By Mhicole A. Moral, Special Features and Content Writer

Le organizzazioni operano ormai in un’economia digitale in cui la tecnologia alimenta quasi ogni aspetto dell’attività aziendale. Con la crescente dipendenza da sistemi interconnessi, la cybersecurity e la protezione dei dati sono diventate elementi sempre più importanti della strategia aziendale di lungo periodo.

Questi temi hanno fatto da sfondo alla prima tavola rotonda del BusinessWorld Cybersecurity Summit, intitolata “Navigating Cybersecurity Laws and Compliance.” Il panel ha esaminato come le normative globali sulla cybersecurity stiano influenzando le organizzazioni filippine e perché la sola compliance non sia più sufficiente per rafforzare la sicurezza informatica.

Il sottosegretario e vicedirettore esecutivo dell’Cybercrime Investigation and Coordinating Center, Alvin M. Navarro, ha affermato che la cybersecurity va ben oltre la protezione delle imprese perché le sue conseguenze raggiungono le istituzioni pubbliche, la sicurezza nazionale e i cittadini comuni.

“Among the general population, the dark side of exploiting cyber weaknesses is felt through scams. More than 60% of all the complaints we receive come from scams. Imagine the losses, the anxiety, and the suffering that people go through,“ ha spiegato.

Mr. Navarro ha osservato che la trasformazione digitale resta una priorità del governo perché migliora l’erogazione dei servizi pubblici. Tuttavia, la cybersecurity deve essere parte integrante di ogni fase di tale trasformazione.

“We need to make sure that cybersecurity is embedded into our digital transformation: first, to improve public service; second, to make sure that all systems and processes that are intended to deliver those public services are robust and safe,” ha aggiunto. “If all of these things fail, it’s not only the economy that will falter. It will affect political stability and our survival as a nation.”

Gilbert T. Trinchera, technology consulting partner presso R.G. Manabat & Co. (KPMG in the Philippines), ha affermato che la cybersecurity sta entrando in una fase in cui più forze non operano più separatamente, ma si intersecano in ogni organizzazione.

Facendo riferimento alle più recenti considerazioni di KPMG sulla cybersecurity pubblicate all’inizio dell’anno, Mr. Trinchera ha indicato otto forze principali che stanno rimodellando la cybersecurity oggi e negli anni a venire: intelligenza artificiale, geopolitica, regolamentazione, iperconnettività, identità non umane, dipendenze dalla supply chain, crittografia post-quantistica e sicurezza autonoma.

“These forces are not just operating individually in silos; they are converging, and that’s why it’s becoming an important imperative across the entire enterprise, whether you’re a government institution or a private industry. This is a huge consideration for everyone because the goal is not to perfect all compliance checklists, but simply to understand where we are, to be proactive and risk-averse, and definitely to ensure we consistently show our trust to our clients and stakeholders,” ha spiegato.

Nel frattempo, il managing partner di DivinaLaw Jay R C. Ipac ha citato due delle normative più influenti che oggi incidono sulle aziende locali: il General Data Protection Regulation (GDPR) dell’Unione europea e la direttiva NIS2 dell’Unione europea. Sebbene alcuni framework siano ancora in forma di bozza, Mr. Ipac ha affermato che essi dimostrano come il dibattito sulla cybersecurity si sia esteso oltre la compliance tecnica fino alla resilienza organizzativa.

Ha inoltre citato il Bangko Sentral ng Pilipinas come uno dei regolatori più attivi del Paese nella governance della cybersecurity, poiché le istituzioni finanziarie affrontano rapidi sviluppi tecnologici e minacce digitali sempre più sofisticate.

Kristoffer Rada, head of corporate affairs di Maya Philippines Inc., ha affermato che le leggi sulla cybersecurity in tutto il mondo attribuiscono la responsabilità ai consigli di amministrazione e al senior management invece di limitarla ai team tecnici.

“The focus is now shifting from prevention alone to operational resilience, the ability to detect, respond, recover, and continue to deliver essential services,” ha sottolineato.

La sola tecnologia, tuttavia, non è sufficiente. Anche la consapevolezza dei clienti resta altrettanto importante, e per questo l’azienda affianca alle misure tecnologiche campagne di educazione pubblica.

“Regulation should be risk-based and outcome-based, so that institutions are accountable for results while retaining the room to adopt better technology. Also, transparency should be timely, accurate, and useful to people. Finally, cybersecurity must be collaborative. Threat intelligence, scam prevention, and incident coordination, together with consumer education, require government and industry to work together,” ha spiegato Mr. Rada.

