Le organizzazioni investono in tecnologie di sicurezza sempre più sofisticate, ma il rischio informatico continua a dipendere (e non poco!) anche dalle decisioni quotidiane delle persone, dalla qualità dei processi e dalla capacità di governare strumenti digitali in continua evoluzione.
La formazione è indispensabile, ma non basta se non contribuisce a costruire una cultura della cybersecurity.
Allo stesso modo, l’intelligenza artificiale può ampliare le capacità delle persone e delle organizzazioni, ma solo se accompagnata da competenze adeguate, responsabilità chiare e regole di utilizzo. I dati IBM sul costo delle violazioni, a livello globale e italiano, mostrano quanto il rischio abbia conseguenze economiche concrete.
La sfida per le imprese è quindi integrare tecnologia, comportamenti, competenze e governance, misurando la sicurezza non soltanto attraverso gli strumenti installati, ma anche attraverso la capacità di prevenire, riconoscere e gestire gli incidenti.
Indice degli argomenti
Cybersecurity e intelligenza artificiale oltre la sola tecnologia
Negli ultimi anni la cybersecurity è diventata una priorità per le organizzazioni di ogni dimensione. La digitalizzazione dei processi, la diffusione del cloud, l’interconnessione delle filiere e la crescente dipendenza dai dati hanno ampliato la superficie di attacco. Nel frattempo, i criminali informatici hanno affinato le proprie tecniche, sfruttando automazione, ingegneria sociale e strumenti di intelligenza artificiale per rendere gli attacchi più credibili, rapidi e difficili da riconoscere.
La risposta delle imprese è stata, comprensibilmente, un rafforzamento degli investimenti tecnologici: sistemi di rilevamento, protezione degli endpoint, multifactor authentication, gestione delle identità, monitoraggio delle reti e piattaforme di analisi degli eventi di sicurezza.
Queste misure sono essenziali, tuttavia non esauriscono il problema e non mettono al sicuro un’azienda solo perché ha investito nella migliore e più recente tecnologia.
Infatti, un’organizzazione può disporre di strumenti avanzati e restare vulnerabile se un dipendente comunica le proprie credenziali ad un interlocutore fraudolento, se un responsabile continua ad autorizzare un trasferimento senza verificare una richiesta anomala, se un team condivide dati riservati con un servizio digitale non approvato o se un incidente viene segnalato troppo tardi per contenerne gli effetti.
Il punto non è contrapporre la tecnologia alle persone, ma riconoscere che la sicurezza reale emerge dall’interazione tra strumenti, processi, decisioni e comportamenti.
Una protezione efficace, infatti, non dipende esclusivamente dalla capacità di impedire un attacco, ma anche da quella di riconoscerlo tempestivamente, limitarne le conseguenze e ripristinare le attività.
In altre parole, la cybersecurity è una proprietà dell’organizzazione nel suo complesso, non una funzione isolata del reparto IT.
Questa prospettiva diventa ancora più importante con l’intelligenza artificiale.
L’AI può supportare il rilevamento delle minacce, accelerare l’analisi degli eventi e rendere più accessibili competenze specialistiche.
Essa può analizzare una mole impressionante di dati in un decimo del tempo che i sistemi tradizionali impiegano per svolgere lo stesso lavoro… ma allo stesso tempo, l’AI può essere utilizzata per costruire messaggi di phishing più convincenti, automatizzare attività malevole e facilitare la divulgazione involontaria di informazioni aziendali.
La domanda da porsi, quindi, non è soltanto quali strumenti adottare, ma quale organizzazione sia necessaria per utilizzare la tecnologia in modo sicuro e trasformarla in un vantaggio concreto.
Cultura della cybersecurity: dalla formazione ai comportamenti
La formazione è spesso il primo intervento con cui un’azienda affronta il fattore umano. Corsi obbligatori, moduli online, campagne di sensibilizzazione e simulazioni di phishing sono strumenti utili per trasferire conoscenze e richiamare l’attenzione sui rischi.
Il problema nasce quando la formazione viene considerata un risultato in sé: il corso è stato completato, il test è stato superato, l’adempimento è registrato. Tutto questo dimostra che è stata svolta un’attività, ma non necessariamente che i comportamenti siano cambiati.
Conoscere il rischio non significa sempre saperlo riconoscere in una situazione concreta, e riconoscerlo non garantisce che una persona agisca correttamente quando è sotto pressione, ha poco tempo, teme di bloccare un processo o riceve una richiesta apparentemente reale e proveniente dal proprio responsabile.
La differenza tra formazione e cultura si trova proprio qui.
La formazione trasferisce conoscenze, sviluppa capacità e offre strumenti per affrontare situazioni specifiche. La cultura della sicurezza riguarda invece il modo in cui tali conoscenze si traducono in decisioni abituali, aspettative condivise e comportamenti coerenti con gli obiettivi dell’organizzazione.
