«Per circa quarant’anni la cybersecurity è stata costruita un prodotto alla volta. Ogni nuova minaccia ha generato un nuovo strumento e quasi sempre un nuovo fornitore. Il mondo spende circa 240 miliardi di dollari all’anno in cybersecurity, ma le violazioni continuano ad aumentare per frequenza e costi». Con queste parole l’amministratore delegato di Sophos Joe Levy ha sintetizzato l’urgenza di un cambio di paradigma, nel corso della conferenza stampa virtuale tenuta dall’azienda per la presentazione del report State of Ransomware 2026.
L’era dell’intelligenza artificiale ha infatti modificato in modo irreversibile i tempi e le dinamiche della sicurezza informatica aziendale. Gli attacchi non si presentano più come sequenze staccate di eventi, ma si propagano nell’infrastruttura IT come un’unica operazione coordinata e automatizzata. Per le imprese, dove la stratificazione di strumenti e la complessità della gestione operativa si traducono in vulnerabilità strutturali, la difesa passa oggi dall’adozione di architetture unificatee.
Indice degli argomenti
L’evoluzione della cybersecurity AI tra minacce sulle identità e velocità di risposta
L’ecosistema del cybercrime ha progressivamente ridotto la dipendenza da complesse tecniche di intrusione software per concentrare le proprie risorse sull’abuso delle identità digitali. Le informazioni di telemetria raccolte su scala globale evidenziano come la compromissione degli account aziendali costituisca la principale porta d’accesso per le incursioni malevole. Le campagne orchestrate dagli attaccanti fanno leva su un utilizzo intensivo dell’automatizzazione, riducendo la finestra temporale di cui i team IT dispongono per intervenire.
Come l’AI riduce i tempi tra la compromissione iniziale e gli effetti sul business
L’integrazione di modelli di intelligenza artificiale nelle routine operative dei gruppi criminali ha accelerato i processi di sviluppo delle minacce. L’adozione di agenti software operativi consente agli attaccanti di testare contemporaneamente decine di varianti di malware e tecniche di evasione all’interno di ambienti virtuali isolati. Questo processo riduce a pochi giorni o ore attività di programmazione che in precedenza richiedevano intere settimane.
Come spiegato durante l’incontro da Alex Rose, ricercatore della divisione Threat Research di Sophos, l’accelerazione degli attacchi non altera sempre la natura delle tecniche utilizzate, ma impone un ritmo di esecuzione del tutto inedito: «Gli attacchi non si presentano più come episodi isolati, ma come campagne coordinate che attraversano identità, email, endpoint e rete. L’intelligenza artificiale sta comprimendo sempre più l’intervallo tra la compromissione iniziale e le azioni che producono effetti diretti sul business».
Dal fattore umano alle credenziali compromesse: perché l’identità guida le minacce
I dati forniti dal report State of Ransomware 2026 evidenziano come il 79% degli attacchi ransomware prenda il via dalla compromissione di account validi, superando lo sfruttamento diretto delle vulnerabilità software. La combinazione tra email malevole e tecniche di phishing rappresenta il primo fattore tecnico d’ingresso negli ambienti d’impresa.
Nel 97% degli attacchi originati da credenziali sottratte erano già presenti sistemi di autenticazione multifattore (MFA). Questo dimostra che la semplice adozione della MFA non è sufficiente a fermare le intrusioni quando le architetture soffrono di lacune nella configurazione o quando i token di sessione vengono intercettati. L’identità, intesa sia come profilo utente umano sia come credenziale associata a macchine o servizi cloud, è diventata il perimetro critico da monitorare continuativamente.
La frammentazione dei tool di sicurezza
La risposta tradizionale delle organizzazioni all’aumento delle minacce è stata la sovrapposizione stratificata di soluzioni verticali. Oggi le aziende gestiscono in media oltre 45 strumenti di sicurezza differenti, un fattore che moltiplica il numero di console da controllare e frammenta la visibilità della telemetria. Questo approccio crea colli di bottiglia operativi, poiché i dati generati dai singoli punti di controllo rimangono segregati e non dialogano tra loro in tempo reale.
Oltre la proliferazione dei tool di sicurezza: la gestione di un data lake condiviso
L’evoluzione verso una cybersecurity AI native richiede il superamento del modello basato sul consolidamento degli acquisti per approdare al consolidamento della difesa. La base architetturale di questo cambio di paradigma consiste nella creazione di un unico data lake contestuale condiviso. All’interno di questa struttura, i segnali provenienti da endpoint, firewall, email, ambienti cloud e fornitori di identità confluiscono simultaneamente in un unico livello dati.
La centralizzazione delle informazioni consente agli algoritmi di correlare anomalie che, se analizzate isolatamente su singole console, apparirebbero prive di gravità. Quando le minacce si sviluppano attraversando vettori diversi, la percezione unificata dello stato dell’infrastruttura diventa l’unico elemento in grado di ricostruire la catena d’attacco nella sua interezza.
