«L’AI non è stata introdotta da esigenze tecnologiche guidate dall’IT, bensì da necessità di business e di produttività individuale dei singoli». La constatazione di Giampiero Zanvettor, CISO di ACI Global Servizi, descrive uno dei problemi più delicati che le imprese devono affrontare: l’intelligenza artificiale si diffonde nei processi aziendali più rapidamente di quanto le organizzazioni riescano a strutturare strumenti e responsabilità per governarla. Una trasformazione che investe direttamente il management, chiamato a ripensare la gestione del rischio digitale, i modelli decisionali e le competenze delle persone.
Il tema è stato al centro della tavola rotonda “La nuova scala del rischio cyber”, ospitata ai Cybersecurity360 Awards 2026 e moderata da Alessandro Longo, direttore responsabile Cybersecurity360 e Agenda Digitale, con la partecipazione di rappresentanti dell’Agenzia per la Cybersicurezza Nazionale (ACN), del Clusit e dei CISO di Snam, Hera e ACI Global Servizi. Dal confronto sono emerse esperienze e criticità che aiutano a comprendere come stia evolvendo la governance dell’AI nelle imprese italiane, tra nuove dipendenze tecnologiche, necessità di misurare il rischio e trasformazioni organizzative.
Indice degli argomenti
Governance AI in azienda: il divario tra adozione tecnologica e capacità di controllo
La crescente diffusione dell’intelligenza artificiale sta modificando il rapporto tra innovazione e gestione del rischio. Le imprese introducono applicazioni e strumenti AI per aumentare la produttività, automatizzare attività e sviluppare nuovi servizi, mentre le funzioni incaricate della sicurezza devono individuare modalità adeguate per controllare tecnologie e processi in continua evoluzione.
A richiamare l’attenzione sulla portata del fenomeno è stato Aldo Di Somma, Vicecapo della divisione CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale, secondo il quale l’intelligenza artificiale deve essere considerata una «nuova superficie d’attacco».
L’AI modifica infatti le capacità di chi conduce gli attacchi informatici, accelerando l’individuazione delle vulnerabilità, e introduce ulteriori elementi di complessità nelle architetture tecnologiche aziendali.
«Assistiamo alla corsa da parte delle aziende a introdurre l’intelligenza artificiale all’interno dei processi e, come sempre accade in queste rivoluzioni, si registra pochissimo controllo e una gestione insufficiente del rischio introdotto da questo nuovo tipo di applicazioni», ha osservato Di Somma.
Una delle principali difficoltà riguarda le dipendenze tecnologiche che si generano con l’integrazione di modelli e agenti AI nei sistemi aziendali. Applicazioni apparentemente circoscritte possono infatti coinvolgere servizi esterni, ulteriori fornitori e componenti che interagiscono tra loro, rendendo più complesso ricostruire i flussi informativi e definire il perimetro delle responsabilità.
La questione assume particolare rilevanza nelle architetture basate su agenti autonomi, capaci di collegarsi ad altri strumenti e servizi. Di Somma ha richiamato la complessità delle «catene di dipendenza generate dagli agenti integrati negli ambienti di sviluppo», che possono coinvolgere modelli collocati al di fuori del controllo diretto dell’organizzazione.
Per le imprese diventa quindi necessario estendere i processi di governance alle componenti AI e alle loro interazioni, considerando le autorizzazioni concesse, i dati utilizzati e le dipendenze dai fornitori.
Shadow AI: quando l’innovazione sfugge al controllo dell’IT
Il problema della visibilità si manifesta con particolare evidenza nella diffusione della Shadow AI, ossia l’utilizzo di strumenti di intelligenza artificiale al di fuori dei processi di autorizzazione e controllo definiti dall’organizzazione.
Durante la tavola rotonda, Giampiero Zanvettor, CISO di ACI Global Servizi, ha sottolineato l’importanza di «presidiare ciò che non è visibile, a partire dal fenomeno della Shadow AI».