Il rapporto ENISA Cyber Security Culture in Organisations sottolinea la natura multidimensionale della cultura della cybersecurity, che comprende conoscenze, convinzioni, percezioni, atteggiamenti, presupposti, norme e valori che si manifestano nel comportamento delle persone. Le successive linee guida ENISA sugli aspetti comportamentali confermano l’importanza di intervenire non soltanto sull’informazione, ma anche sul contesto nel quale le persone prendono decisioni.
La cultura, dunque, non si costruisce con un singolo corso.
Si sviluppa nel tempo attraverso la coerenza tra ciò che l’organizzazione dichiara e ciò che rende concretamente possibile.
Se l’azienda invita a segnalare gli incidenti ma penalizza chi ammette un errore, le persone tenderanno a nascondere i problemi.
Se chiede di verificare le richieste anomale ma premia esclusivamente la velocità di esecuzione – da qui il riferimento ad adottare AI in modo massivo per essere sempre più veloci risulta facile – il messaggio implicito sarà che la rapidità conta più della prudenza. Se l’azienda impone procedure complesse senza offrire strumenti praticabili, aumenterà la probabilità che vengano aggirate.
Al contrario, una cultura matura rende la sicurezza parte del lavoro quotidiano.
Le persone sanno quando fermarsi, come verificare un’identità, a chi segnalare un comportamento sospetto e perché una procedura è importante. Non sono semplicemente destinatarie di regole: diventano parte attiva del sistema di protezione.
Dalla consapevolezza ai comportamenti di sicurezza
Per trasformare la formazione in cultura è utile agire su più livelli:
- Conoscenza: comprendere i rischi e riconoscere le principali tecniche di attacco.
- Capacità operativa: saper applicare le procedure in situazioni realistiche.
- Abitudini: verificare le richieste anomale, proteggere le credenziali e segnalare tempestivamente gli incidenti.
- Contesto organizzativo: disporre di procedure comprensibili, strumenti accessibili e canali di segnalazione efficaci.
- Leadership: osservare comportamenti coerenti anche da parte dei responsabili, che devono dimostrare con l’esempio che la sicurezza è una priorità.
La formazione diventa così una componente di un percorso più ampio. Il suo successo non si misura soltanto contando le persone che hanno completato un modulo, ma verificando se l’organizzazione prende decisioni più sicure e reagisce meglio agli imprevisti.
Fattore umano e controlli nella cybersecurity
L’espressione fattore umano viene spesso utilizzata per indicare l’anello debole della cybersecurity, ma questa è una semplificazione che rischia di spostare la responsabilità sulle singole persone, trascurando le condizioni nelle quali operano.
Un dipendente che cade in una truffa non è necessariamente poco attento. Può aver ricevuto un messaggio costruito con informazioni autentiche, aver agito durante un’emergenza simulata o aver utilizzato un processo aziendale che non prevede una verifica indipendente. Il comportamento individuale conta, ma deve essere letto insieme al sistema che lo influenza.
Una cultura efficace non elimina la responsabilità personale. La rende più chiara e, soprattutto, la accompagna con condizioni organizzative che facilitano le scelte corrette.
Questo significa, per esempio, rendere semplice segnalare un messaggio sospetto, prevedere verifiche indipendenti per i pagamenti, utilizzare autenticazione resistente al phishing dove possibile, limitare i privilegi agli effettivi bisogni e ridurre la quantità di informazioni accessibili a ciascun utente.
La sicurezza non deve affidarsi esclusivamente alla capacità di ogni persona di riconoscere ogni minaccia. Deve essere progettata in modo che un singolo errore non si trasformi automaticamente in un incidente grave.
È il principio della difesa a più livelli: formazione, procedure, controlli tecnici e capacità di risposta devono compensarsi reciprocamente.
Il ruolo dei manager nella cultura cyber
Il comportamento dei responsabili ha un peso particolare. Se un manager chiede di saltare una procedura perché «non c’è tempo», comunica che le regole sono negoziabili. Se, invece, si ferma per verificare una richiesta anomala, segnala che il controllo è parte del lavoro e non un ostacolo burocratico.
La leadership contribuisce inoltre a stabilire se la segnalazione di un errore sarà interpretata come un’occasione di miglioramento o come un motivo di colpevolizzazione.
Un’organizzazione che incoraggia segnalazioni tempestive può scoprire prima un problema e limitare i danni. Questo non significa rinunciare alla responsabilità: significa distinguere tra errore in buona fede, comportamento negligente e violazione deliberata delle regole.
La cultura della cybersecurity si vede quindi anche nelle decisioni che vengono prese quando la sicurezza entra in tensione con tempi, costi e obiettivi commerciali.
Dalle policy alle pratiche di cybersecurity
Una policy è utile solo se le persone possono comprenderla e applicarla.
Per questo le regole generali devono essere tradotte in indicazioni legate ai ruoli e alle situazioni concrete.
