Ransomware nelle assicurazioni: perché cifrare i dati a monte

Le compagnie assicurative custodiscono per anni dati anagrafici, finanziari e sanitari, e li fanno circolare lungo una filiera di broker, periti e contact center. Con il Regolamento DORA, applicabile dal 17 gennaio 2025, dimostrare il controllo su quei dati e sui fornitori ICT è diventato un obbligo. La protezione che resta attaccata al file, e continua a valere anche fuori dalla rete aziendale, sposta il punto in cui si gioca la sicurezza.

Il dato assicurativo vive fuori dal perimetro

Una compagnia assicurativa raccoglie e conserva per anni alcune delle informazioni più delicate che una persona affida a un’azienda: dati anagrafici, coordinate bancarie e IBAN e, nelle polizze vita e salute, veri e propri dati sanitari, che il GDPR colloca tra le categorie particolari (art. 9). Questi dati non restano fermi in un archivio. Servono ogni giorno per valutare rischi e liquidare sinistri, e per farlo circolano lungo una filiera fatta di agenti, broker, periti, contact center e fornitori che elaborano pratiche in cloud.

Dal 17 gennaio 2025 il Regolamento (UE) 2022/2554, noto come DORA, si applica in via diretta a imprese di assicurazione e riassicurazione, intermediari e fornitori terzi di servizi ICT. Cambia il registro della compliance. Non basta più adottare misure: bisogna poter dimostrare che ci sono, che funzionano e che coprono anche i fornitori. L’articolo 9 (protezione e prevenzione) chiede politiche e strumenti che garantiscano riservatezza e integrità del dato, cifratura compresa; il Capo V, agli articoli da 28 a 30, impone di governare il rischio dei fornitori terzi di servizi ICT. Il GDPR completa il quadro, citando la cifratura tra le misure adeguate al rischio (art. 32) e richiedendo un registro dei trattamenti (art. 30).

Il problema è che le difese su cui poggia gran parte della sicurezza nascono per un mondo in cui i dati stavano fermi sui server aziendali. Oggi il dato esce dalla rete ogni giorno, e con esso esce il controllo. Il Verizon Data Breach Investigations Report 2026 rileva che l’elemento umano è presente nel 62% delle violazioni, in aumento rispetto al 60% dell’anno precedente: nella maggior parte dei casi si tratta di operazioni legittime eseguite male, più che di attacchi sofisticati. Le violazioni che coinvolgono terze parti sono cresciute del 60% in un anno, proprio lo spazio in cui vive la filiera assicurativa. Il Rapporto Clusit 2026 conferma il quadro: 5.265 incidenti gravi a livello globale nel 2025 (Italia inclusa), +48,7% sull’anno prima, con il finance stabilmente tra i settori più colpiti.

La cifratura e l’attrito

La cifratura sarebbe la risposta più diretta a questo problema. Sul piano tecnico è materia risolta da tempo. Sul piano dell’adozione, no. Il motivo lo conosce bene Fabio Spagnuolo, che in REVO Insurance guida la sicurezza operativa: la crittografia fatta bene viene percepita come impossibile o troppo complessa, e il risultato è sempre lo stesso, cioè chi dovrebbe adottarla rallenta, aggira il controllo, alla fine rinuncia. “L’attrito, questo peso operativo che la sicurezza scarica sulle persone, è il vero motivo per cui molti progetti di cifratura non arrivano in produzione. Da qui una regola pratica che vale in ogni contesto operativo: se troppe persone devono fare troppe cose, la misura non funziona. La complessità va tenuta dove ci sono le competenze per gestirla, dalla parte di chi la sicurezza la progetta. All’utente serve arrivare al risultato senza cambiare il modo di lavorare”.