La sincronizzazione dei controlli aziendali tra strumenti nativi e integrazioni terze
Un sistema di difesa efficace deve coniugare un’architettura nativa con la capacità di integrare soluzioni esterne già presenti nell’organizzazione. L’interoperabilità permette di ricevere dati da strumenti gestiti da altri vendor e di estendere le azioni di risposta anche su infrastrutture terze.
Nel corso dell’evento, il presidente di Sophos Raja Patel ha evidenziato la differenza sostanziale tra una piattaforma tradizionale e un sistema di difesa unificato: «La piattaforma tradizionale ha consolidato gli acquisti, un sistema consolida la difesa. Il primo valore è un unico contesto condiviso: ogni segnale proveniente da ogni punto di controllo fluisce nello stesso livello dati in tempo reale. Il secondo è la sicurezza sincronizzata: un rilevamento su un notebook può attivare azioni automatiche sul firewall, sull’identità e sull’email nello stesso istante».
L’automazione nei SOC aziendali: come bilanciare autonomia agentica e responsabilità umana
Con l’aumento della frequenza e della velocità degli attacchi, la gestione manuale degli allarmi da parte degli analisti di sicurezza è diventata insostenibile. L’adozione di flussi agentici all’interno dei Security Operations Center (SOC) consente di delegare all’intelligenza artificiale le fasi di analisi preliminare, correlazione dei dati e contenimento immediato delle minacce.
Il modello “human on the loop” per la gestione immediata e accurata degli incidenti
L’impiego dell’intelligenza artificiale agentica nei processi di risposta permette di ridurre drasticamente il tempo che intercorre tra la generazione dell’allerta e l’isolamento della minaccia. Tuttavia, la completa eliminazione della componente umana dalle decisioni di sicurezza comporta rischi in termini di governance e responsabilità.
Il modello operativo ideale si orienta verso la logica human on the loop. In questa configurazione, l’AI opera in autonomia entro confini definiti dagli analisti per neutralizzare gli attacchi a velocità di macchina, mentre la supervisione umana interviene sulle valutazioni di contesto e sulle decisioni strategiche. L’automazione gestisce i volumi massivi di telemetria, consentendo agli esperti di concentrarsi sulla validazione degli eventi critici e sull’impatto sul business.
Democratizzare le competenze di CISO nelle organizzazioni attraverso i servizi gestiti
A livello globale si registra una marcata sproporzione tra la quantità di organizzazioni operative e il numero di dirigenti dedicati alla sicurezza informatica. A fronte di oltre 300 milioni di aziende nel mondo, i CISO con incarico a tempo pieno sono meno di 35 mila. Questo divario di competenze strategiche penalizza le strutture che non dispongono di risorse per allocare figure di coordinamento della cybersicurezza.
I servizi gestiti di rilevamento e risposta (MDR), integrati da funzionalità di valutazione continua del rischio e mapping della conformità, consentono di distribuire competenze di livello esecutivo anche nelle organizzazioni meno strutturate. Attraverso l’uso combinato di intelligence sulle minacce e automazione agentica, le aziende possono applicare controlli di sicurezza rigorosi, verificare la tenuta delle infrastrutture ed eseguire attività di threat hunting continuo senza dover costruire un SOC interno o sostenere costi operativi imprevedibili.
FAQ: Cybersecurity
Che cos’è la cybersecurity e quali sono i suoi principali elementi?
La cybersecurity, o sicurezza informatica, è un campo in continua evoluzione che si occupa di proteggere sistemi, reti, dati e informazioni digitali da accessi non autorizzati, uso improprio, divulgazione e distruzione di informazioni. Si basa su una combinazione di tecnologie, processi e best practice per proteggere i sistemi informatici. La cybersecurity è più di un insieme di strumenti: è un ecosistema complesso che integra tecnologia, processi e responsabilità umana, rappresentando una vera e propria strategia complessiva, un equilibrio tra innovazione tecnologica e responsabilità umana.
Quali sono le principali minacce alla cybersecurity?
Le minacce alla cybersecurity sono in continua evoluzione e diventano sempre più sofisticate. Tra le principali minacce troviamo gli attacchi digitali intenzionali che crescono significativamente in termini sia di diffusione sia di sofisticazione, con conseguenti difficoltà di individuazione e contrasto. Particolarmente rilevanti sono le APT (Advanced Persistent Threats), minacce tenaci che possono celarsi in una rete per diverso tempo prima di ottenere l’accesso e prelevare le informazioni desiderate. Altri attacchi comuni includono il ransomware, particolarmente pericoloso per le piccole realtà, che può causare non solo danni diretti legati alla perdita dei dati, ma anche ingenti danni di immagine e blocco totale dell’operatività per settimane o addirittura mesi.
Quali sono i ruoli chiave nella gestione della cybersecurity aziendale?
