Perché la resilienza informatica è diventata la vera priorità dei CISO italiani
Per anni la sicurezza informatica aziendale si è misurata con una domanda sola: siamo conformi alle normative? Oggi la domanda è cambiata, ed è diventata molto più scomoda: quanto tempo ci mettiamo a rialzarci dopo un attacco? La resilienza informatica, cioè la capacità di continuare a operare anche mentre si è sotto attacco e di tornare pienamente operativi in tempi certi, è il nuovo metro di giudizio per chi si occupa di sicurezza nelle imprese italiane.
Il passaggio non è solo semantico. Le direzioni IT e i CISO italiani stanno spostando budget e attenzione dalla logica difensiva pura (alzare muri sempre più alti) a una logica operativa: gestione delle identità, visibilità completa degli asset aziendali, capacità di recovery testata e documentata.
A rendere urgente questo cambio di paradigma è l’arrivo degli attacchi basati sull’intelligenza artificiale, che hanno abbassato drasticamente il costo e la competenza necessaria per colpire un’azienda. E le PMI italiane, che spesso non hanno un CISO dedicato, si trovano in prima linea senza esserne del tutto consapevoli.
Dalla compliance alla continuità operativa
La compliance resta un obbligo, e con NIS2 il perimetro si è allargato in modo significativo: la direttiva europea, recepita in Italia con il D.Lgs. 138/2024, ha portato oltre 30.000 organizzazioni a registrarsi sulla piattaforma ACN, e l’elenco dei soggetti NIS che ne è uscito conta più di 20.000 realtà tra entità essenziali e importanti, molte delle quali medie imprese che fino a ieri si consideravano fuori dal radar normativo.
Ma essere conformi non significa essere resilienti. Un’azienda può avere tutte le policy firmate e la documentazione in ordine, e restare comunque ferma dieci giorni dopo un ransomware perché nessuno ha mai provato a ripristinare davvero un backup.
La differenza tra i due approcci si vede nel momento peggiore. La compliance ti dice cosa avresti dovuto fare, la resilienza ti dice quanto velocemente puoi tornare a fatturare.
L’intelligenza artificiale ha cambiato le regole dell’attacco
Il fenomeno più rilevante degli ultimi diciotto mesi è la democratizzazione dell’attacco. Strumenti di AI generativa permettono a criminali con competenze tecniche modeste di produrre campagne di phishing in italiano perfetto, personalizzate sul settore e sul ruolo del destinatario, senza gli errori grammaticali che per anni sono stati il segnale d’allarme più affidabile.
I numeri raccontano la portata del cambiamento. Secondo il Rapporto Clusit, gli incidenti gravi a livello globale continuano a crescere a doppia cifra anno su anno, e l’Italia assorbe una quota di attacchi sproporzionata rispetto al proprio peso economico: circa il 10% degli incidenti mondiali a fronte di un PIL che vale meno del 3% di quello globale.
Il phishing e il social engineering restano il vettore d’ingresso più utilizzato, e sono esattamente le tecniche che l’AI potenzia di più. Aggiungiamo il deepfake vocale usato per autorizzare bonifici e le pagine di login clonate in pochi minuti, e il quadro dei rischi AI per le aziende diventa concreto.
Cosa significa per una PMI senza CISO
Un’impresa da 40 dipendenti raramente ha un Chief Information Security Officer. Ha un responsabile IT che si occupa di tutto, oppure un fornitore esterno chiamato quando qualcosa si rompe. Il ruolo di CISO nelle PMI, di fatto, viene esercitato dall’imprenditore o dal direttore operativo, spesso senza gli strumenti per farlo.
Questo non è necessariamente un problema, a patto di riconoscerlo. La funzione di CISO può essere esternalizzata (il modello virtual CISO sta crescendo proprio per questo) oppure integrata in un contratto di gestione IT che includa monitoraggio continuo e piani di risposta.
Quello che non funziona è fingere che il tema non esista finché non arriva la mail di riscatto. Chi vuole capire da dove partire può guardare ai servizi di cybersecurity pensati per la dimensione della piccola e media impresa, dove il problema non è comprare la tecnologia più avanzata ma farne un sistema coerente.
I tre pilastri operativi della resilienza informatica
Le aziende italiane che stanno facendo passi avanti concreti lavorano su tre fronti precisi. Non sono concetti astratti: sono attività misurabili, con costi definiti e risultati verificabili.