La soluzione: la cifratura trasparente

La scelta è stata mettere la protezione dentro il file. La cifratura trasparente accompagna il documento anche quando esce dal perimetro, senza chiedere alle persone di imparare procedure nuove. Il file cifrato su un computer resta cifrato quando finisce su un altro dispositivo o su una chiavetta USB, e diventa utilizzabile solo all’interno di un insieme di applicazioni e dispositivi autorizzati, definiti a livello di policy di governance.

L’architettura lavora su due livelli distinti. Il primo è la cifratura che appartiene al file e resta attiva ovunque il file si trovi. Il secondo è la policy che decide quali applicazioni e quali dispositivi possono aprirlo. È questo secondo livello a distinguere l’approccio dalla classificazione tradizionale e dagli strumenti che ispezionano il contenuto per cercare un pattern. Come nota Spagnuolo, “Una chiave privata per sua natura non ha pattern riconoscibili, perché è fatta per essere caotica: difenderla guardando dentro il file non porta lontano, mentre ha senso stabilire chi e cosa può utilizzarla.

Il punto pratico, per chi deve introdurre una tecnologia in una compagnia già strutturata, è che questo modello si affianca all’infrastruttura esistente invece di sostituirla. Convive con la gestione degli endpoint, con l’identità, con i backup. Aggiunge uno strato di protezione che segue il documento, senza smontare quello che già funziona”.

Perché cifrare a monte cambia l’equazione del ransomware

Dietro la cifratura all’origine c’è anche una logica difensiva concreta, che Spagnuolo riconduce all’economia dell’attacco. Vale la pena ricordare come è nato il ransomware: gli attaccanti erano già dentro i sistemi, prelevavano i dati senza che nessuno se ne accorgesse, e hanno iniziato a cifrarli per rendere visibile la loro presenza e chiedere un riscatto. Da allora il modello si è evoluto verso la doppia estorsione: prima si bloccano i sistemi, poi si minaccia la pubblicazione dei dati sottratti.

Se il dato esce dall’azienda già cifrato a monte, questa equazione si rovescia. Esfiltrare un contenuto illeggibile costa molto all’attaccante, che ha già investito nella filiera dell’attacco e deve investire ancora di più per provare a decifrarlo. E soprattutto regge la seconda leva del ricatto: se i dati pubblicati sul dark web sono già cifrati, restano inaccessibili, e la minaccia di diffonderli perde forza.

Il DBIR 2026 segnala che il ransomware è presente nel 48% delle violazioni. Ridurre il valore del bottino è una difesa che agisce quando tutto il resto ha già ceduto.

Cosa cambia per chi decide

DORA colloca la responsabilità della resilienza operativa in capo agli organi di gestione. Non è più una questione confinata all’IT. Per un consiglio di amministrazione e per un direttore della sicurezza, spostare la protezione sul dato produce effetti misurabili: la conformità diventa più semplice da dimostrare, perché la cifratura è nativa e la tracciabilità degli accessi è già disponibile; la dipendenza dal comportamento perfetto degli utenti si riduce, perché un errore su un file protetto non si trasforma in un incidente notificabile; il controllo sulla filiera dei fornitori, che DORA pretende, diventa gestibile perché il dato resta protetto anche quando lo tratta un terzo.

Nessuno di questi effetti sostituisce le difese classiche. Le affianca, coprendo lo spazio che il perimetro lascia scoperto per costruzione: il momento in cui il dato è già fuori.

Una domanda che cambia

Per anni la sicurezza assicurativa si è misurata sulla capacità di tenere gli estranei fuori dalla rete. Il testo di DORA e gli incidenti degli ultimi mesi spostano l’attenzione altrove: cosa resta protetto quando qualcuno entra con credenziali valide, o quando il file è già uscito verso un broker, un perito, un fornitore. Finché la sicurezza resta una proprietà della rete, ogni nuovo obbligo normativo troverà le compagnie a rincorrere lo stesso confine mobile. Quando appartiene al dato, il confine si sposta con il documento, e viaggia dove viaggia il file.