L’evoluzione delle minacce informatiche impone un cambio di paradigma. Per aziende e PA, la cybersecurity diventa leva strategica di fiducia e competitività
La cybersecurity è diventata un’urgenza nazionale e aziendale. Negli ultimi anni, le minacce informatiche sono aumentate esponenzialmente. Molte violazioni non avvengono per falle nei sistemi, ma per errori umani: password deboli, phishing, mancanza di formazione. La cybersecurity non è solo firewall e patching: è cultura aziendale, AI e strategia. Tra le evoluzioni più promettenti, la convergenza tra calcolo quantistico e intelligenza artificiale sta ridefinendo il paradigma della cybersecurity: non solo potenziando il rilevamento delle minacce, ma abilitando un approccio sempre più proattivo e predittivo alla difesa.
L’intelligenza artificiale è una risorsa potente sia come strumento di difesa sia come potenziale arma d’attacco. Se da un lato può rafforzare la cybersecurity, dall’altro alimenta minacce più sofisticate. È quindi essenziale comprenderne a fondo i limiti. Due aspetti critici sono i bias e la scarsa trasparenza decisionale. I bias derivano da dataset incompleti o distorti, che possono portare l’AI a prendere decisioni errate.
L’explainability, o meglio la sua assenza, fa sì che molti modelli si comportino come “scatole nere”: le motivazioni alla base delle decisioni restano opache, anche per gli utenti esperti. Questo solleva interrogativi importanti sull’affidabilità di sistemi di sorveglianza completamente automatizzati.
La resilienza è un pilastro della sicurezza nazionale. L’approccio promosso dalla direttiva NIS2 segna un cambio di paradigma: si passa dalla reazione agli attacchi alla preparazione e prevenzione strutturata. In parallelo, la normativa italiana (Legge 90/2024) recepisce l’obbligo per enti pubblici e soggetti considerati essenziali di rispettare specifici requisiti di sicurezza, definiti con decreti della Presidenza del Consiglio su proposta dell’Agenzia per la Cybersicurezza Nazionale (ACN).
In questo contesto, la normativa italiana (Legge 90/2024) introduce misure per rafforzare la resilienza delle infrastrutture critiche, imponendo a pubbliche amministrazioni e istituzioni finanziarie l’adozione di piani per garantire la continuità operativa e la protezione dei dati in caso di attacchi informatici. L’introduzione di requisiti minimi di cybersecurity nei contratti pubblici è una svolta necessaria e strategica. Non si tratta solo di proteggere dati e sistemi, ma di costruire fiducia tra cittadini, imprese e istituzioni. Quando la PA adotta soluzioni ICT, queste devono essere “secure by default”, cioè sicure fin dalla prima installazione, senza bisogno di interventi correttivi successivi.
Lo stesso approccio, tuttavia, dovrebbe essere esteso a tutto il settore privato, attraverso la definizione di regolamenti settoriali che raggruppino le diverse attività produttive. Questo garantirebbe che tutte le forniture informatiche, sia pubbliche sia private, rispondano a standard di sicurezza elevati e coerenti.
Le normative di riferimento sono tre: la Legge 90/2024, la Direttiva NIS2 e il GDPR. La protezione dei dati, dei sistemi, dei prodotti e dei fornitori rappresenta la chiave di volta della resilienza digitale. Come ReLife Spa abbiamo avviato un percorso strutturato per rafforzare la propria postura di cybersicurezza. Le azioni intraprese includono l’adozione di un modello organizzativo per la gestione della sicurezza informatica, la definizione di ruoli e responsabilità chiare, nonché l’implementazione di procedure e audit di sicurezza periodici.
Una delle principali criticità affrontate è stata la gestione dell’evoluzione rapida e continua delle minacce, che ha richiesto un impegno costante e l’adozione di standard condivisi. L’adeguamento alla NIS2 è stata un’opportunità per rafforzare la cultura della sicurezza in azienda, permettendoci di comprendere la necessità di un approccio strategico, continuo e multidisciplinare.
Irakli Bano Group IT director ReLife