Un addetto alla contabilità deve sapere come verificare una variazione delle coordinate bancarie. Un professionista che utilizza strumenti di AI deve conoscere le regole sulla condivisione dei dati e sulla verifica dei risultati. Un responsabile di funzione deve sapere chi autorizza un nuovo servizio e come segnalare un rischio. Il team IT deve poter individuare strumenti non autorizzati e gestire le eccezioni senza creare ostacoli sproporzionati al lavoro.
L’obiettivo è ridurre la distanza tra la sicurezza formalmente prevista e quella effettivamente praticata.
I costi economici della cybersecurity nei dati IBM
Il rischio informatico non si esaurisce nei costi di ripristino dei sistemi. Una violazione può comportare interruzioni operative, perdita di produttività, attività forensi, consulenze legali, obblighi di notifica, danni reputazionali e conseguenze commerciali. Può inoltre richiedere investimenti straordinari per rafforzare i controlli e recuperare la fiducia di clienti e partner.
Il Cost of a Data Breach Report 2026 di IBM offre una misura economica di questa esposizione. Secondo il comunicato ufficiale italiano, il costo medio globale di una violazione dei dati ha raggiunto 4,99 milioni di dollari nel 2026, con un incremento del 12% rispetto all’anno precedente. Il dato evidenzia quanto gli incidenti possano tradursi in impatti economici rilevanti, anche quando l’organizzazione dispone di strumenti di protezione.
Il quadro italiano è altrettanto significativo. Il costo medio di una violazione è salito a 3,55 milioni di euro nel 2026, rispetto ai 3,31 milioni del 2025. La media non rappresenta il costo inevitabile di ogni incidente, né permette da sola di stimare il rischio di una singola impresa. È però un indicatore utile della scala economica che una violazione può raggiungere.
Il report italiano evidenzia inoltre alcune dinamiche rilevanti. La compromissione della supply chain rappresenta il 18% dei casi analizzati, con un costo medio indicato di 3,56 milioni di euro. Seguono i servizi remoti esternalizzati, con il 15% e un costo medio di 4,25 milioni, e il social engineering, anch’esso al 15%, con un costo medio di 4,16 milioni di euro.
Queste categorie non sono intercambiabili e non esauriscono le cause delle violazioni. Nel loro insieme, tuttavia, mostrano come il rischio possa attraversare relazioni con fornitori, servizi esternalizzati e interazioni con le persone.
La sicurezza non si limita quindi al perimetro tecnologico interno: dipende anche dai processi, dai partner e dalle decisioni quotidiane.
IBM segnala inoltre che, nel campione italiano, la carenza di personale qualificato in ambito cybersecurity è associata a un aumento del costo medio della violazione di circa 199.100 euro. La compromissione della supply chain è associata a un incremento di circa 165.122 euro, mentre la mancanza di visibilità sul numero e sulla localizzazione delle applicazioni, riconducibile al fenomeno della shadow IT, è associata a circa 162.544 euro in più.
Questi valori sono differenze osservate nel rapporto e non devono essere interpretati come costi aggiuntivi garantiti in ogni incidente o come prova automatica di causalità.
È il loro significato manageriale che rimane importante: competenze, visibilità e governo dei processi incidono sul modo in cui il rischio viene gestito e sul costo che può produrre.
Automazione e tempi di risposta agli incidenti
Il rapporto IBM 2026 rileva che, tra le organizzazioni italiane considerate, quelle che utilizzano in modo estensivo AI e automazione nelle operazioni di sicurezza hanno impiegato mediamente 123 giorni per identificare una violazione e 44 giorni per contenerla. Nelle organizzazioni che non utilizzavano tali capacità, i tempi riportati erano rispettivamente di 145 e 65 giorni.
Il confronto suggerisce che l’automazione può contribuire a ridurre i tempi di risposta. Non dimostra, da solo, che la tecnologia sia l’unica causa della differenza: maturità organizzativa, disponibilità di personale, processi e investimenti possono influire sui risultati.
Il rapporto segnala inoltre che il 71% delle organizzazioni italiane intervistate ipotizza un aumento della spesa per la cybersecurity dopo una violazione.
Questo è un dato che dovrebbe invitare a riflettere sul costo della prevenzione rispetto a quello degli interventi effettuati dopo un incidente (il quale rappresenta una misura generalmente ben maggiore se si uniscono costi legati non solo alla soluzione tecnica dell’incidente, ma anche a quelli che riguardano eventuali spese legali, danni di immagine reputazionali, perdita di fiducia dei clienti, ecc.)
Certamente, non tutte le misure preventive garantiscono un ritorno economico immediatamente quantificabile, ma l’assenza di un beneficio facilmente attribuibile non equivale all’assenza di valore: ridurre l’esposizione, migliorare la capacità di risposta e limitare le interruzioni contribuisce alla continuità operativa.
La domanda per il management dovrebbe, dunque, essere: come collegare gli investimenti in sicurezza a una riduzione misurabile del rischio, evitando sia di sottovalutare il fattore umano sia di attribuire alla formazione risultati che dipendono da molti elementi?
