La digitalizzazione degli ultimi anni non ha solo accelerato processi e servizi: ha trasformato profondamente il modo in cui infrastrutture, macchine e algoritmi interagiscono tra loro.
Oggi, nelle aziende pubbliche e private, convivono ecosistemi complessi in cui sistemi IT tradizionali, ambienti OT industriali e componenti basati su intelligenza artificiale collaborano e si influenzano in tempo reale.
Indice degli argomenti
Perché il rischio oggi è “inter-dominio” e non più a silos
Questa convergenza, che abbiamo già definito architettura super-ibrida, mette in discussione un assunto che per anni ha guidato la sicurezza: che i tre domini fossero separabili, ciascuno con le proprie regole, i propri standard, il proprio modello di rischio.
Oggi non è più sufficiente applicare processi di risk management separati: occorre un approccio integrato, capace di comprendere le interdipendenze tra domini tecnologici e di anticipare rischi emergenti che non rientrano nelle categorie tradizionali.
Di seguito proponiamo una lettura critica delle metodiche attuali nei tre ambiti (IT, OT, AI) e alcune proposte per una convergenza che permetta di cogliere i rischi trasversali e non più soltanto quelli verticali, evidenziando alcune direzioni verso un framework di rischio realmente olistico.
La gestione del rischio in ambito IT: maturità e limiti degli approcci attuali
Nel dominio IT, la gestione del rischio è forse la più codificata. Le organizzazioni hanno adottato da anni standard come ISO/IEC 27005, NIST SP 800-30 e metodologie come FAIR o OCTAVE, oltre a riferimenti come ENISA Threat Landscape, ormai ben integrati nei processi aziendali.
Si tratta di modelli efficaci per valutare minacce e vulnerabilità in contesti in cui informazioni, sistemi e identità sono gli asset principali. La maturità del settore si vede anche nella quantità di strumenti, linee guida e framework disponibili.
Punti di forza
• Processi documentati e ciclici
• Ampia disponibilità di strumenti e metriche
• Focus su confidenzialità, integrità, disponibilità
Punti di debolezza
• Limitata capacità predittiva su minacce emergenti
• Approcci spesso troppo statici per ambienti cloud-native altamente dinamici
• Difficoltà nel gestire asset connessi ma non direttamente controllati (supply chain, servizi esterni, API)
Quando la maturità non basta più
Ma questa maturità è sufficiente? Forse non più. L’ingresso massiccio di servizi cloud, microservizi e supply chain digitali ha reso i confini dell’IT molto più porosi. Il rischio si muove più velocemente dei processi tradizionali, e spesso le valutazioni periodiche non intercettano minacce che nascono e si evolvono nel giro di poche ore.
Il rischio IT richiede quindi una maggiore integrazione con strumenti di analisi comportamentale, monitoring avanzato e metodiche data-driven.
Risk management per l’OT: sicurezza di processo e resilienza operativa
Il dominio OT (Operational Technology) comprende sistemi industriali, SCADA, DCS e dispositivi cyber-fisici. Qui la gestione del rischio deve considerare un aspetto unico: la sicurezza fisica e la continuità operativa hanno la priorità assoluta.
OT: la priorità è la continuità operativa
Il dominio OT, che include sistemi industriali, infrastrutture critiche e tecnologie operative (SCADA, DCS in primis), parte da un presupposto diverso: la continuità operativa non può essere interrotta.
Qui il rischio non riguarda solo la perdita di dati, ma anche la sicurezza fisica di persone, impianti e territori. Gli standard di riferimento, come IEC 62443 o il NIST SP 800-82, così come metodiche quali HAZOP e FMEA, nascono infatti da una cultura safety-driven, in cui la prevenzione di incidenti fisici è centrale.
Punti di forza
• Approcci orientati a resilienza e affidabilità dei processi
• Valutazione sistemica delle conseguenze fisiche degli incidenti
• Coinvolgimento di figure multidisciplinari (ingegneri, tecnici, HSE)
Punti di debolezza
• Lentezza nell’aggiornamento degli standard rispetto alla velocità delle minacce cyber
• Presenza di asset legacy difficili da proteggere
• Scarsa integrazione tra logiche cyber e logiche safety
I limiti di un approccio nato in un’altra epoca
Molti ambienti OT sono ancora basati su tecnologie legacy, con sistemi progettati per funzionare in modo isolato e privi di robusti meccanismi di sicurezza informatica.
