BCI Italy Forum Meeting 25 gennaio: presentazioni disponibili

1. BusinessContinuity
Management
eCyberSecurity
Milano,25Gennaio2018
JonathanBrera--AssociatePartner
DarioAmoruso --Manager

2. 2© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
La Business Continuity Management è l'insieme delle attività volte a minimizzare gli effetti distruttivi di uno scenario
di crisi che ha colpito un’organizzazione garantendo la continuità delle attività.
All’interno di tale processo si collocano una serie di "attività standard” che devono essere eseguite periodicamente.
Business Continuity Strategy
Business Impact Analysis
Risk Assessment
Disaster Recovery Planning
Incidents and Crisis management
Training Exercising, Maintaining and Reviewing
BCM System Audit
Attività standard
Business Continuity Management: time for an update?
La Business Continuity Management può
integrarsi con gli scenari derivati dai rischi
di carattere Cyber?
Cyber Security?

3. 3© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
Lo sviluppo di un Piano di Continuità Operativa è un processo articolato in fasi
sequenziali standard, nessuna delle quali tiene in considerazione i più recenti rischi di
carattere Cyber che caratterizzano il contesto odierno.
Business Impact
Analysis (BIA)
Risk Analysis
(RA)
Sviluppo della
Strategia di BC
Formalizzazione
del BCP
• Individuazione e
valutazione dei processi
critici per la
sopravvivenza del
business
• Valutazione degli
impatti sui processi
critici
• Valutazione dei rischi
impattanti gli asset
aziendali (Building e
Strutture, Risorse
Umane, Sistemi
Informativi)
• Identificazione degli
scenari di crisi e
definizione delle
strategie di continuità
operativa
• Sviluppo del Piano di
Business Continuity
L'approccio standard nella Business Continuity

4. 4© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
Le minacce e i rischi di Cyber Security sono in continua evoluzione e incremento, nonché in continuo aumento sia a
livello di frequenza di accadimento degli incidenti di sicurezza sia in termini di possibili impatti
(reputazionali/business/operativi).
Cyber Securiy: Trend e Scenari
IERI OGGI
Nel contesto nazionale i danni diretti causati dal
Cybercrime sono cresciuti esponenzialmente da
€ 200m nel 2013 a € 9 billion nel 2016*.
In Italia, gli attacchi che coinvolgono sia il settore pubblico
sia quello privato, con l'obiettivo di accedere alle
informazioni personali e aziendali di interesse per i
criminali informatici, avvengono con una frequenza
crescente.
Scenario BCM Minacce
Malware
• Diffusione di malware (worms, trojans, Malicious code)
• Bring Your Own Device (BYOD) Restrictions Bypass
Data Loss and
Manipulation
• Leaking of information from vulnerability scans
• Furto, copia, disclosure dei dati e/o informazioni confidenziali
• Change dei privilege sui sistemi senza autorizzazione
• Modifica non autorizzata dei siti web
• Modifica del traffico in rete ("man in the middle")
Furto delle
Credenziali
• Hacking (Password cracking, spoofing dei siti web)
• Social engineering attacks / Impersonation attacks
Nel contesto nazionale i
danni diretti causati dal
Cybercrime sono cresciuti
esponenzialmente da €
200m nel 2013 a € 9 billion
nel 2016.
In Italia, gli attacchi che
coinvolgono sia il settore
pubblico (perpetrati con
fini ideologici) sia quello
privato, con l'obiettivo di
accedere alle
informazioni (personali e
aziendali) di interesse per
i criminali informatici,
avvengono con una
frequenza crescente.
* Rapporto Clusit 2017
IERI OGGI

