Supply chain super-ibride: governare il rischio IT, OT e AI

L’integrazione profonda tra sistemi IT, ambienti operativi OT e soluzioni di intelligenza artificiale ha ridefinito completamente il perimetro del rischio, trasformando la gestione dei fornitori in una questione strategica che richiede nuovi approcci e competenze trasversali.

Il nuovo paradigma della supply chain digitale

Di fatto, la supply chain è diventata uno dei principali fattori di rischio sistemico. Non perché sia improvvisamente più fragile, ma perché è profondamente cambiata la natura delle relazioni tecnologiche che la compongono.

Le architetture super-ibride, in cui sistemi IT, ambienti OT e soluzioni di intelligenza artificiale convivono e si integrano, hanno trasformato la supply chain in una rete estesa, dinamica e difficilmente delimitabile.

In questo scenario, la sicurezza non dipende più solo dalla robustezza dei sistemi interni, ma dalla capacità di governare un insieme eterogeneo di soggetti esterni che contribuiscono, in modo diretto o indiretto, al funzionamento dei processi critici. La supply chain diventa così un elemento strutturale della postura di sicurezza complessiva, e non un semplice ambito di controllo accessorio.

La super-ibridazione tecnologica ridefinisce il perimetro del rischio

Nelle architetture tradizionali, la supply chain era spesso percepita come un perimetro relativamente stabile, composto da fornitori identificabili e relazioni contrattuali consolidate.

Oggi questa visione non è più sufficiente.

Nelle architetture super-ibride oggi troviamo:

• fornitori di software e servizi cloud (IT),
• produttori di componenti industriali e sistemi di controllo (OT),
• provider di modelli, dataset, piattaforme AI e servizi di inferenza.

La super-ibridazione tecnologica ha quindi introdotto nuove dipendenze: software di terze parti integrati in modo profondo nei sistemi IT, componenti industriali sempre più connessi alle reti digitali, modelli di intelligenza artificiale addestrati o erogati da provider esterni.

Ogni elemento della supply chain contribuisce al valore del sistema, ma allo stesso tempo ne estende la superficie di rischio.

Il problema non è solo la presenza di fornitori esterni, ma il fatto che questi diventino parte integrante dei processi decisionali, operativi e produttivi. La distinzione tra “interno” ed “esterno” perde progressivamente significato.

La supply chain come principale vettore di attacco

Gli attaccanti hanno compreso che colpire direttamente un’organizzazione ben difesa è spesso più difficile che sfruttare una dipendenza meno protetta.

La supply chain offre accessi indiretti, difficili da monitorare e spesso basati su rapporti di fiducia implicita, rendendola un bersaglio particolarmente efficace.

Riepilogando quindi la supply chain:

• È estesa e frammentata
• Include soggetti con livelli di maturità molto diversi
• Spesso è basata su relazioni di fiducia implicita
• Consente attacchi indiretti difficili da rilevare
• Riduce il costo e il rischio per gli attaccanti.

Vulnerabilità e velocità: la fragilità della supply chain IT

Nel dominio IT, la supply chain si è evoluta rapidamente, seguendo la stessa traiettoria del cloud e dello sviluppo software moderno. Applicazioni e servizi non sono più monoliti autosufficienti, ma assemblaggi di componenti provenienti da fonti diverse: librerie open source, servizi SaaS, piattaforme cloud, API esterne.

Questa velocità ha portato enormi benefici in termini di time-to-market e scalabilità, ma ha introdotto anche una fragilità strutturale. Le organizzazioni spesso non hanno una visibilità completa sulle dipendenze reali dei propri sistemi, né sul livello di sicurezza dei soggetti da cui dipendono.

In molti casi, la fiducia nel fornitore sostituisce una valutazione continua del rischio. Il problema emerge quando un aggiornamento automatico, una compromissione a monte o una modifica non comunicata si propaga lungo la catena, producendo effetti difficili da contenere in tempi rapidi. Il rischio non è più solo “se” un fornitore viene compromesso, ma quanto rapidamente l’impatto si propaga lungo la catena. Inoltre, nel mondo IT moderno il perimetro non è più confinabile all’interno del concetto di una rete, ma sta assumendo proporzioni e complessità riconducibili ad un grafo di relazioni che spaziano tra componenti software, servizi e identità. Gestire la supply chain in maniera adeguata significa mappare e monitorare questo “grafo” in modo puntuale e continuo.