Intelligenza artificiale tra capacità e rischio cyber
L’intelligenza artificiale sta cambiando il modo in cui le organizzazioni producono, analizzano informazioni e prendono decisioni.
In ambito cybersecurity, l’AI può supportare l’analisi di grandi volumi di eventi, individuare anomalie, facilitare il triage degli alert, sintetizzare informazioni sulle minacce e assistere gli operatori nelle attività di indagine.
Queste capacità sono particolarmente interessanti in un contesto in cui le imprese devono gestire un numero crescente di segnali, mentre le competenze specialistiche sono difficili da reperire perché l’AI può contribuire a rendere più efficiente il lavoro degli esperti e a ridurre il tempo necessario per alcune attività.
Tuttavia, il valore della tecnologia dipende dalla qualità delle informazioni, dalla corretta configurazione dei sistemi e dalla capacità delle persone di interpretare i risultati.
Un output plausibile non è necessariamente corretto; una raccomandazione automatizzata non è automaticamente appropriata; una risposta rapida non equivale sempre a una decisione sicura.
La stessa tecnologia, però, può essere utilizzata per finalità ostili: messaggi fraudolenti più personalizzati, contenuti sintetici convincenti, automazione di attività preparatorie agli attacchi e supporto alla ricerca di vulnerabilità.
Queste attività, oggi ottenibili senza nemmeno un grande investimento economico né una estrema competenza tecnica da parte dei potenziali hackers, rendono più complesso distinguere le comunicazioni legittime da quelle malevole.
La conseguenza è un cambiamento della natura del rischio. Non basta insegnare a riconoscere il classico messaggio scritto male o pieno di errori grammaticali: bisogna sviluppare capacità di verifica dell’identità, del contesto e dell’autorizzazione della richiesta.
Se un messaggio sembra provenire dal direttore finanziario e chiede un pagamento urgente, la domanda non dovrebbe essere soltanto se il testo appare autentico. Occorre verificare la richiesta attraverso un canale indipendente, applicare la procedura prevista e non lasciarsi guidare esclusivamente dall’urgenza o dalla familiarità del mittente.
Le competenze necessarie per usare l’AI in sicurezza
L’adozione dell’AI non produce automaticamente competenze; al contrario, rende necessarie nuove capacità, distribuite tra funzioni differenti.
- I professionisti della cybersecurity devono comprendere opportunità e limiti degli strumenti AI utilizzati nelle attività difensive.
- Gli utenti devono sapere quali informazioni possono essere inserite negli strumenti autorizzati e come verificare i risultati.
- I responsabili di processo devono valutare se un caso d’uso sia appropriato, quali decisioni possano essere delegate e quali debbano restare sotto controllo umano.
- Le funzioni legali, privacy, compliance e risk management devono contribuire alla valutazione dei rischi pertinenti.
Questo non significa che ogni dipendente debba diventare un esperto di intelligenza artificiale, ma che ciascuno deve possedere competenze adeguate al proprio ruolo e conoscere i limiti entro i quali può utilizzare la tecnologia.
La capacità di formulare richieste efficaci a un sistema generativo è soltanto una parte del problema. Servono anche capacità di valutazione critica, protezione delle informazioni, verifica delle fonti, riconoscimento degli errori e comprensione delle responsabilità.
In questo senso, l’AI può essere vista come un moltiplicatore di capacità: amplifica ciò che persone e organizzazioni sono in grado di fare, ma può amplificare anche errori, distorsioni e comportamenti rischiosi quando manca un adeguato sistema di controllo.
Shadow AI e cybersecurity fuori dalla governance
Uno degli effetti collaterali dell’adozione rapida dell’AI è la diffusione di strumenti non approvati o non adeguatamente governati, spesso indicata come shadow AI. Il fenomeno comprende l’utilizzo di applicazioni di intelligenza artificiale al di fuori dei processi aziendali di autorizzazione, inventario e controllo.
Esso può nascere da esigenze legittime: sintetizzare documenti, tradurre contenuti, analizzare dati, scrivere codice o accelerare attività ripetitive.
Un dipendente può ricorrere a un servizio pubblico perché è semplice da usare e sembra più rapido degli strumenti messi a disposizione dall’azienda. Il rischio emerge quando questa scelta comporta la condivisione di dati riservati, informazioni personali, codice sorgente o documentazione interna senza averne valutato le conseguenze.
La questione non riguarda soltanto la riservatezza. Occorre considerare anche la conservazione dei dati, le condizioni contrattuali del servizio, l’eventuale riutilizzo delle informazioni, la qualità degli output, la tracciabilità delle decisioni e la possibilità che risultati errati entrino nei processi aziendali.
Il Cost of a Data Breach Report 2025 di IBM offre indicazioni utili.
A livello globale, circa una organizzazione su cinque tra quelle considerate nel rapporto ha segnalato una violazione collegata alla shadow AI. Le organizzazioni caratterizzate da livelli elevati di shadow AI hanno registrato costi medi di violazione superiori di circa 670.000 dollari rispetto a quelle con livelli bassi o assenti.