L’adozione degli strumenti AI viene frequentemente trainata dalle esigenze delle singole funzioni aziendali e dalla ricerca di una maggiore produttività individuale. Questo può determinare l’introduzione di applicazioni prima che siano state completate le necessarie valutazioni sui dati trattati, sulle modalità di accesso e sui rischi associati.
La governance dell’AI deve quindi confrontarsi con un cambiamento nelle modalità attraverso cui le tecnologie entrano nelle organizzazioni. Le decisioni relative all’innovazione coinvolgono direttamente il business, mentre IT e cybersecurity devono sviluppare strumenti di controllo coerenti con questa distribuzione delle iniziative.
Secondo Zanvettor, «l’introduzione indiscriminata di nuovi strumenti rischia paradossalmente di incrementare il rischio complessivo».
ACI Global Servizi sta affrontando questi aspetti attraverso specifiche attività di AI assessment, il rafforzamento del Security Operations Center e la sperimentazione di agenti intelligenti a supporto delle funzioni difensive.
L’esperienza evidenzia la necessità di accompagnare l’adozione dell’AI con processi strutturati di valutazione, coinvolgendo le funzioni aziendali che utilizzano concretamente le tecnologie.
Dal rischio tecnico al rischio economico: il ruolo del board nella governance AI
L’introduzione di nuove tecnologie pone anche un problema di qualità delle decisioni. Per stabilire dove investire e quali esposizioni affrontare prioritariamente, il management deve poter valutare le conseguenze dei rischi attraverso criteri comprensibili e confrontabili.
È il tema affrontato da Massimo Cottafavi, CISO di Snam, che ha richiamato la necessità di uscire da quella che definisce «la trappola del percepito».
Secondo Cottafavi, le aziende rischiano di lasciarsi condizionare dall’attenzione mediatica verso determinate minacce o dalle preoccupazioni del consiglio di amministrazione, perdendo di vista le esigenze specifiche dell’organizzazione.
Per evitare che le priorità siano determinate prevalentemente dalla percezione, Snam ha avviato un percorso di trasformazione dei propri processi di risk assessment, adottando una metodologia quantitativa.
Quantificare l’impatto economico per orientare le decisioni
Il modello sviluppato da Snam rappresenta l’esposizione al rischio attraverso una dimensione economica, con l’obiettivo di rendere le valutazioni più direttamente utilizzabili dal management.
La domanda che guida l’approccio è precisa: «quanto costerebbe questo rischio all’azienda in caso di concretizzazione?».
La valutazione delle possibili conseguenze economiche consente di mettere in relazione le vulnerabilità tecnologiche con i loro effetti sui processi e sulle attività dell’impresa.
Il rischio cyber viene così affrontato attraverso logiche proprie del risk management aziendale, facilitando il confronto tra le diverse priorità di investimento.
Questa impostazione richiede anche un’evoluzione degli indicatori utilizzati per misurare l’efficacia delle iniziative di sicurezza. Il numero di vulnerabilità individuate, la quantità di interventi effettuati o la velocità di esecuzione delle attività rappresentano informazioni operative importanti, ma offrono una visione parziale del valore generato.
Cottafavi ha richiamato la necessità di adottare outcome-driven metrics e KPI capaci di supportare le decisioni strategiche, collegando le attività tecniche ai risultati ottenuti in termini di riduzione del rischio.
Per i consigli di amministrazione, una rappresentazione di questo tipo può contribuire a rendere più trasparente il rapporto tra risorse investite, esposizione dell’organizzazione e benefici attesi dalle misure adottate.
L’AI come strumento per migliorare l’allocazione delle risorse
Un’applicazione concreta del modello riguarda il vulnerability management.
Snam ha introdotto logiche di intelligenza artificiale per analizzare contemporaneamente migliaia di vulnerabilità e individuare quello che Cottafavi definisce lo «shortest path», ossia la sequenza ottimale degli interventi necessari a ridurre l’esposizione.
Il sistema correla le caratteristiche delle vulnerabilità con la loro effettiva sfruttabilità, la raggiungibilità degli asset e l’architettura aziendale.