Supply chain OT: quando l’affidabilità diventa dipendenza critica

Nel mondo OT la supply chain assume un significato diverso. Qui i fornitori non consegnano solo tecnologia, ma garantiscono affidabilità, sicurezza fisica e continuità operativa nel lungo periodo. I cicli di vita sono molto più estesi rispetto all’IT e la sostituzione di un componente, in alcuni casi, può richiedere anni. Questo rende la supply chain OT particolarmente critica: un singolo fornitore può diventare un punto di dipendenza difficilmente eliminabile. Inoltre, molti sistemi industriali sono stati progettati in epoche in cui la cybersecurity non era una priorità, e oggi si trovano improvvisamente esposti a minacce provenienti da ambienti IT o cloud con cui sono stati integrati solo in un secondo momento. La difficoltà principale non è solo tecnica, ma culturale: la logica della safety e quella della cybersecurity non sempre coincidono, e la gestione del rischio di supply chain risente di questa distanza.

Il fornitore OT come rischio sistemico

In ambienti industriali complessi, la compromissione di un singolo componente può avere effetti a cascata su interi processi produttivi. La supply chain OT, se non adeguatamente governata, può trasformarsi in un moltiplicatore di rischio.

L’invisibilità del rischio nella supply chain AI

La supply chain dell’intelligenza artificiale introduce una dimensione ulteriore di complessità.

A differenza di IT e OT, molte delle sue componenti non sono immediatamente visibili, tangibili: dataset, modelli pre-addestrati, pipeline di training, servizi di inferenza forniti via API.

In questo contesto, il rischio non riguarda solo la sicurezza informatica, ma anche l’affidabilità degli output, la qualità dei dati, la trasparenza dei modelli e la responsabilità sugli effetti delle decisioni automatizzate.

Un’organizzazione può utilizzare sistemi di AI senza avere piena consapevolezza di come siano stati addestrati, quali dati li alimentino o come evolvano nel tempo. Questo rende la supply chain AI particolarmente difficile da mappare e monitorare con gli strumenti tradizionali. Inoltre, dobbiamo comprendere pienamente che affidarsi a modelli di AI esterni significa delegare una parte del nostro processo decisionale. Troppo spesso, a mio avviso, a nostre domande di spiegazioni su determinati processi o comportamenti nelle vesti del cliente o usufruitore di un determinato servizio, ci imbattiamo in argomentazioni del tipo “non lo so, lo ha deciso il sistema”. Se questa delega non è governata, il rischio che si corre non è soltanto di natura tecnica, ma anche legale, etico e reputazionale.

Tre culture a confronto: il nodo della governance

Uno degli aspetti più critici nella gestione della supply chain super-ibrida è la profonda differenza culturale tra i player coinvolti. I fornitori IT privilegiano velocità e flessibilità, quelli OT stabilità e affidabilità, mentre il mondo AI è spesso orientato alla sperimentazione e all’ottimizzazione continua delle performance.

Riepilogando, quindi:

I soggetti coinvolti nelle tre supply chain parlano linguaggi diversi:

Queste differenze generano:

• aspettative divergenti,
• metriche non comparabili,
• livelli di rischio percepiti diversi.

Queste differenze si riflettono nei contratti, nei livelli di servizio, nelle metriche di rischio e nelle aspettative reciproche. Il risultato è una governance frammentata, in cui ogni ambito valuta e gestisce la supply chain secondo criteri propri, rendendo difficile una visione complessiva del rischio.