5. 5© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
L'importanza e la conseguente criticità dei dati nel contesto tecnologico e di mercato attuale è sottolineata dal
progressivo aumento negli ultimi anni di attacchi informatici volti al furto, distruzione o manomissione dai dati stessi.
Cyber Securiy: Trend e Scenari
75 %
25 %
attacchi perpetrati dall'esterno
coinvolgono personale interno
84.136
Incidentidisicurezza
3.870
DataBreach
84
Paesicoinvolti
2016
Fonte:2017DataBreach
InvestigationsReport
2,6 mil/€ Costototalemediodi
violazionedeidati + 10%
119 € Costomedioper
recordpersiorubati + 6,1 %
In base allo studio condotto dal Ponemon Institute – '2017 Cost
of Data Breach Study – Italy*', il costo medio per ogni record
perso o rubato contenente informazioni sensibili e riservate è
passato da 112 euro nel 2016 a 119 euro nel 2017. Il costo
totale medio delle violazioni dei dati è aumentato nel corso
dell'anno da 2,35 milioni di euro a 2,60 milioni di euro.
3,6 mil/$ Costototalemediodi
violazionedeidati - 10%
141 $ Costomedioper
recordpersiorubati - 11,4 %
* Studio condotto su 419 organizzazioni in 11 paesi diversi e due regioni
Per quanto riguarda lo scenario internazionale, i trend relativi ai
costi dei data breach hanno un andamento decrescente, al
contrario di quanto avviene in Italia.
* Studio condotto su 25 società italiane in 11 diversi settori di business

6. 6© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
A fronte del contesto attuale a cui organizzazioni ed istituzioni sono esposte, senza distinzioni in termini di contesto
competitivo, industry o mercato di riferimento, è più che mai necessario che gli aspetti riguardanti la Cyber Security si
integrino con il Modello di Gestione della Continuità Operativa.
Business Impact
Analysis (BIA)
Risk Analysis
(RA)
Sviluppo della
Strategia di BC
L'approccio "Cyber" integrato nella Business Continuity
Cyber Risk
Impact
Analysis
(CRIA)
• Progettazione di strategie in grado di fronteggiare
opportunamente i rischi di carattere Cyber
• Identificazione di una struttura di governo
incaricata alla supervisione delle minacce
• Sviluppo di una consapevolezza Cyber
all'interno del Comitato di Crisi
Formalizzazione
del BCP

7. 7© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
L'integrazione degli aspetti Cyber nella gestione della Continuità Operativa può essere raggiunta attraverso la fase
di Cyber Risk Analysis, che permette un monitoraggio puntale dei rischi cibernetici, in correlazione alle minacce,
vulnerabilità esistenti, e contesto organizzativo preso in esame.
Cyber Risk Analysis (CRA)
Approccio Classico
Approccio Cyber
Cyber Risk
Cyber incident impact Cyber incident probability
X
Assets Loss
X
Vulnerabilities Threats
X
Intangible
assets
Confidentiality
Tangible
assets
Integrity
Availability
People and
Culture
Processes and
Organization
Technology
and
Infrastructure
Human Error
Supply Chain
Partner Action
Insider Action
Hacktivism
Crime
Sabotage
Corporate
Espionage
Terrorism
State Action
Force Majeure

8. 8© 2018 KPMG Advisory Spa., an Italian limited liability share capital company and a member firm of the KPMG network of independent member firms affiliated with KPMG International Cooperative
("KPMG International"), a Swiss entity. All rights reserved.
Thanks
8

9. The KPMG name and logo are registered trademarks or trademarks of KPMG International.
kpmg.com/socialmedia kpmg.com/app
The information contained herein is of a general nature and is not intended to address the circumstances of
any particular individual or entity. Although we endeavour to provide accurate and timely information, there
can be no guarantee that such information is accurate as of the date it is received or that it will continue to be
accurate in the future. No one should act on such information without appropriate professional advice after a
thorough examination of the particular situation.
© 2018 KPMG Advisory S.p.A. è una società per azioni di diritto italiano e fa parte del network KPMG di entità
indipendenti affiliate a KPMG International Cooperative ("KPMG International"), entità di diritto svizzero. Tutti i
diritti riservati.