Nella gestione della cybersecurity aziendale, due ruoli fondamentali sono il CIO (Chief Information Officer) e il CISO (Chief Information Security Officer). Il CIO ha visione e responsabilità più ampie, a 360 gradi, dalla infrastruttura ICT agli ambiti applicativi, dagli utenti ai fornitori ICT. Il CISO, invece, ha una responsabilità e specializzazione verticale sulla sicurezza informatica. Tra i principali compiti del CISO troviamo: definire e far rispettare la normativa di sicurezza dell’azienda, prevenire e individuare eventuali debolezze, reagire con prontezza a qualsiasi incidente di cybersicurezza, nonché formare l’organizzazione in materia di sicurezza informatica. La collaborazione efficace tra CIO e CISO è essenziale per rendere sicuro, affidabile e resiliente il sistema informativo aziendale.
Quali metriche dovrebbe monitorare un CISO per valutare l’efficacia della cybersecurity?
Un CISO dovrebbe monitorare KPI specifici suddivisi in tre aree principali: inventario degli asset, gestione delle vulnerabilità e quantificazione del rischio informatico. È fondamentale legare le metriche di sicurezza a quelle di business, traducendo il linguaggio tecnico della sicurezza in termini comprensibili per il business. I CISO dovrebbero concentrarsi su metriche che parlino di costi e rischi in termini economici, focalizzandosi sui risultati per comunicare chiaramente come gli investimenti in sicurezza portino a riduzioni misurabili del rischio. Non si tratta di scegliere tra metriche operative e aziendali, ma di identificare metriche che colleghino i risultati operativi della sicurezza alla mission aziendale.
Come possono le aziende affrontare la carenza di competenze specialistiche in cybersecurity?
Per affrontare la carenza di competenze specialistiche in cybersecurity, le aziende possono adottare diverse strategie. Una soluzione è il ricorso al “temporary management” per i ruoli di CIO e CISO, portando valore aggiunto grazie all’esperienza maturata in diverse organizzazioni. Un’altra opzione è l’utilizzo di MSS (Managed Security Services) per la terziarizzazione della gestione operativa della sicurezza digitale, erogata da consulenti o aziende specializzate, e i CSaaS (CyberSecurity as a Service), erogati in cloud. Queste soluzioni sono particolarmente efficaci per le piccole e micro-organizzazioni dove mancano competenze interne specifiche. È importante anche investire nella formazione continua delle persone, trasformando la sicurezza da costo percepito a leva di resilienza.
Quali sono le opzioni formative disponibili per chi vuole specializzarsi in cybersecurity?
Per chi vuole specializzarsi in cybersecurity, esistono numerosi corsi online sia gratuiti che a pagamento, adatti a diversi livelli di competenza: neofiti, profili intermedi e avanzati. Questi corsi sono raccomandati da esperti del settore e possono essere utili per studenti di informatica, imprenditori e professionisti della sicurezza che puntano a perfezionare le competenze e ad arricchire il proprio percorso di carriera. Oltre alla formazione, è importante considerare anche le certificazioni individuali con validità internazionale, come quelle relative al framework e-CF (European Competence Framework), che possono qualificare le competenze necessarie per ruoli come CIO e CISO, in continua evoluzione data la parallela evoluzione delle tecnologie informatiche e dei processi aziendali.
Quali sono le tendenze emergenti nel campo della cybersecurity?
La cybersecurity è un campo in continua evoluzione, con nuove tecnologie e minacce emergenti che pongono sfide sempre maggiori. Tra le tendenze emergenti si nota una crescente attenzione verso un approccio di cybersecurity end-to-end che comprende protezione dei dati, gestione delle identità digitali, sicurezza infrastrutturale, DevSecOps e formazione continua delle persone. Si osserva anche un aumento dell’utilizzo di servizi gestiti come MSS (Managed Security Services) e CSaaS (CyberSecurity as a Service), particolarmente utili per le organizzazioni che non dispongono di competenze interne specifiche. La gestione delle vulnerabilità si è inoltre estesa oltre le tradizionali vulnerabilità software (CVE) per includere problemi di accesso e configurazioni errate, con particolare attenzione alle configurazioni errate del cloud, aspetto critico per molte organizzazioni nel loro percorso di migrazione alla nuvola.
Come si può sviluppare una strategia di sicurezza informatica efficace a livello aziendale?
Per sviluppare una strategia di sicurezza informatica efficace a livello aziendale, è fondamentale adottare un approccio integrato che unisca tecnologie, normative e valorizzazione delle persone. È essenziale la collaborazione efficace tra CIO e CISO, con una chiara definizione dei ruoli e delle responsabilità. La strategia dovrebbe includere la definizione e l’applicazione di normative di sicurezza, la prevenzione e individuazione di debolezze, la capacità di reagire prontamente agli incidenti e la formazione continua dell’organizzazione. È importante anche collegare le metriche di sicurezza a quelle di business, traducendo il linguaggio tecnico della sicurezza in termini comprensibili per il management aziendale. La cybersecurity dovrebbe essere vista non come un mero costo, ma come un investimento per garantire la resilienza dell’organizzazione di fronte alle minacce informatiche in continua evoluzione.
Partecipa alla community