Costruire una cornice comune per la gestione unificata

Superare questa frammentazione non significa uniformare tutto, ma costruire una cornice comune. Il primo passo è riconoscere che IT, OT e AI fanno parte dello stesso ecosistema e che la supply chain deve essere letta come una rete di dipendenze tecnologiche, organizzative e algoritmiche. Questo richiede una maggiore visibilità end-to-end: non solo sapere chi sono i fornitori, ma comprendere come sono integrati, quali accessi ai dati posseggono e quanto sono critici per i processi aziendali.

La valutazione iniziale del rischio non è più sufficiente: serve un monitoraggio continuo, capace di intercettare cambiamenti, nuove dipendenze e segnali deboli.

Fondamentale è anche l’integrazione tra funzioni diverse: cybersecurity, IT, OT, data governance, procurement e compliance devono condividere criteri e informazioni. Senza questo allineamento, la gestione della supply chain resta inevitabilmente parziale.

Dal controllo dei fornitori alla mappatura delle dipendenze

Il focus non deve essere sul singolo vendor, ma sulle relazioni che lo collegano ai sistemi critici.

È in queste interconnessioni che spesso si annidano i rischi più rilevanti. È quanto mai cruciale riuscire ad ottenere una visibilità end-to-end di tutte le componenti in gioco. Gestire la supply chain oggi significa:

• sapere chi fornisce cosa,
• come è integrato,
• quanto è critico,
• che tipo di accesso ha.

Serve quindi una mappatura dinamica che includa:

• componenti software,
• dispositivi fisici,
• flussi di dati,
• modelli e pipeline AI.

Se in precedenza abbiamo parlato di “grafo delle relazioni”, appare evidente che gestire una semplice vendor list non è più sufficiente. Occorre una mappa delle dipendenze tecnologiche, aggiornata e monitorata nel tempo, dove siano opportunamente classificati e monitorati i nodi più critici dell’intero ecosistema.

Monitoraggio continuo e governance organizzativa integrata

Inoltre, partendo dal presupposto che i fornitori evolvono, cambiano servizi, introducono nuove dipendenze, ben comprendiamo che processi di valutazione “una tantum” non sono più sufficienti. Un approccio moderno richiede:

• monitoraggio continuo del rischio,
• threat intelligence sulla supply chain,
• controllo delle anomalie operative,
• verifica della postura di sicurezza nel tempo.

Infine, a mio avviso, uno dei principali punti di rottura è costituito dagli impatti relativi alla componente organizzativa. La gestione della supply chain di fatto e su questo aspetto hanno chiarito anche il Regolamento DORA e la Direttiva NIS2, coinvolge:

• cybersecurity,
• IT e OT,
• data e AI governance,
• acquisti,
• compliance,
• rischi,
• legal.

Una vista unificata è quanto mai doverosa, ma perseguibile esclusivamente se questi attori sono in grado di condividerne i criteri di valutazione, le metriche di rischio e chiare responsabilità.

Resilienza come principio unificante

In un contesto così complesso, l’obiettivo non può essere l’eliminazione totale del rischio.

La vera sfida è costruire una supply chain resiliente, capace di assorbire gli shock, limitare la propagazione degli incidenti e adattarsi rapidamente a condizioni nuove, il tutto garantendo la possibilità di continuare ad operare.

La resilienza, quindi, diventa il principio unificante, il collante tra sicurezza IT, affidabilità OT e governance dell’AI, permettendo alle organizzazioni di continuare a operare anche in presenza di eventi avversi.

Verso un nuovo paradigma di gestione del rischio

La gestione della supply chain, nell’era delle architetture super-ibride, non può essere considerato un tema “accessorio”, bensì sta assumendo i connotati di una delle sfide centrali del contesto cybersecurity e non solo.

Non si tratta più solo di controllare i fornitori, ma di governare un ecosistema complesso, in cui tecnologie, dati e algoritmi sono profondamente interconnessi.

Affrontare questa sfida richiede un cambio di paradigma: dalla difesa del perimetro alla comprensione delle dipendenze, dalla valutazione statica (controllo dei fornitori) al monitoraggio continuo, dalla gestione settoriale a una visione unificata del rischio.

Solo così la supply chain potrà trasformarsi da punto debole a fattore di resilienza e fiducia.