Dalla responsabilità tecnica alla governance aziendale

La crescente influenza delle normative internazionali ha cambiato anche il modo in cui le organizzazioni definiscono la leadership nella cybersecurity.

Mr. Ipac ha detto che molte organizzazioni continuano ad affidare la cybersecurity quasi interamente ai chief information security officer o ai dipartimenti di information technology. Sebbene le aziende spesso adottino politiche e completino la documentazione, tali preparativi si rivelano spesso insufficienti quando si verifica un vero incidente informatico.

“The biggest misconception is still looking at cybersecurity as a tech issue. All stakeholders should have a genuine interest in making sure [cybersecurity] is at the top of all companies’ agendas in their digitized business,” ha affermato. “Your people are your best assets. You have to be able to create a cybersecurity culture, not just awareness, but the resilience that the public trusts.”

Mr. Navarro ha osservato che i leader aziendali dovrebbero possedere una conoscenza tecnologica sufficiente per prendere decisioni informate, assumendosi al contempo la responsabilità del futuro della propria organizzazione. Una parte significativa di tale responsabilità consiste nel mantenere una cybersecurity solida in tutta l’organizzazione.

“Cybersecurity has assumed a proportion, such that it not only affects businesses immensely but also impacts national security without question,” ha spiegato.

L’intelligenza artificiale alza la posta in gioco

Le organizzazioni utilizzano l’intelligenza artificiale (AI) per migliorare l’efficienza e rafforzare le difese, ma la stessa tecnologia ha anche fornito ai cybercriminali nuovi modi per lanciare attacchi, manipolare informazioni e sfruttare utenti ignari.

I relatori hanno osservato che ciò ha ampliato il divario tra innovazione tecnologica e regolamentazione, aumentando la responsabilità delle organizzazioni nel predisporre una governance ancora prima che nuove leggi entrino in vigore.

Mr. Trinchera ha affermato che le Filippine si trovano ancora in una fase in cui l’adozione dell’AI è avanzata più rapidamente della legislazione. Sono state presentate diverse proposte di legge sull’AI, ma al momento le organizzazioni operano senza un quadro giuridico completo che definisca chiaramente la responsabilità per il suo utilizzo.

“The implication is that, if anyone is using AI, whether it’s for good or bad, they do not have a sense of accountability and obligation. It’s merely a playground,” ha spiegato.

Ha aggiunto che l’ampio utilizzo da parte dei filippini di social media, piattaforme digitali, marketplace online e tecnologie emergenti crea ulteriori opportunità per truffe guidate dall’AI, campagne di disinformazione, tentativi di phishing e altre minacce informatiche.

Senza sufficiente consapevolezza e governance, ha detto, la tecnologia può accelerare la diffusione di contenuti dannosi rendendo al tempo stesso gli attacchi informatici più convincenti e più difficili da rilevare.

“Regulatory convergence should be our goal, and we should align it to our ultimate vision, which is to maintain trust. This is the current universal currency that everybody understands, regardless of industry or jurisdiction,” ha sottolineato.

Mr. Navarro ha osservato che la legislazione sta cercando di tenere il passo con l’AI, sebbene il processo legislativo sia naturalmente più lento dello sviluppo tecnologico. Nel frattempo, ha incoraggiato le organizzazioni a definire politiche interne sull’uso dell’AI basate sulle proprie esigenze operative e sui propri rischi di cybersecurity.

Le organizzazioni, quindi, possono già sviluppare misure pratiche di governance che definiscano un uso responsabile dell’AI e affrontino le lacune di sicurezza specifiche delle loro attività.

“There’s no legislation yet, but it’s not entirely hopeless. It’s not a situation where our hands are tied. From our organizations, we can already develop the policy that is more specific to our needs, to the security issues or gaps that we face,” ha affermato Mr. Navarro.

Anche Maya sta utilizzando l’intelligenza artificiale come strumento per identificare transazioni finanziarie sospette tra gli elevati volumi elaborati dalla società.

Allo stesso tempo, Mr. Rada ha riconosciuto che la tecnologia presenta sia opportunità sia rischi. Politiche e framework restano importanti, ma producono risultati significativi quando collaborano con il governo.

“[There should be] collaboration between the public and private sector. We [should] work very closely with the policymakers, with legislators, and the enforcers, because that’s the only way that we can catch up in terms of coming up with a rational policy,” ha spiegato.