Questo permette di selezionare interventi mirati, concentrando le risorse sui punti che incidono maggiormente sulla sicurezza complessiva.
L’aspetto rilevante, dal punto di vista della governance, riguarda la possibilità di utilizzare l’AI per assumere decisioni più informate sull’impiego delle risorse disponibili.
«L’obiettivo strategico deve essere compiere operazioni che in precedenza erano materialmente impossibili», ha spiegato Cottafavi.
L’impiego dell’intelligenza artificiale consente così di affrontare problemi caratterizzati da un numero elevato di variabili, introducendo nuovi criteri per la pianificazione degli interventi e la valutazione della loro efficacia.
Superare i silos organizzativi: l’esperienza di Hera e il ruolo del management
Le tecnologie rappresentano una componente della trasformazione, ma l’efficacia delle iniziative dipende anche dalla capacità delle organizzazioni di coordinare competenze, responsabilità e processi decisionali.
Un esempio arriva dal Gruppo Hera, dove il CISO Franco Picchioni ha raccontato un progetto di verifica approfondita della superficie d’attacco esterna dell’azienda.
Di fronte all’evoluzione delle minacce associate all’intelligenza artificiale, Hera ha deciso di avviare un’attività straordinaria di analisi delle proprie esposizioni, coinvolgendo diverse funzioni interne.
L’iniziativa ha portato alla costituzione di una «task force interna multidisciplinare», composta da professionisti della cybersecurity, del networking, delle applicazioni e delle linee di business.
La collaborazione tra competenze differenti ha permesso di analizzare centinaia di indirizzi IP pubblici, verificare le configurazioni esistenti e individuare gli interventi di bonifica necessari.
L’intelligenza artificiale è stata utilizzata anche per supportare l’analisi, consentendo al team di esaminare le esposizioni assumendo il punto di vista di un potenziale attaccante.
Il mandato del vertice aziendale come fattore abilitante
L’elemento organizzativo più significativo riguarda il sostegno ricevuto dalla direzione.
«L’elemento determinante per il successo della task force è stato il forte mandato ricevuto dal vertice aziendale, che ha compreso l’iniziativa e l’ha supportata dall’alto», ha spiegato Picchioni.
Il coinvolgimento del management ha consentito al gruppo di lavoro di accedere rapidamente alle informazioni necessarie e di coordinarsi direttamente con le diverse funzioni, riducendo i tempi normalmente richiesti dai passaggi procedurali.
L’attività ha così potuto svilupparsi attraverso una collaborazione più immediata tra i responsabili tecnici e le strutture aziendali coinvolte.
L’esperienza di Hera evidenzia un aspetto rilevante per i programmi di trasformazione digitale: la capacità di intervenire sui processi organizzativi può influire direttamente sull’efficacia degli investimenti tecnologici.
Per il CIO e per le altre figure chiamate a guidare l’innovazione, questo significa poter contare su responsabilità chiaramente definite, un adeguato sostegno del management e modalità di collaborazione che permettano di affrontare problemi trasversali.
La stessa esperienza mostra che risultati concreti possono essere ottenuti attraverso strumenti AI già accessibili alle organizzazioni. Picchioni ha infatti osservato che «anche l’adozione di soluzioni accessibili non di frontiera si è rivelata estremamente efficace».
La qualità dell’organizzazione del lavoro e la capacità di individuare obiettivi precisi diventano quindi elementi essenziali per valorizzare le potenzialità dell’intelligenza artificiale.
Imprese italiane e NIS2: il nodo della maturità organizzativa
Le esperienze dei grandi gruppi mostrano percorsi di trasformazione già avviati, mentre una parte del tessuto produttivo italiano continua a incontrare difficoltà nell’implementazione delle misure di sicurezza.
A evidenziarlo è stato Luca Bechelli, membro del comitato direttivo del Clusit, richiamando le criticità che emergono dalle analisi periodiche dell’associazione.
