uso, l’utilizzo di servizi di sicurezza gestiti o affidati
in outsourcing, l’implementazione di iniziative di busi-
ness continuity o di programmi sulla privacy e la forma-
zione, che in molti casi potrebbe essere rintracciati nei
budget delle risorse umane. Secondo Gartner, le or-
ganizzazioni opportunamente protette a volte possono
addirittura spendere in sicurezza meno della media,
anche se va detto che le organizzazioni che investono
poco (circa il 20% del totale) appartengono in generale
a due tipologie di organizzazioni: quelle non protette,
che spendono meno della media, e quelle protette,
che hanno implementato best practice di security in
grado di ridurre la complessità generale dell’infrastrut-
tura IT e di contenere il numero di vulnerabilità. A livello
generale, le imprese dovrebbero spendere tra il 4 e il
7% del proprio budget IT in sicurezza informatica: meno
se hanno sistemi maturi, di più se sono particolarmente
Sicurezza
Esistono metodologie per capire se il budget per l’IT security è sufficiente
per la propria organizzazione?
Rob McMillan,
Research Director
di Gartner