Cos’è il Cyberwashing nella protezione dei dati?

Un rapporto della Monash University ha recentemente illustrato il concetto di “cyberwashing”, una pratica sempre più diffusa tra le aziende che vogliono apparire conformi agli standard di cybersicurezza. Il rapporto evidenzia un ampio divario tra ciò che le aziende dichiarano pubblicamente e ciò che fanno realmente.

Ma cosa implica concretamente il cyberwashing? Secondo il rapporto, si tratta di una pratica attraverso la quale un’organizzazione fornisce al pubblico un’immagine fuorviante delle proprie misure di cybersicurezza. Il rapporto della Monash University descrive una serie di tattiche comuni: esagerazione delle credenziali di sicurezza, uso di linguaggio vago e non specifico, e mancanza di verifiche indipendenti delle misure dichiarate. Il concetto può essere esteso anche alle pratiche di protezione dei dati personali.

Uno degli aspetti più preoccupanti del cyberwashing è l’entità dei danni potenziali. Poiché queste pratiche mirano a rassicurare falsamente i consumatori e l’opinione pubblica, aumentano la vulnerabilità a violazioni dei dati.

I media riportano continuamente casi di grandi violazioni informatiche nei settori sanitario, e-commerce, finanziario e oltre. In molti casi, le aziende coinvolte sostenevano di dare priorità alla protezione dei dati e alla cybersicurezza – solo per essere poi smascherate come principali autrici di cyberwashing. Anche dopo l’incidente, le aziende che praticano il cyberwashing tendono ad aggravare la situazione non assumendosi responsabilità, ad esempio incolpando attacchi esterni quando la vera causa è una debolezza interna nella loro infrastruttura o strategia.

Questa mancanza di trasparenza rende difficile recuperare la fiducia dei consumatori, ma anche quella delle autorità. I regolatori tendono a intensificare il controllo su organizzazioni che hanno dimostrato di fuorviare il pubblico sulle proprie problematiche di sicurezza.

Il cyberwashing può comportare conseguenze gravi su più fronti – finanziario, reputazionale e legale – e, nel contesto generale della sicurezza aziendale, riduce la credibilità di ciò che l’azienda afferma dopo una violazione.

Anche se il rapporto di Monash si concentra sulla cybersicurezza in generale, abbiamo già analizzato alcuni esempi che potrebbero rientrare nel fenomeno del cyberwashing:

Integrare una gestione trasparente del consenso e dei cookie dovrebbe essere parte integrante di ogni strategia contro il cyberwashing.

Ma cosa possiamo fare concretamente contro il cyberwashing? Come possono le aziende garantire sicurezza, conformità e trasparenza?

In primo luogo, l’applicazione delle normative è la prima linea di difesa. Le organizzazioni possono incorporare strategie di gestione del rischio che includano audit indipendenti, divulgazioni oneste sulle pratiche di sicurezza, e una maggiore consapevolezza interna tra i dipendenti.

Anche il mercato può svolgere un ruolo importante. Il rapporto della Monash University afferma che le compagnie assicurative possono “agire come controllo”. In altre parole, le aziende potrebbero vedersi negare la copertura assicurativa se venisse scoperto che hanno fornito informazioni fuorvianti in fase di sottoscrizione. La sola minaccia di un simile rifiuto può bastare per spingere le aziende a investire in standard più solidi.

Considerando i danni potenzialmente catastrofici derivanti da violazioni dei dati o da problemi di privacy, è nell’interesse di ogni azienda effettuare valutazioni interne regolari – sia manuali che automatizzate – e dotarsi di strumenti che facilitino la conformità. Le sanzioni finanziarie e legali possono essere pesanti, mentre una gestione del rischio proattiva e basata sulla trasparenza può risultare più sostenibile e costruire una fiducia duratura.