Secondo Bechelli, il problema principale riguarda il ritardo strutturale di molte organizzazioni italiane, soprattutto quelle di dimensioni medie e medio-piccole.
«Se analizziamo il tessuto medio delle imprese italiane, al di fuori dei grandi gruppi organizzati, la capacità concreta di mettere a terra le misure di sicurezza è decisamente più limitata rispetto ad altre economie», ha spiegato.
Il divario riguarda la disponibilità delle risorse, l’efficienza dei processi e la capacità di tradurre le valutazioni del rischio in interventi concreti.
Le difficoltà emergono anche nei percorsi di adeguamento alla direttiva NIS2, richiamati durante la tavola rotonda come un banco di prova per le organizzazioni chiamate a rafforzare le proprie misure di cybersecurity.
L’accelerazione introdotta dall’intelligenza artificiale rende ancora più evidente la necessità di disporre di processi adeguati. Bechelli ha descritto situazioni nelle quali i tempi di individuazione e potenziale sfruttamento delle vulnerabilità si riducono drasticamente, mentre alcune imprese continuano a impiegare mesi per applicare gli aggiornamenti necessari.
«Va cambiato completamente il modo di affrontare il tema», ha sintetizzato il rappresentante del Clusit.
Dal punto di vista della governance aziendale, queste difficoltà pongono interrogativi sulla capacità delle organizzazioni di pianificare gli investimenti, definire responsabilità operative e stabilire tempi di intervento coerenti con i rischi.
L’adeguamento normativo rappresenta quindi un’occasione per verificare la maturità dei processi interni e individuare le aree che richiedono un rafforzamento, considerando l’evoluzione delle tecnologie e delle minacce.
Il tema assume particolare rilievo per le imprese con risorse limitate, che devono individuare modalità sostenibili per migliorare la gestione del rischio digitale.
Competenze AI e cultura aziendale: le nuove responsabilità delle persone
La governance dell’intelligenza artificiale richiede anche un aggiornamento delle competenze delle figure professionali coinvolte nella gestione delle tecnologie.
L’evoluzione verso architetture basate su modelli AI e agenti autonomi introduce caratteristiche che possono rendere inadeguate alcune metodologie sviluppate per i sistemi informatici tradizionali.
Massimo Cottafavi ha richiamato il problema della formazione dei professionisti senior, spesso chiamati ad affrontare nuove attività pur disponendo di competenze consolidate sui modelli precedenti.
«Fare security by design su architetture basate su agenti autonomi è profondamente diverso dall’approccio classico, così come eseguire penetration test su soluzioni integrate e non deterministiche richiede competenze del tutto nuove», ha osservato.
L’esigenza riguarda tanto le conoscenze tecniche quanto la capacità di comprendere le implicazioni organizzative e operative introdotte dall’AI.
Secondo il CISO di Snam, la disponibilità di percorsi formativi adeguati per professionisti già esperti rappresenta ancora una criticità.
Dall’awareness alla cultura antifragile
Il tema delle persone è stato approfondito anche da Giampiero Zanvettor, che ha illustrato il percorso di evoluzione culturale e potenziamento delle competenze avviato da ACI Global Servizi.
La crescente diffusione dell’intelligenza artificiale rende necessario rafforzare la consapevolezza dei dipendenti, affinché possano riconoscere i rischi associati agli strumenti utilizzati e comprendere le conseguenze delle proprie attività sui dati e sui processi aziendali.
Il percorso coinvolge anche i responsabili delle funzioni di business, chiamati a valutare l’introduzione di nuove applicazioni e a collaborare con IT e cybersecurity nella definizione delle modalità di utilizzo.
Zanvettor ha richiamato la necessità di sviluppare una «cultura aziendale antifragile», capace di apprendere dalle esperienze e dagli incidenti e di adattarsi alle trasformazioni tecnologiche.
La crescita delle competenze diventa così parte integrante della capacità dell’organizzazione di affrontare il cambiamento.
«Ho imparato che non bisogna mai dare nulla per scontato: occorre preservare un’attitudine curiosa e sforzarsi di comprendere a fondo ciò che non si conosce, anziché adagiarsi sulle nozioni acquisite», ha affermato Zanvettor.