È importante leggere correttamente questi numeri: non indicano che un incidente di shadow AI costi sempre 670.000 dollari in più, né dimostrano che la shadow AI sia stata l’unica causa della differenza.
Il dato confronta gruppi di organizzazioni e segnala un’associazione tra una maggiore presenza di AI non governata e costi medi più elevati.
Lo stesso rapporto evidenzia un problema di governance: nel campione globale, una quota significativa delle organizzazioni non disponeva ancora di policy mature per l’AI o le stava sviluppando.
In Italia, IBM riportava che soltanto il 31% delle organizzazioni considerate disponeva di policy per gestire l’AI o rilevare la shadow AI. Inoltre, tra le organizzazioni italiane con livelli elevati di shadow AI, il costo medio della violazione risultava superiore di circa 161.541 euro rispetto a quello delle organizzazioni con livelli bassi o assenti.
Questi dati, riferiti al 2025, non devono essere confusi con le statistiche IBM 2026 sulla shadow IT.
La shadow IT riguarda applicazioni, dispositivi o servizi tecnologici non adeguatamente conosciuti o governati dall’organizzazione; la shadow AI riguarda specificamente l’utilizzo non governato di sistemi di intelligenza artificiale. I due fenomeni possono sovrapporsi, ma non sono sinonimi.
Il rapporto IBM 2026 segnala, per il contesto italiano, un’associazione tra mancanza di visibilità sulle applicazioni e maggiori costi di violazione. È un’indicazione ulteriore dell’importanza dell’inventario e del controllo, ma non costituisce una misura diretta della shadow AI.
Governare la shadow AI oltre i divieti
La risposta alla shadow AI non può essere soltanto un divieto generalizzato.
Se le persone percepiscono che gli strumenti aziendali sono troppo limitati o poco funzionali, possono cercare alternative senza informare l’organizzazione. Il risultato rischia di essere una minore visibilità proprio quando sarebbe necessario conoscere gli strumenti effettivamente utilizzati.
Un approccio più efficace combina regole chiare, alternative approvate, controlli proporzionati e formazione mirata. L’impresa dovrebbe rendere comprensibile quali strumenti siano consentiti, quali dati possano essere trattati, quali utilizzi richiedano un’autorizzazione e quali attività siano vietate.
È utile anche creare un processo semplice per proporre nuovi casi d’uso.
Se una funzione aziendale individua un’applicazione promettente, dovrebbe poterla sottoporre a una valutazione rapida e trasparente, invece di essere spinta a utilizzarla informalmente.
La governance non deve diventare un freno indiscriminato all’innovazione. Deve consentire all’organizzazione di distinguere tra utilizzi accettabili, utilizzi da sottoporre a controlli aggiuntivi e utilizzi incompatibili con i propri obblighi o con il livello di rischio tollerato.
Governance dell’AI e gestione del rischio cyber
Una strategia di AI sicura non può basarsi soltanto sulle buone intenzioni degli utenti o sulle condizioni contrattuali dei fornitori. Richiede un sistema di governance che accompagni la tecnologia lungo il suo ciclo di vita: dalla selezione iniziale alla sperimentazione, dall’adozione alla verifica periodica, fino alla dismissione.
Il NIST AI Risk Management Framework propone quattro funzioni complementari: Govern, Map, Measure e Manage. In termini pratici, significa definire responsabilità e regole; comprendere il contesto e i rischi del caso d’uso; misurare e valutare tali rischi; quindi gestirli con controlli appropriati e riesami continui.
Questo approccio è utile perché evita di considerare la governance come un’autorizzazione concessa una volta per tutte. I rischi possono cambiare quando viene aggiornato un modello, vengono modificati i dati, si amplia il numero degli utenti o si introduce il sistema in un processo più critico.
I 5 elementi per una governance efficace
Una governance efficace dovrebbe includere almeno cinque elementi.
1. Inventario dei sistemi e dei casi d’uso. L’organizzazione deve sapere quali strumenti AI sono utilizzati, da chi, per quali finalità e con quali categorie di dati. L’inventario deve comprendere sia le soluzioni acquistate centralmente sia i casi d’uso introdotti dalle singole funzioni.
2. Classificazione del rischio. Non tutti gli impieghi richiedono lo stesso livello di controllo. Un assistente per attività amministrative generiche non presenta necessariamente lo stesso profilo di rischio di un sistema che influenza decisioni su persone, accessi, transazioni o infrastrutture critiche. I controlli devono essere proporzionati alla sensibilità dei dati, all’impatto delle decisioni e alla possibilità di errore.
3. Regole sull’utilizzo dei dati. Devono essere chiare le informazioni che possono essere condivise, i servizi autorizzati, le condizioni per trattare dati personali o riservati e le modalità di conservazione. Le regole devono essere coerenti con i requisiti normativi e contrattuali applicabili.