La convergenza con l’IT (IoT industriale, edge computing, sistemi di supervisione integrati) ha creato un paradosso: le minacce informatiche entrano in ambienti che non erano nati per difendersi dal cyber, ampliando le superfici di attacco e imponendo un ripensamento del modello di gestione del rischio in chiave più integrata e continua.
Il risk management dell’AI: un dominio ancora in costruzione
La diffusione dei sistemi di intelligenza artificiale, soprattutto quelli basati su machine learning e modelli generativi, obbliga a ripensare il concetto stesso di rischio.
L’AI rappresenta infatti il fronte più nuovo e, per molti aspetti, il più complesso. La gestione del rischio in questo ambito non riguarda solo la cybersicurezza: entrano in gioco concetti come bias, trasparenza, robustezza dei modelli, affidabilità degli output, oltre a rischi regolatori e reputazionali.
Il vero elemento distintivo è che l’AI introduce forme di rischio non deterministiche. Un modello può comportarsi in modo diverso nel tempo, generare risultati inattesi, essere manipolato da attacchi adversarial o degradarsi a causa di dati di bassa qualità.
Le tipologie di rischio AI
Riepilogando, le tipologie di rischio AI includono:
• Rischio algoritmico: comportamenti imprevedibili del modello
• Rischio dei dati: bias, discriminazioni, errori, incompletezza
• Rischio cyber/manipolazione del modello: attacchi adversarial, poisoning, model theft
• Rischio legale/reputazionale: output non conformi o fuorvianti
• Rischio operativo: integrazione in processi critici senza adeguati controlli, perdita di controllo su sistemi autonomi
La risposta normativa è in corsa
Il NIST AI Risk Management Framework e la nascente ISO 42001 (AIMS) sono tra gli sforzi più strutturati. L’AI Act europeo introduce inoltre una categorizzazione dei sistemi basata sul rischio, con impatti rilevanti su governance e controlli.
Punti di forza
• Approcci innovativi e flessibili
• Forte spinta normativa
Punti di debolezza
• Assenza di metriche universalmente accettate
• Difficoltà a stimare la probabilità di eventi legati a comportamenti emergenti dei modelli
Il rischio AI è quindi socio-tecnologico, caratterizzato da forte incertezza e imprevedibilità.
Tre domini, tre culture: perché oggi serve un modello olistico
Abbiamo visto che IT, OT e AI adottano approcci diversi perché si sono sviluppati con logiche, priorità e competenze differenti:
• l’IT vive di cicli rapidi, strumenti dinamici e aggiornamenti frequenti
• l’OT è governato da cicli lenti, stabilità e riduzione del rischio fisico
• l’AI richiede monitoraggio continuo, sperimentazione e adattamento
Questi tre linguaggi non sono immediatamente compatibili. Ed è qui che nasce la sfida: il rischio oggi non rispetta questi confini.
Un incidente IT può degradare un modello AI. Un errore del modello può alterare un processo industriale. Un guasto OT può generare dati errati che alimentano sistemi AI.
Tuttavia, continuiamo a gestire questi rischi in modalità “a silos”. Ed è proprio questo che dobbiamo cambiare: la gestione del rischio deve passare da verticale a inter-dominio.
Verso un modello di risk management convergente: cosa serve
Proviamo a definire alcune proposte per costruire un framework unico, capace di integrare metodiche diverse preservandone specificità e vantaggi.
Creare un glossario comune e un modello di rischio unificato
Le tre discipline utilizzano terminologie diverse per descrivere concetti spesso simili. Sarebbe opportuno definire un modello di asset comune (informativi, fisici, cognitivi e algoritmici).
Serve inoltre una tassonomia condivisa che includa tutte le tipologie di minacce, sia quelle trasversali sia quelle specifiche dei singoli ambiti. Infine, una classificazione degli impatti integrata: economici, operativi, regolatori, etici, reputazionali.
Integrare i cicli di rischio: dalla periodicità alla continuità
Le analisi dei rischi nei diversi contesti sono divergenti: annuali o semestrali in ambito IT, pluriennali e legate alla manutenzione nel mondo OT, e continue nell’AI, dato che i modelli evolvono con i dati.