L’atteggiamento descritto dal CISO di ACI Global Servizi richiama l’importanza dell’apprendimento continuo e della collaborazione tra figure con competenze differenti, in una fase nella quale gli strumenti tecnologici evolvono rapidamente.
Verso una governance del rischio digitale integrata nelle decisioni aziendali
Le testimonianze raccolte ai Cybersecurity360 Awards 2026 mostrano come la diffusione dell’intelligenza artificiale stia modificando le attività e le responsabilità delle organizzazioni.
La governance dell’AI richiede un collegamento più stretto tra valutazione dei rischi, decisioni economiche e processi operativi. L’esperienza di Snam evidenzia il valore di indicatori capaci di rappresentare le conseguenze economiche delle esposizioni. Quella di Hera mostra l’importanza del sostegno del management e della collaborazione tra funzioni aziendali. Le considerazioni di ACN e ACI Global Servizi richiamano l’attenzione sulle nuove dipendenze tecnologiche e sulle difficoltà di controllo associate alla diffusione degli strumenti AI, mentre Clusit evidenzia le criticità che permangono nel tessuto produttivo italiano.
FAQ: Tutto su Cyber Security
Quali sono le principali minacce alla cybersecurity?
Le principali minacce alla cybersecurity includono diverse tipologie di attacchi informatici. Il malware è un software malevolo progettato per danneggiare o compromettere sistemi informatici, come virus, trojan e spyware. Il ransomware cripta i dati della vittima e richiede un riscatto per ripristinarli. Il phishing utilizza messaggi ingannevoli per rubare informazioni sensibili. Altri attacchi includono quelli DDoS (Distributed Denial of Service), che sovraccaricano i server per renderli inaccessibili, e l’ingegneria sociale, che sfrutta la manipolazione psicologica per ottenere informazioni riservate. Secondo recenti report, gli attacchi nel primo trimestre del 2024 sono aumentati del 28% rispetto al trimestre precedente, con le organizzazioni che affrontano una media di 1.308 attacchi a settimana.
Perché la cybersecurity è importante per le aziende?
La cybersecurity è una priorità assoluta per le organizzazioni di ogni dimensione perché, con l’aumento della dipendenza dalle tecnologie digitali, cresce anche il rischio di attacchi informatici che possono mettere a repentaglio dati sensibili, reputazione e la sopravvivenza stessa dell’organizzazione. Le ripercussioni di una cyber-crisi possono essere devastanti, causando danni economici diretti (costi di ripristino, perdita di ricavi, sanzioni legali) e danni reputazionali significativi (perdita di fiducia dei clienti, danno al brand). Secondo l’IBM Cost of a Data Breach Report 2023, il costo medio di una violazione dei dati ha raggiunto i 4,45 milioni di dollari, con un incremento del 2,3% rispetto al 2022. Inoltre, una crisi informatica può causare interruzioni del business, perdita di produttività e conseguenze legali significative, incluse sanzioni per violazione di normative sulla protezione dei dati.
Quali sono le principali normative sulla cybersecurity in Europa?
Il quadro normativo europeo sulla cybersecurity è complesso e articolato. A livello dell’Unione, dal gennaio 2024 è in vigore il Regolamento UE 2023/2841 sulla cybersecurity che fornisce criteri per bilanciare sicurezza informatica, innovazione e rispetto dei diritti fondamentali. La Direttiva NIS 2 (Direttiva UE 2022/2555), recepita in Italia dal D.lgs. 138/2024, definisce il quadro europeo della cybersecurity per reti e sistemi informativi. Per le istituzioni finanziarie, è in vigore il Regolamento UE 2022/2554 DORA (Digital Operational Resilience Act) da gennaio 2025. La protezione fisica delle infrastrutture critiche è regolata dalla Direttiva UE 2022/2557 “CER” (Critical Entities Resilience), recepita in Italia dal D.lgs. 134/2024. A queste si aggiungono il Cyber Resilience Act sui dispositivi e altre normative come GDPR, DSA, DMA, AI Act, Data Act e Data Governance Act.