4. Verifica e supervisione. Gli output devono essere verificati in funzione del rischio. Per gli impieghi più critici occorrono responsabilità esplicite, tracciabilità, procedure di escalation e, dove necessario, una supervisione umana effettiva. La presenza di una persona nel processo non è sufficiente se non dispone del tempo, delle informazioni e dell’autorità per intervenire.
5. Monitoraggio e miglioramento. I casi d’uso devono essere riesaminati periodicamente. Incidenti, errori, segnalazioni e cambiamenti tecnologici devono contribuire ll’aggiornamento dei controlli e dei percorsi formativi.
Questi elementi devono essere coordinati con la governance della cybersecurity, della protezione dei dati, della compliance e del rischio aziendale.
Una separazione rigida tra questi ambiti rischia di creare zone grigie nelle quali nessuno possiede una visione completa del problema.
Il NIST Cybersecurity Framework 2.0 offre, a sua volta, un riferimento per integrare la governance del rischio cyber nella gestione complessiva dell’organizzazione. L’elemento decisivo è il passaggio da una serie di iniziative separate a un sistema coerente di responsabilità, controlli e misurazione.
Una governance AI proporzionata al rischio
Una buona governance non consiste nell’aggiungere passaggi autorizzativi a ogni attività. Consiste nel rendere visibili i rischi, definire chi può decidere e applicare controlli proporzionati.
Un modello praticabile può prevedere percorsi distinti: utilizzi standard già approvati, casi d’uso a rischio medio soggetti a valutazione e impieghi ad alto rischio sottoposti a verifiche più approfondite.
In questo modo, la maggior parte delle attività legittime può procedere senza ritardi inutili, mentre le decisioni più delicate ricevono l’attenzione necessaria.
La governance, inoltre, non deve essere delegata interamente all’IT. La tecnologia è una componente essenziale, ma le funzioni di business conoscono gli obiettivi, i processi e le conseguenze operative delle decisioni.
Il controllo efficace richiede collaborazione tra chi sviluppa o gestisce i sistemi, chi li utilizza e chi è responsabile del rischio.
Cultura e competenze per una cybersecurity matura
A questo punto emerge una relazione che può aiutare a ripensare l’approccio alla cybersecurity e all’intelligenza artificiale: la formazione sta alla cultura come l’AI sta alle competenze.
L’analogia non va interpretata come una proporzione matematica né come un’equivalenza letterale. Serve piuttosto a evidenziare due dinamiche parallele.
La formazione è uno degli strumenti attraverso cui si costruisce la cultura, ma non la esaurisce. Allo stesso modo, l’AI è uno strumento che può ampliare le capacità delle persone, ma non sostituisce le competenze necessarie per utilizzarla, valutarla e governarla.
Nel primo caso, il passaggio decisivo è dalla conoscenza al comportamento.
Nel secondo, è dalla disponibilità tecnologica alla capacità di produrre risultati affidabili e responsabili.
Un’organizzazione può erogare molti corsi senza sviluppare una cultura della sicurezza, così come può acquistare strumenti di AI senza acquisire la capacità di integrarli efficacemente nei propri processi. In entrambi i casi, l’adozione dello strumento non coincide con il raggiungimento del risultato.
Questa relazione suggerisce quattro dimensioni da sviluppare congiuntamente.
- Cultura: orienta le decisioni quotidiane, definisce ciò che viene considerato accettabile e rende la sicurezza una responsabilità condivisa.
- Competenze: permettono alle persone di applicare procedure, valutare informazioni, riconoscere limiti e utilizzare gli strumenti in modo appropriato.
- Governance: stabilisce responsabilità, autorizzazioni, regole e controlli, creando un quadro nel quale tecnologia e persone possano operare in modo coerente.
- Tecnologia: fornisce capacità di prevenzione, rilevamento, automazione e risposta, ma deve essere integrata in processi adeguati e accompagnata da supervisione.
Le quattro dimensioni si rafforzano reciprocamente.
- La cultura incoraggia l’uso corretto degli strumenti e la segnalazione dei problemi.
- Le competenze consentono di applicare le regole e riconoscere i rischi.
- La governance rende chiare le responsabilità e crea condizioni operative affidabili.
- La tecnologia aiuta a rendere i controlli più efficaci e scalabili.
Quando una dimensione manca, l’intero sistema si indebolisce.
Una cultura favorevole alla sicurezza, senza strumenti adeguati, può lasciare le persone esposte.
Strumenti avanzati, senza competenze, possono generare falsa fiducia.
Competenze individuali, senza regole, possono produrre comportamenti incoerenti.
Una governance rigida, senza cultura e alternative praticabili, può spingere gli utenti ad aggirare i controlli.
La maturità consiste nel mantenere queste componenti in equilibrio, adattandole all’evoluzione delle minacce e dei processi aziendali.
Misurare il valore della cybersecurity e della governance AI
Se la cybersecurity è un sistema organizzativo, anche la sua misurazione deve andare oltre il numero di corsi erogati o di strumenti installati.
