Infrastrutture critiche, la cybersecurity come dovere dei CdA

Le organizzazioni che gestiscono infrastrutture critiche forniscono servizi essenziali da cui dipende il funzionamento stesso della società. Settori come quello idrico, sanitario, dei trasporti e dei servizi finanziari sono sempre più spesso oggetto di attacchi informatici; eppure, a livello manageriale si continua a considerare la cybersecurity come una questione di tecnologia operativa (OT), gestita dal proprio reparto IT come un centro di costo e affrontata seguendo liste di controllo basate sulla conformità. Essa dovrebbe invece essere trattata quale componente fondamentale per soddisfare la fiducia pubblica, da cui dipende la loro stessa legittimità a operare.

La cybersecurity nelle infrastrutture critiche non è un problema IT che può essere scaricato sui dipendenti che lavorano sul campo. È una priorità strategica che sta alla base dell’esistenza stessa di queste organizzazioni. Di seguito si vedrà perché i rischi informatici aziendali e quelli critici differiscono notevolmente, come la rete interconnessa dell’infrastruttura digitale odierna crei rischi nascosti, i pericoli causati dagli attori statali e il modo in cui i modelli di governance organizzativa obsoleti aggravano le vulnerabilità del sistema.

Cybersecurity nelle infrastrutture critiche oltre il rischio IT

Il rischio informatico per le infrastrutture critiche non è semplicemente un rischio aziendale su scala più ampia, ma qualcosa di radicalmente diverso.

Nel mondo degli affari, l’obiettivo della cybersecurity aziendale è generalmente quello di proteggere le informazioni, le infrastrutture e le operazioni per mitigare le minacce informatiche che hanno, in caso di violazione, un impatto finanziario. Sebbene la perdita di ricavi e dati riservati sia devastante per un’azienda e per i suoi clienti, le conseguenze restano comunque relativamente circoscritte.

Quando si tratta di infrastrutture critiche, invece, il rischio informatico è un problema molto più serio. Nel caso di attacco informatico che colpisce i sistemi di trattamento delle acque, le reti elettriche o gli ospedali, le implicazioni più ampie sulla salute e sulla sicurezza pubblica sono meno contenibili, oltre ad avere conseguenze economiche significative.

Di conseguenza, gli approcci, i profili di rischio e le misure di controllo adeguati a proteggere l’IT aziendale sono del tutto inadatti per le infrastrutture critiche in cui le operazioni fondamentali dipendono da sistemi ciberfisici. Le organizzazioni dovrebbero sviluppare un quadro di rischio su misura per il proprio ambiente OT che tenga conto non solo della sicurezza, ma anche della durata di vita delle risorse e dei diversi modelli di rischio applicabili quando la tecnologia digitale è integrata direttamente nei processi operativi dei sistemi fisicamente esposti a rischi.

Rischi sistemici e interconnessioni delle infrastrutture critiche

I nostri sistemi sono ormai fortemente interconnessi, sia orizzontalmente che verticalmente, nel mondo fisico e nel ciberspazio. Essi riflettono le interdipendenze e la portata globale delle infrastrutture critiche che li compongono in contesti così complessi e dinamici che né le singole entità né le organizzazioni a cui appartengono hanno il pieno controllo o una consapevolezza completa dei rischi connessi.

Tecnologie come contatori intelligenti, sensori IoT, analisi basate sull’intelligenza artificiale e automazione hanno portato a significativi miglioramenti in termini di efficienza; tuttavia, ad ogni nuova dipendenza creata, i responsabili IT e aziendali devono considerare un insieme sempre più complesso di potenziali punti di errore e il loro impatto a cascata in caso di interruzione.

La supply chain nel rischio digitale globale

Secondo il Global Cybersecurity Outlook 2026 del World Economic Forum, il 78% dei CEO di organizzazioni altamente resilienti identifica la supply chain e le dipendenze da terze parti come le sfide più significative per rafforzare ulteriormente la resilienza. Ciò significa che, gestire il rischio di cybersecurity internamente è necessario ma di per sé insufficiente, perché la superficie di rischio è l’ecosistema globale, non la singola organizzazione.

Infrastrutture critiche tra minacce statali e competizione geopolitica

Stando al WEF, gli attacchi informatici motivati da ragioni geopolitiche rappresentano il fattore più rilevante nelle strategie di mitigazione (64%). Inoltre, si osserva una notevole sovrapposizione tra le attività statali e quelle della criminalità informatica. Oggi, le minacce alle infrastrutture critiche non sono semplicemente di natura criminale o opportunistica. Sono strategiche, persistenti e guidate dagli Stati.

Le infrastrutture critiche non possono essere protette con un modello che tenga conto solo di attori motivati da ragioni finanziarie, né è possibile ignorare un avversario statale che impiega anni per insinuarsi in un’organizzazione. Questo è un aspetto di cui i vertici aziendali devono essere profondamente consapevoli.

Governance della cybersecurity e responsabilità dei vertici

L’ultimo tema da considerare riguarda un problema strutturale riscontrabile in molte organizzazioni che gestiscono infrastrutture critiche: la separazione tra chi gestisce il rischio informatico e chi ne subisce le conseguenze.

Le decisioni in materia di cybersecurity sono spesso di competenza del CIO o del CSO, i quali, purtroppo, non sempre dispongono dell’autorità, delle risorse o dei contatti adeguati ad attuare cambiamenti significativi a livello aziendale. Scelte rischiose, come non applicare patch, sottofinanziare la sicurezza OT o consentire il trasferimento di applicazioni critiche a un unico fornitore, vengono prese dai tecnici del gruppo operativo, spesso senza tenere conto dell’azienda nel suo complesso o del pubblico che essa raggiunge, un aspetto che la direttiva NIS2 dell’UE mira ad affrontare.

NIS2 ed Enterprise Risk Management

Per raggiungere livelli adeguati di cybersecurity nelle infrastrutture critiche, è necessaria una convergenza dei rischi. Il rischio informatico deve essere integrato nelle pratiche di Enterprise Risk Management (ERM) che coprono il rischio operativo, il rischio finanziario e il rischio di sicurezza, sotto la supervisione delle medesime persone.

Resilienza informatica e fiducia pubblica nelle infrastrutture critiche

Se si considerano i quattro elementi costitutivi del rischio informatico nelle infrastrutture critiche – la natura categoricamente diversa, le conseguenze sistemiche sconosciute della maggiore interconnettività, il ruolo sempre più centrale sul fronte della competizione geopolitica e la frattura esistente tra gestione e conseguenze – si giunge a una conclusione chiara e ineludibile: disporre di un valido programma di cybersecurity nelle infrastrutture critiche non è una questione di informatica. È una questione di leadership, di governance e, fondamentalmente, di fiducia pubblica.

È ampiamente accettato che esista un contratto sociale rispetto alle infrastrutture critiche. In sostanza, la società fornisce alle organizzazioni il consenso e le risorse per controllare grandi quantità di infrastrutture sulle quali la popolazione fa affidamento. In cambio, queste organizzazioni si impegnano a gestire e mantenere le infrastrutture e a garantire la continuità, la qualità e, soprattutto, la sicurezza dei servizi che forniscono.

Tuttavia, di fronte alle crescenti minacce informatiche che possono compromettere la qualità dell’acqua, causare blackout elettrici o paralizzare il settore sanitario, tale contratto deve evolvere per includere solide pratiche di cybersecurity integrate su tutti i livelli. I responsabili che non prendono coscienza di questa realtà non stanno gestendo il rischio aziendale, ma stanno venendo meno alla fiducia riposta in loro dal pubblico, dalla comunità e dalla società per conto delle quali agiscono.