1. Gestione delle identità
L’identità digitale è diventata il perimetro. Con i dati sul cloud, gli utenti in smart working e i fornitori che accedono ai sistemi, il firewall aziendale protegge una porzione sempre più piccola della superficie esposta.
Le priorità sono note ma spesso disattese: autenticazione a più fattori su tutti gli accessi (non solo sulla posta), eliminazione degli account condivisi, revisione periodica dei privilegi, disattivazione immediata degli utenti che lasciano l’azienda. Microsoft stima che l’MFA blocchi oltre il 99% degli attacchi automatizzati basati su credenziali rubate: è probabilmente il miglior rapporto costo/beneficio disponibile oggi in sicurezza.
Un dettaglio che vale la pena sottolineare: l’MFA via SMS non è più considerata adeguata per gli accessi privilegiati. App di autenticazione o chiavi hardware sono lo standard verso cui muoversi.
2. Visibilità degli asset
Non si protegge ciò che non si sa di avere. Nella maggior parte delle PMI l’inventario di server, endpoint, applicazioni cloud e dispositivi mobili è incompleto o fermo a due anni fa.
La conseguenza è che restano scoperti proprio i sistemi dimenticati: il vecchio NAS con la condivisione aperta, il gestionale che nessuno aggiorna dal 2021, l’account di un servizio SaaS attivato da un reparto senza passare dall’IT. Sono questi i punti da cui gli attacchi entrano più spesso.
La visibilità continua richiede monitoraggio attivo, non un censimento annuale. Un servizio di monitoraggio proattivo come NOC 10punto10 risponde proprio a questa esigenza: sapere in tempo reale cosa c’è in rete, come si comporta e quando qualcosa devia dalla normalità.
3. Capacità di recovery testata
Qui si gioca la partita vera. Il backup esiste quasi ovunque, il ripristino testato quasi da nessuna parte.
Tre domande da porre al proprio IT o al proprio fornitore, oggi stesso: quanto tempo serve per rimettere in piedi il gestionale? Quanti dati perderemmo nel caso peggiore? Quando abbiamo fatto l’ultimo test di ripristino completo? Se le risposte sono vaghe, il piano di continuità non esiste, esiste solo la speranza.
La regola 3-2-1 (tre copie, due supporti diversi, una off-site e immutabile) resta il riferimento minimo. L’immutabilità è oggi la caratteristica decisiva, perché i ransomware moderni cercano ed eliminano i backup prima di cifrare i dati di produzione.
Usare l’AI per difendersi, non solo per subirla
Sarebbe un errore leggere l’intelligenza artificiale solo come minaccia. Gli stessi meccanismi che rendono più efficaci gli attacchi rendono più efficace il rilevamento: analisi comportamentale che individua l’accesso anomalo alle 3 di notte da un paese in cui l’azienda non opera, correlazione automatica di eventi che un operatore umano non riuscirebbe a mettere insieme, triage degli alert che riduce il rumore.
Per una PMI questo si traduce in un vantaggio pratico: tecnologie che dieci anni fa erano appannaggio delle grandi organizzazioni oggi arrivano tramite servizi gestiti, con costi proporzionati. L’adozione dell’intelligenza artificiale per le PMI ha un capitolo sicurezza che spesso viene trascurato a favore di quello sulla produttività, ma è altrettanto concreto.
Resta una condizione: l’AI riduce il carico di lavoro, non sostituisce il processo. Serve comunque qualcuno che definisca cosa fare quando l’allarme scatta alle due di notte di un sabato.
Da dove partire concretamente
Se dovessi indicare una sequenza per i prossimi novanta giorni, sarebbe questa. Prima l’inventario: cosa abbiamo, dove sta, chi ci accede. Poi le identità: MFA ovunque e pulizia degli account. Infine il test di ripristino, fatto sul serio, cronometrando i tempi.
Solo dopo ha senso parlare di strumenti avanzati. Investire in un sistema di detection sofisticato mentre gli account amministrativi sono condivisi e senza MFA è come installare un allarme perimetrale lasciando la chiave sotto lo zerbino.
Il tema di fondo è che la sicurezza informatica aziendale non è più un progetto con una data di fine, ma una funzione operativa continua, come la contabilità o la manutenzione. Le imprese che hanno interiorizzato questo passaggio sono le stesse che, quando l’incidente arriva, lo raccontano come un disagio di due giorni invece che come una crisi di due mesi.