Gli indicatori di attività rimangono utili perché consentono di verificare la copertura della formazione, il completamento delle valutazioni e la diffusione delle policy, ma non dimostrano da soli che l’organizzazione sia diventata più sicura.
Occorre affiancare indicatori di comportamento, efficacia operativa e impatto economico.
Indicatori per cultura e comportamenti
Tra gli indicatori possibili rientrano:
- percentuale di utenti che segnalano messaggi sospetti;
- tempo medio tra la ricezione di un messaggio anomalo e la sua segnalazione;
- percentuale di richieste di pagamento o variazioni bancarie sottoposte alla verifica prevista;
- risultati delle simulazioni di phishing, letti nel tempo e distinti per tipologia di rischio;
- numero e qualità delle segnalazioni ricevute;
- frequenza con cui vengono rispettate le procedure nei processi più esposti.
Un aspetto merita particolare attenzione: un aumento iniziale delle segnalazioni non è necessariamente un segnale negativo perché può indicare che le persone hanno imparato a riconoscere i rischi e si sentono più sicure nel comunicarli.
Per interpretare correttamente il dato occorre considerare la qualità delle segnalazioni, i tempi di risposta e l’andamento degli incidenti.
Anche i risultati delle simulazioni di phishing vanno letti con cautela. Un tasso di clic più basso è un indicatore utile, ma non descrive da solo la capacità di un’organizzazione di gestire una frode reale.
Le simulazioni devono essere progettate per favorire l’apprendimento e non soltanto per classificare i dipendenti.
Metriche delle capacità di cybersecurity
Gli indicatori operativi possono includere:
- tempo medio di rilevamento e contenimento degli incidenti;
- numero di incidenti ripetuti e gravità delle conseguenze;
- percentuale di sistemi e applicazioni censiti;
- copertura dei controlli di accesso e dell’autenticazione multifattore;
- tempo necessario per correggere vulnerabilità rilevanti;
- percentuale di casi d’uso AI inventariati, valutati e sottoposti ai controlli previsti;
- numero di incidenti legati alla condivisione impropria di dati con strumenti AI;
- tempo necessario per revocare accessi o dismettere servizi non più autorizzati.
Questi indicatori devono essere adattati al settore, alle dimensioni e al profilo di rischio dell’organizzazione. Non esiste un unico insieme di metriche valido per tutte le imprese.
Collegare i KPI cyber al valore economico
Il collegamento con il business può partire da un modello semplice:
Perdita attesa = probabilità dell’incidente × impatto economico dell’incidente.
Se un programma di sicurezza riduce la probabilità o la gravità degli incidenti, può contribuire a ridurre la perdita attesa. Per valutare l’intervento, occorre poi confrontare il beneficio stimato con il costo del programma e con gli eventuali costi operativi risparmiati.
Consideriamo un esempio puramente illustrativo.
Un’organizzazione stima una perdita attesa annua pari a 200.000 euro per una determinata categoria di incidenti. Un programma di formazione mirata, miglioramento delle procedure e rafforzamento dei controlli viene stimato capace di ridurre del 20% tale esposizione. Il beneficio teorico sarebbe pari a 40.000 euro. Se il programma costasse 25.000 euro, la differenza sarebbe di 15.000 euro, prima di considerare altri costi, benefici, incertezze e orizzonte temporale.
Questo esempio non è una stima empirica dell’efficacia della formazione: serve a mostrare come impostare un ragionamento economico. Nella pratica, attribuire una riduzione del rischio ad un singolo intervento è complesso. Occorrono dati storici, ipotesi esplicite, confronto con scenari alternativi e aggiornamenti periodici.
La stessa logica può essere applicata alla governance dell’AI. Il valore non deriva soltanto dal numero di strumenti autorizzati, ma anche dalla capacità di ridurre esposizioni indesiderate, evitare errori, migliorare la qualità dei risultati e accelerare attività che prima richiedevano più tempo.
Per il management, l’obiettivo non è trasformare ogni beneficio in una cifra artificiosamente precisa, ma costruire un quadro trasparente che permetta di confrontare priorità, spiegare le decisioni di investimento e verificare nel tempo se i controlli producono risultati.
Un modello operativo per cybersecurity e intelligenza artificiale
Per integrare cultura, competenze, governance e tecnologia, un’organizzazione può procedere per fasi, evitando sia iniziative isolate sia programmi troppo complessi per essere applicati.
Fase 1: individuare i rischi prioritari. Occorre partire dai processi aziendali, dai dati trattati, dai soggetti coinvolti e dagli scenari di incidente più rilevanti. Le priorità di una funzione finanziaria possono essere diverse da quelle di un reparto produttivo o di un team che sviluppa software.
Fase 2: comprendere i comportamenti reali. Oltre a leggere le policy, è utile verificare come vengono gestite le richieste urgenti, le anomalie, le eccezioni e gli strumenti digitali introdotti autonomamente. Interviste, analisi degli incidenti, simulazioni e confronti tra funzioni possono evidenziare la distanza tra procedure formali e pratiche quotidiane.
