Attaccanti restano in media 241 giorni nei sistemi aziendali aumentando i costi degli incidenti di 1,14 milioni di dollari

Contesto

Gli attaccanti informatici si muovono nei sistemi aziendali senza essere scoperti per una media di 241 giorni, secondo l'IBM Cost of a Data Breach Report 2025. Questo periodo, che può salire a 267 giorni per le compromissioni della supply chain, permette loro di esfiltrare informazioni riservate e acquisire ulteriori account utente. Le aziende con infrastrutture IT complesse, numerose interfacce e un'alta dipendenza da fornitori esterni sono particolarmente vulnerabili a questa lunga permanenza.
La durata di un incidente ha un impatto finanziario diretto. I data breach gestiti in meno di 200 giorni comportano costi medi di 3,87 milioni di dollari. Se un incidente supera i 200 giorni, i danni salgono a 5,01 milioni di dollari, con una differenza di 1,14 milioni di dollari.
La prolungata permanenza degli aggressori è una conseguenza di moderne tecniche di attacco che sfruttano le relazioni di fiducia esistenti. Il phishing resta un punto di ingresso frequente. Le credenziali rubate consentono attività che appaiono legittime e aggirano le difese perimetrali. Gli attacchi alla supply chain sfruttano le dipendenze software o i partner fidati, restando inosservati per settimane o mesi. Il ransomware, prima di cifrare i dati, spesso vede gli attaccanti acquisire privilegi elevati e identificare sistemi critici per lunghi periodi. Tutte queste tecniche non generano anomalie ovvie, il che rende difficile la loro rilevazione senza meccanismi specifici.

Perché conta

Gli attaccanti rimangono in media 241 giorni nei sistemi aziendali, e questo aumenta i costi di un incidente di 1,14 milioni di dollari se l'attacco dura più di 200 giorni. Questa prolungata presenza è una minaccia diretta alla stabilità finanziaria e alla reputazione di qualsiasi azienda. Le piccole e medie imprese, con risorse IT limitate, sono particolarmente a rischio. Non investire in prevenzione e rilevazione rapida non è una scelta sostenibile. La tua azienda ha un sistema che individua gli attacchi in tempo utile?

Cosa fare

• Implementare l'autenticazione a più fattori (MFA) resistente al phishing per proteggere le identità digitali.
• Monitorare continuamente l'ambiente IT con soluzioni SIEM per rilevare attività insolite.
• Adottare principi di Zero Trust e segmentazione di rete per limitare i movimenti laterali degli attaccanti.
• Eseguire una gestione rigorosa delle vulnerabilità e delle patch per chiudere le lacune di sicurezza note.
• Sviluppare e testare regolarmente un piano di gestione delle emergenze con chiare responsabilità.

Cosa evitare

• Non sottovalutare l'importanza della velocità di rilevazione degli attacchi.
• Non fare affidamento solo su misure di sicurezza perimetrali, che possono essere aggirate da credenziali rubate.
• Ignorare la necessità di un monitoraggio continuo dell'IT per anomalie e attività sospette.
• Trattare la sicurezza delle informazioni come una spesa puramente tecnica e non come una parte della gestione aziendale.

Implicazioni pratiche

Per un'organizzazione, la lunga permanenza degli aggressori implica un rischio maggiore di esfiltrazione dati estesa, compromissione di sistemi critici e danni finanziari elevati. La mancanza di un approccio integrato tra prevenzione, rilevazione e gestione delle emergenze aumenta la probabilità di incidenti prolungati e costosi. Integrare la sicurezza delle informazioni nella strategia aziendale non è solo una questione di conformità, ma è un investimento nella resilienza e nella sostenibilità economica.

Errori da evitare

• Non considerare la permanenza degli attaccanti come un problema secondario.
• Limitare gli investimenti alla sola prevenzione senza considerare la rilevazione e la risposta.
• Non definire ruoli e responsabilità chiare per la gestione degli incidenti di sicurezza.
• Non integrare le linee guida di standard come ISO 27001 o BSI IT-Grundschutz.

Domande di self-assessment

• Quanto tempo impiega la nostra organizzazione a rilevare e contenere un incidente di sicurezza?
• Quali meccanismi abbiamo in atto per rilevare movimenti laterali o esfiltrazione dati non autorizzata?
• Le nostre misure di autenticazione sono resistenti al phishing e coprono tutti gli account privilegiati?
• Il nostro piano di risposta agli incidenti è aggiornato e testato con regolarità?
• L'informazione di sicurezza è integrata nei processi decisionali strategici dell'azienda?

Riferimenti

Normativa nazionale: ISO/IEC 27001 · Direttiva NIS2