Come proteggere un’azienda dalle minacce informatiche?
Per proteggere un’azienda dalle minacce informatiche, è essenziale implementare una serie di misure di sicurezza adeguate. Queste includono l’utilizzo di firewall per monitorare e controllare il traffico di rete, sistemi di rilevazione delle intrusioni (IDS) per identificare attività sospette, e soluzioni di crittografia per proteggere i dati sensibili. È fondamentale implementare una strategia di backup regolare seguendo la regola 3-2-1 (tre copie dei dati, su due tipi di supporti diversi, con una copia conservata offsite). Un sistema di Identity and Access Management (IAM) è cruciale per controllare chi può accedere a quali risorse, basandosi sui principi di autenticazione, autorizzazione e amministrazione. La formazione dei dipendenti è altrettanto importante, poiché il 95% degli incidenti di sicurezza informatica coinvolge il fattore umano. Infine, è necessario sviluppare un piano di risposta agli incidenti informatici che fornisca istruzioni dettagliate su come prepararsi, identificare, rispondere e riprendersi da un incidente cyber.
Qual è il ruolo del fattore umano nella cybersecurity?
Il fattore umano è spesso l’elemento più debole del sistema di sicurezza informatica. Come evidenziato dall’acronimo PEBKAC (problem exists between keyboard and chair), gli investimenti tecnologici in cybersecurity risultano inefficaci senza un’adeguata formazione del personale. Il 95% degli incidenti di sicurezza informatica coinvolge l’elemento umano, con la violazione delle credenziali che rappresenta il rischio principale. I dipendenti non preparati possono cadere vittime di attacchi di phishing sempre più sofisticati e personalizzati, o adottare pratiche rischiose come l’uso di password deboli o ripetute su diversi account. Le attività di social engineering sono facilitate dalla condivisione eccessiva di informazioni sui canali digitali. Per contrastare queste vulnerabilità, è essenziale educare alla cybersecurity con un approccio centrato sulle persone, andando oltre l’aspetto tecnico per includere le dimensioni sociali della sicurezza informatica. Una formazione efficace deve essere coinvolgente, con approcci interattivi come simulazioni di attacchi ed esercitazioni pratiche, e deve essere continua per adattarsi all’evoluzione delle minacce.
Quali sono i framework di cybersecurity più utilizzati?
I framework di cybersecurity rappresentano molto più di semplici strumenti di conformità normativa; quando integrati strategicamente nei processi aziendali, diventano catalizzatori di crescita e vantaggio competitivo. Il NIST Cybersecurity Framework (CSF) fornisce una struttura strategica per integrare la sicurezza nella gestione del rischio, con cinque funzioni principali: Identificare, Proteggere, Rilevare, Rispondere e Recuperare. All’interno dell’ecosistema NIST, pubblicazioni specialistiche come la NIST 800-61 si concentrano sulla risposta agli incidenti, mentre la NIST 800-207 supporta l’architettura zero-trust. MITRE ATT&CK offre un modello incentrato sui cybercriminali per prevedere e contrastare le minacce informatiche in modo mirato. La Cybersecurity Maturity Model Certification (CMMC) impone modelli di maturità in tutte le catene di fornitura, diventando un requisito imprescindibile per molte collaborazioni aziendali. Altri framework importanti includono la serie ISO 27001, che stabilisce standard internazionali per i sistemi di gestione della sicurezza delle informazioni.
Come formarsi per lavorare nel settore della cybersecurity?