Nel mondo super-ibrido il rischio è fluido ed eterogeneo:
• nell’IT cambiano le minacce ogni giorno
• nell’OT i sistemi sono sempre più connessi
• nell’AI gli algoritmi evolvono con i dati
Un modello olistico deve operare in modalità continua, sostanzialmente in real time, alimentato da fattori multi-ambito: telemetria IT, sensoristica OT, monitoring dei modelli AI, oltre a dati di contesto esterni.
Introdurre una “risk unit” ibrida
In un contesto integrato, anche il fattore umano diventa critico e strategico. Occorre evolvere il modo di concepire e organizzare i gruppi di lavoro, favorendo team multidisciplinari dedicati alla convergenza, composti da profili eterogenei:
• cybersecurity
• ingegneria OT
• data scientist/ML engineer
• compliance officer/legal
• risk manager tradizionale
La multidisciplinarità è l’unico modo per valutare scenari complessi come quelli dei sistemi autonomi o dei processi industriali controllati da AI.
Modellare le interdipendenze tra domini
Diventa fondamentale introdurre una mappa dinamica delle dipendenze tra IT, OT e AI per identificare nodi critici, punti di ingresso potenziali e flussi informativi rilevanti.
In questo modo si possono rilevare anche i rischi a cascata, altrimenti difficili da individuare. È necessario rivedere anche i criteri per determinare gli asset critici: non solo server o PLC, ma anche un modello di machine learning, un’inference API o un processo decisionale automatizzato (ad esempio in contesti RPA).
Misurare anche il rischio emergente e non deterministico
Far convergere mondi eterogenei significa anche aumentare ricerca e monitoraggio di minacce nuove e non note:
• anomalie comportamentali dei modelli
• condizioni di degradazione dei sistemi industriali
• segnali deboli di compromissione IT
• fenomeni non lineari generati dalla combinazione di più domini
Ciò richiede un layer di analytics predittiva e machine learning for risk, applicato ai dati di sicurezza: strumenti capaci di rilevare e correlare eventi anomali su modelli AI, manutenzione predittiva sugli asset OT e threat intelligence avanzata per l’IT.
È il passaggio da una fotografia statica dei rischi a un film aggiornato in tempo reale, per ridurre duplicazioni, aumentare coerenza e facilitare audit, misurazioni e decisioni.
Allineare compliance, governance e controllo tecnico
Gli standard citati (ISO 27005, IEC 62443, NIST AI RMF, ISO 42001) sono singolarmente esaustivi e non vanno sostituiti da un “super standard”.
Serve però un processo di evoluzione e integrazione verso un’unica mappa governance-tecnica che colleghi requisiti, controlli e indicatori/evidenze. L’obiettivo è evitare duplicazioni e creare un unico schema di audit.
Il ruolo della cyber resilienza come principio guida
La convergenza si ottiene adottando la resilienza come driver centrale. In un contesto super-ibrido non conta solo prevenire e proteggere: occorre garantire continuità operativa, capacità di assorbire e recuperare l’impatto, e adattarsi a condizioni nuove.
Resilienza significa progettare sistemi che non solo resistono agli shock, ma continuano a funzionare, si adattano e imparano. In pratica:
• prevenzione informatica (IT)
• sicurezza fisica e operativa (OT)
• affidabilità degli algoritmi (AI)
• robustezza dei dati
• continuità dei servizi
È questa la cornice olistica del rischio.
Conclusioni: perché la convergenza non è più rinviabile
Le organizzazioni stanno passando da architetture eterogenee ma separate a sistemi super-ibridi, dove componenti IT, OT e AI cooperano in modo profondo.
Questa coesistenza crea un ecosistema nuovo, in cui il rischio diventa sistemico, non lineare, in parte imprevedibile e in continua evoluzione. Non è più possibile gestirlo con strumenti separati.
La sfida è passare dalla coabitazione alla piena convergenza, attraverso processi comuni, metriche condivise e una governance integrata. La convergenza non significa uniformare tutto, ma armonizzare:
• metodiche
• metriche
• modelli decisionali
• processi di governance
Il rischio non è più un nemico da contenere, ma un fattore da governare per abilitare innovazione, fiducia e crescita. L’obiettivo finale è una visione unica del rischio, capace di guidare scelte strategiche e operative, ridurre costi e inefficienze, rafforzare la sicurezza e aumentare la resilienza dell’intero ecosistema digitale.
In un mondo in cui dati, algoritmi e macchine fisiche collaborano in tempo reale, il risk management deve evolvere da funzione di controllo a funzione abilitante, in grado di creare fiducia, sostenibilità e valore.