Fase 3: definire competenze e responsabilità. Ogni ruolo deve sapere quali decisioni può prendere, quali controlli deve eseguire e quando deve coinvolgere altre funzioni. La formazione va costruita a partire da queste responsabilità, con contenuti specifici e casi realistici.
Fase 4: mettere a disposizione strumenti utilizzabili. Le procedure sicure devono essere compatibili con il lavoro quotidiano. Questo vale per la segnalazione degli incidenti, per le verifiche sui pagamenti e per l’adozione dell’AI. Offrire alternative approvate, semplici e adeguate alle esigenze riduce l’incentivo a ricorrere a soluzioni non governate.
Fase 5: introdurre una governance proporzionata. È necessario censire strumenti e casi d’uso, definire criteri di autorizzazione, stabilire chi valuta i rischi e programmare verifiche periodiche. Le funzioni IT, cybersecurity, legale, privacy, compliance e business devono avere responsabilità definite e modalità di collaborazione chiare.
Fase 6: misurare e correggere. Un insieme limitato di indicatori, scelti in base ai rischi prioritari, consente di verificare se i comportamenti migliorano, gli incidenti vengono gestiti più rapidamente e le esposizioni diminuiscono. I risultati devono alimentare un ciclo di miglioramento continuo, non soltanto un report annuale.
Il percorso non richiede necessariamente di introdurre subito un programma esteso.
È possibile iniziare da un processo ad alto impatto, misurare la situazione iniziale, sperimentare interventi mirati e verificare i risultati prima di estendere il modello.
È importante, infine, evitare di attribuire tutto il cambiamento alla formazione.
Se diminuiscono gli incidenti, possono aver contribuito nuovi controlli tecnici, una migliore gestione degli accessi, cambiamenti nei processi o una maggiore capacità di rilevamento. Valutare i risultati significa riconoscere questa complessità e capire quali componenti stanno funzionando.
La cybersecurity come capacità organizzativa
L’evoluzione della cybersecurity e la diffusione dell’intelligenza artificiale rendono sempre meno sostenibile una visione della sicurezza limitata agli strumenti tecnologici o agli adempimenti formativi.
La tecnologia rimane indispensabile, ma non può sostituire la qualità delle decisioni, la chiarezza delle responsabilità e la capacità delle persone di riconoscere i rischi. La formazione è altrettanto necessaria, ma produce valore duraturo quando contribuisce a costruire comportamenti condivisi e un contesto nel quale le scelte sicure siano comprese e praticabili.
La sfida per le imprese non è scegliere tra innovazione e sicurezza, ma creare le condizioni affinché l’innovazione sia sostenibile, i rischi siano visibili e le responsabilità siano definite.
La relazione tra formazione e cultura, così come quella tra AI e competenze, aiuta a comprendere il punto centrale: gli strumenti abilitano il cambiamento, ma sono le capacità dell’organizzazione a trasformarlo in un risultato affidabile.
Una cybersecurity matura non è quella in cui nessuno sbaglia mai, né quella in cui ogni rischio viene dichiarato eliminato.
È quella in cui le persone sono preparate, i processi sono progettati per limitare gli errori, la tecnologia viene governata in modo consapevole e l’organizzazione è in grado di individuare e contenere rapidamente gli incidenti.
In questa prospettiva, la cultura della sicurezza non è un’iniziativa accessoria del reparto IT ma una componente della resilienza aziendale e, sempre più, della capacità di competere in un’economia in cui dati, automazione e intelligenza artificiale sono parte integrante del business.
La formazione è uno strumento per costruire cultura; l’AI è uno strumento che richiede competenze.
Il valore nasce quando entrambi sono inseriti in una governance concreta e misurabile.
Fonti
1. IBM, Cost of a Data Breach Report 2026 — comunicato italiano Leggi il comunicato IBM Fonte dei dati economici globali e italiani, dei tempi di identificazione e contenimento e delle associazioni tra costi, carenza di competenze e visibilità sulle applicazioni.
2. IBM, Cost of a Data Breach Report 2025 — comunicato italiano Leggi il comunicato IBM Fonte per i dati sulla shadow AI, le differenze di costo osservate e la diffusione delle policy di governance.
3. ENISA, Cyber Security Culture in Organisations (2018) Leggi il rapporto ENISA Riferimento concettuale per la definizione di cultura della cybersecurity e per il superamento di un approccio limitato alla sola awareness.
4. ENISA, Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity (2019) Leggi le linee guida ENISA Approfondimento sugli aspetti comportamentali e sulle modalità per promuovere una cultura della sicurezza.
5. NIST, Artificial Intelligence Risk Management Framework Consulta il framework NIST Fonte del modello di gestione del rischio AI basato sulle funzioni Govern, Map, Measure e Manage.
6. NIST, Cybersecurity Framework 2.0 Consulta il framework NIST Riferimento per integrare la gestione del rischio cyber nella governance complessiva dell’organizzazione.
Partecipa alla community