Per formarsi nel settore della cybersecurity, è fondamentale partire da una solida formazione universitaria in ambito informatico, come lauree in Informatica, Ingegneria Informatica o discipline affini. In Italia sono sempre più numerosi i corsi di laurea dedicati o con curricula specifici in sicurezza informatica, come quelli offerti dall’Università degli Studi di Milano, dall’Università di Trento e dalla Sapienza Università di Roma. È importante sviluppare competenze tecniche chiave come conoscenza approfondita di sistemi operativi e reti, programmazione e scripting, comprensione delle vulnerabilità e delle minacce, e capacità di analisi forense. Accanto alle hard skill, sono fondamentali soft skill come problem solving, pensiero critico, comunicazione efficace e adattabilità. La formazione in cybersecurity non si esaurisce con la laurea; è essenziale abbracciare il concetto di lifelong learning attraverso corsi, certificazioni (come CEH, CompTIA Security+ o CISSP) e partecipazione a conferenze. L’esperienza pratica è cruciale: partecipare a laboratori universitari, progetti open source, stage in aziende IT e competizioni come CyberChallenge.IT o Capture The Flag può fare la differenza. Le prospettive occupazionali sono estremamente promettenti, con una domanda di esperti che supera l’offerta e un tasso di occupazione che raggiunge il 93% per i laureati magistrali in sicurezza informatica.
Quali sono le principali lacune nella cybersecurity in Italia?
L’Italia presenta significative lacune in termini di cybersecurity che deve urgentemente colmare. La prima e più importante è l’assenza di consapevolezza dell’importanza di questo tema, sia tra i cittadini che nelle organizzazioni. Un esempio emblematico è la scarsa attenzione alla protezione delle informazioni sensibili in contesti pubblici, come dimostrano episodi di manager che discutono dettagli riservati di progetti aziendali in luoghi affollati. La seconda lacuna riguarda le competenze digitali, un problema che non colpisce solo gli adulti ma anche le nuove generazioni: test condotti su studenti di scuole superiori, anche di istituti informatici, hanno rivelato che meno della metà raggiunge un livello adeguato di competenze in cybersecurity. La terza criticità riguarda gli investimenti: l’Italia utilizza meno risorse economiche in cybersecurity rispetto a quasi tutti gli altri paesi sviluppati, sia in valore assoluto che in proporzione. Questa situazione è aggravata dalla frammentazione di piccole aziende e pubbliche amministrazioni, che contribuisce a una rete nazionale di difesa digitale molto debole.
Come sta evolvendo la cybersecurity in Italia?
La cybersecurity in Italia sta evolvendo verso un nuovo paradigma: la Cyber Resilience. Questo cambiamento di prospettiva sottolinea l’importanza di sviluppare meccanismi di difesa che vadano oltre il mero blocco degli attacchi informatici, puntando a costruire sistemi capaci di resistere, reagire e riprendersi dalle minacce cyber in modo proattivo. La trasformazione è iniziata con la Direttiva NIS, pubblicata nel luglio 2016 e recepita in Italia nel maggio 2018, che ha introdotto l’adozione obbligatoria di misure di sicurezza informatica per certi settori e ha previsto sanzioni per i soggetti inadempienti. Un altro snodo fondamentale è stata la legge 133/2019, che ha introdotto il Perimetro di Sicurezza Nazionale Cibernetica, identificando settori e ambiti strategici per riservare alle relative infrastrutture le protezioni più adeguate. La creazione dell’Agenzia Nazionale di Cybersicurezza ha poi razionalizzato il panorama delle competenze, fino ad allora diffuse in vari ambiti statali. Nonostante questi progressi, permangono criticità come la carenza di risorse necessarie e la mancanza di investimenti adeguati, oltre alla necessità di formare personale qualificato attraverso percorsi specialistici.
Che cos’è la sicurezza informatica aziendale?
La sicurezza informatica aziendale è la pratica di protezione dei dati e delle risorse aziendali dalle minacce informatiche. Utilizza i tradizionali metodi di sicurezza informatica per proteggere i dati a livello locale ed estende tale idea al trasferimento di dati attraverso reti, dispositivi e utenti finali.
La sicurezza informatica aziendale affronta problemi di sicurezza comuni come attacchi DoS Denial-of-Service (DoS) o DDos (Distributed Denial of Service), ingegneria sociale e vulnerabilità del software, ma tiene anche conto del modo in cui i dati vengono trasferiti tra dispositivi e reti all’interno dell’organizzazione nel suo insieme.
