Cybersecurity, il nuovo perimetro è il comportamento delle persone

Per molti anni la cybersecurity ha seguito un principio relativamente semplice: individuare il punto più vulnerabile dell’infrastruttura e rafforzarlo. Firewall sempre più evoluti, endpoint protection, autenticazione multifattore, sistemi di rilevamento delle minacce, piattaforme XDR e strumenti basati sull’intelligenza artificiale hanno progressivamente ridotto la superficie d’attacco tecnica. Oggi abbiamo capito che gli investimenti in tecnologia, pur restando indispensabili, non sono più sufficienti.

Il motivo è semplice: il punto di maggiore esposizione non è più soltanto l’infrastruttura IT, è il modo in cui le persone lavorano.

Cybersecurity comportamentale e nuove abitudini di lavoro

Negli ultimi anni il lavoro è cambiato più velocemente delle policy di sicurezza. Applicazioni cloud, smart working, strumenti di collaborazione, AI generativa e servizi SaaS hanno trasformato radicalmente le abitudini dei dipendenti. Ogni giorno ciascun lavoratore prende decine, se non centinaia, di piccole decisioni che hanno un impatto diretto sulla sicurezza dell’organizzazione.

Non si tratta di errori intenzionali, si tratta di comportamenti perfettamente razionali dal punto di vista della produttività. Ed è proprio qui che nasce il nuovo problema.

Il vero obiettivo dei dipendenti è lavorare, non aggirare la sicurezza

Esiste ancora una convinzione diffusa secondo cui gli utenti rappresenterebbero “l’anello debole” perché poco preparati o poco attenti, ma questa è una lettura ormai superata. Nella maggior parte dei casi le persone non cercano di violare le policy aziendali. Cercano semplicemente di svolgere il proprio lavoro nel modo più rapido possibile.

Se un’applicazione di AI permette di completare un’attività in pochi minuti, verrà utilizzata anche in assenza di una policy dedicata. Se ricordare decine di password è complicato, molti utenti continueranno a riutilizzarle. Se una VPN rallenta l’accesso a un servizio cloud, qualcuno finirà inevitabilmente per aggirarla. Non è un problema di consapevolezza, bensì di attrito. La sicurezza entra spesso in conflitto con la produttività e, quando questo accade, la produttività tende quasi sempre a vincere.

I dati raccontano un cambiamento strutturale

Una recente ricerca internazionale[1] fotografa con chiarezza questa evoluzione. Il 64% dei dipendenti dichiara di utilizzare strumenti di intelligenza artificiale non autorizzati nello svolgimento delle attività lavorative. Il 76% riutilizza le stesse password su più account. Il 70% lavora collegandosi a reti Wi-Fi pubbliche e metà degli intervistati accede alle risorse aziendali senza VPN. Più della metà utilizza inoltre il dispositivo aziendale anche per attività personali.

Presi singolarmente, questi numeri possono sembrare l’ennesima lista di cattive pratiche ma osservati insieme raccontano invece qualcosa di molto diverso. Mostrano che il comportamento quotidiano delle persone sta modificando la superficie d’attacco molto più rapidamente di quanto riescano a fare le organizzazioni attraverso policy, processi e controlli tradizionali.

La cosiddetta Shadow AI, ad esempio, non rappresenta soltanto un nuovo rischio tecnologico. È il sintomo di un fenomeno molto più ampio: i dipendenti adottano nuovi strumenti prima ancora che l’azienda abbia avuto il tempo di definirne governance, regole e modalità di utilizzo.

Lo stesso era accaduto anni fa con il cloud pubblico, con le applicazioni SaaS e con il fenomeno della Shadow IT. Oggi la velocità con cui queste trasformazioni avvengono è semplicemente molto più elevata.

Il nuovo perimetro è il comportamento

Negli ultimi dieci anni il settore ha imparato che il tradizionale perimetro di rete non esiste più. Oggi dobbiamo accettare un secondo cambiamento altrettanto importante: anche il confine tra vita personale e vita professionale è ormai scomparso.

Lo stesso dispositivo viene utilizzato per lavorare, comunicare, accedere ai servizi bancari, utilizzare strumenti di AI, navigare sui social network e condividere documenti. Gli utenti passano continuamente da ambienti aziendali a servizi consumer senza percepire una reale distinzione. Di conseguenza, proteggere soltanto endpoint, reti o identità non basta più. Diventa fondamentale comprendere come le persone interagiscono con gli strumenti digitali e individuare quei comportamenti che, nel tempo, aumentano il livello di esposizione dell’organizzazione.

In altre parole, il comportamento umano deve diventare un parametro operativo della cybersecurity, al pari delle vulnerabilità software o dello stato di aggiornamento dei sistemi.

La formazione rimane necessaria, ma non è più sufficiente

Per anni la risposta al rischio umano è stata prevalentemente una: fare awareness. La formazione continua a rappresentare un elemento fondamentale, ma da sola non riesce più a seguire la velocità con cui cambiano gli strumenti digitali. Ogni settimana emergono nuove piattaforme di AI, nuove applicazioni cloud, nuovi servizi di collaborazione. È impensabile che una sessione di formazione trimestrale possa governare un contesto che evolve praticamente ogni giorno. Serve quindi un cambio di prospettiva.

L’obiettivo non deve essere chiedere continuamente agli utenti di prendere decisioni perfette, ma progettare sistemi in cui la scelta più sicura coincida con quella più semplice. Password manager distribuiti a tutti gli utenti, autenticazione multifattore abilitata di default, accessi Zero Trust, strumenti di AI aziendali approvati, monitoraggio continuo delle applicazioni realmente utilizzate e maggiore visibilità sugli asset cloud rappresentano esempi concreti di questo approccio. La sicurezza non dovrebbe rallentare il lavoro, dovrebbe accompagnarlo.

Dalla sicurezza tecnica alla sicurezza comportamentale

Nei prossimi anni assisteremo probabilmente anche a un cambiamento nel modo in cui le organizzazioni misureranno il proprio livello di maturità. Oggi gran parte delle dashboard di sicurezza si concentra su indicatori tecnici: vulnerabilità aperte, malware bloccati, endpoint protetti, patch installate. Sono metriche indispensabili, ma raccontano soltanto una parte del rischio.

Sempre più aziende inizieranno ad affiancare indicatori di natura comportamentale: diffusione dell’MFA, utilizzo dei password manager, presenza di Shadow AI, adozione di software non autorizzato, esposizione delle identità digitali, efficacia delle policy e livello di aderenza alle pratiche di cyber hygiene. E questo non perché il fattore umano sostituirà quello tecnologico, ma perché i due aspetti stanno diventando inseparabili.

La vera resilienza informatica non dipenderà soltanto dalla capacità di bloccare un attacco, ma dalla capacità di comprendere come evolve il comportamento delle persone e di adattare continuamente controlli, strumenti e governance. La superficie d’attacco che cambia più rapidamente oggi non è rappresentata dalla tecnologia ma dalle modalità con cui le persone la utilizzano.

Note

[1] Cybersecurity Hygiene Report: Indagine online indipendente condotta nell’aprile 2026 su 684 dipendenti di organizzazioni SMB e mid-market a livello globale (tra 50 e 500 dipendenti)