Cosa si intende per Cyber Security?
Quando pensiamo alla sicurezza informatica solitamente ci soffermiamo sulla sicurezza dei dati personali e a come proteggere i nostri dispositivi. Tuttavia, c’è un altro modo di intendere la sicurezza informatica che include tutto il mondo aziendale.
Per stabilire il confine entro cui finisce la sicurezza informatica e inizia la cyber security, possiamo partire dal tipo di dati che dovranno essere protetti.
La cyber security si occupa della protezione dei dati da accessi non autorizzati mentre la sicurezza informatica, si occupa di proteggere i dati più in generale e dunque anche da accessi legali e autorizzati.
Per le aziende, queste due forme di sicurezza, informatica e cyber security sono egualmente importanti. Difatti, circa un terzo di tutte le aziende di tutte le dimensioni ha subito violazioni negli ultimi anni.
Quali sono gli obblighi in materia di Nis 2 e Cybersecurity?
La Direttiva NIS2 (Direttiva (UE) 2022/2555) rappresenta un aggiornamento fondamentale nella legislazione dell’Unione Europea per la cybersecurity. È entrata in vigore il 17 gennaio 2023 e mira a stabilire una strategia comune di sicurezza informatica tra gli Stati membri. Questo aggiornamento è stato necessario per affrontare le minacce informatiche che sono diventate sempre più sofisticate e pervasive negli ultimi anni.
La NIS2 prevede requisiti più stringenti rispetto alla precedente Direttiva NIS, ampliando il suo ambito di applicazione a un maggior numero di settori considerati critici. Include, tra gli altri, fornitori di servizi cloud, data center e servizi sanitari. La direttiva stabilisce anche un quadro dettagliato per le misure di sicurezza, richiedendo un approccio multirischio e la segnalazione tempestiva di incidenti significativi alle autorità competenti .
Le organizzazioni soggette alla Direttiva NIS2 devono adottare diverse misure, tra cui la gestione dei rischi, la continuità operativa, la sicurezza della supply chain, e l’uso di soluzioni di autenticazione a più fattori. La direttiva enfatizza anche l’importanza della governance della sicurezza informatica e della formazione continua per i dipendenti.
La conformità alla NIS2 non è solo un obbligo legale, ma rappresenta anche un’opportunità strategica per le organizzazioni per migliorare la loro sicurezza informatica, rafforzare la fiducia dei consumatori e aumentare la competitività sul mercato.
La Direttiva NIS 2 (Network and Information Security Directive) rappresenta un importante passo avanti nell’ambito della cybersecurity in Europa. È stata introdotta per migliorare la sicurezza delle reti e dei sistemi informativi in tutta l’Unione Europea. Ecco alcuni punti chiave:
- Protezione rafforzata: La NIS 2 mira a rafforzare la sicurezza delle infrastrutture critiche, come energia, trasporti, salute e finanza, richiedendo agli Stati membri di garantire un elevato livello di sicurezza informatica.
- Obblighi per le aziende: Le aziende sono obbligate a implementare la Nis 2 per ottenere misure di sicurezza adeguate e a segnalare gli incidenti di sicurezza alle autorità competenti. Questo include la gestione dei rischi, la sicurezza della supply chain e la condivisione di informazioni sulle minacce.
- Amplia la portata: Rispetto alla prima direttiva NIS, la NIS 2 amplia la portata includendo più settori e servizi digitali, come i fornitori di servizi cloud e le piattaforme online.
- Collaborazione e condivisione delle informazioni: La direttiva promuove la cooperazione e la condivisione delle informazioni tra gli Stati membri per migliorare la capacità di risposta agli incidenti di sicurezza informatica.
- Sanzioni per chi non applica la Nis 2: Sono previste sanzioni severe per le aziende che non rispettano le misure di sicurezza richieste dalla Nis 2, incentivando così l’adozione di pratiche di sicurezza più rigide.
Partecipa alla community