Il 27 febbraio, durante il convegno per la presentazione dei risultati dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, sono emersi aspetti che, a nostro avviso, meritano un particolare approfondimento.
Il primo, immediatamente spendibile, è che in Italia gli investimenti per la cyber security sono cresciuti del 15% durante il 2024, assestandosi a 2,48 miliardi di euro.
Questo è il segnale di una maggiore presa di coscienza che è conseguenza di una crescente consapevolezza all’interno delle imprese e, come vedremo, anche di una più ampia visione dei Chief Information Security Officer (CISO) i quali sentono la necessità di una ridefinizione dei propri ruoli.
Sono tre buone notizie – anche se l’aumento degli investimenti è da relativizzare – controbilanciate dall’avanzata del cyber crimine, la cui crescita supera l’accelerazione degli investimenti.
Tra le criticità riscontate dai CISO, ossia in cima ai rischi cyber, figura ancora una volta il fattore umano e questa, in tutta onestà, è una teoria diffusa e balzana che rischia di spostare sulle spalle degli utenti responsabilità che competono ad altri attori, gettando peraltro ombre sulle tecnologie e le tecniche per la cyber security.
Il fattore umano diventa alibi facile che non aiuta a risolvere i problemi, come per altro abbiamo già scritto qui.
Indice degli argomenti
Il mercato italiano della cyber security
Sono 131 le grandi aziende in Italia coinvolte nel sondaggio condotto dall’Osservatorio del Politecnico di Milano e, analizzando gli investimenti che queste hanno fatte per aumentare la resilienza, è necessario muovere una critica.
Il grafico qui sotto, infatti, dimostra che l’aumento percentuale degli investimenti, che di per sé è una buona cosa, è stabile nel tempo. Nel frattempo, gli attacchi sono aumentati a tripla cifra (+115%) e mantenere stabile il maggiore sforzo compiuto per garantire la cyber security non tiene il passo con la potenza di fuoco dei criminal hacker.
A titolo di paragone, secondo il rapporto Clusit 2025, nel corso del 2024 gli attacchi gravi sono aumentati del 15%. È necessario che le organizzazioni facciano uno sforzo in più e, inoltre, investire cifre maggiori non coincide per forza di cose con una difesa migliore.
Gli investimenti fatti nel 2024 sono soprattutto finalizzati ai servizi (41%) e alle soluzioni (37%). Il fattore umano, così temuto sul piano dialettico, merita solo il 14% degli investimenti in formazione.
Gli attacchi alle organizzazioni in Italia
Il 73% delle 131 organizzazioni consultate sostiene di essere stato vittima di attacchi nel corso del 2024. Lanciamo una provocazione: il dato potrebbe essere più alto giacché alcune aziende potrebbero non essersi ancora accorte di esserne state vittima oppure, trattandosi di un sondaggio, qualche azienda può avere restituito una versione un po’ edulcorata della realtà dei fatti.
Si aggiunge un dato che ben restituisce un’immagine grandangolare: il 96% delle imprese dichiara di avere migliorato la postura di sicurezza e, tra queste, il 51% asserisce di non avere recuperato lo svantaggio accumulato negli anni e riconosce l’utilità di investimenti continui.
È la cornice perfetta che racchiude il ritratto: mentre le imprese hanno tentennato negli anni scorsi, il cyber crimine non è rimasto con le mani in mano e ha continuato a progredire guadagnando terreno sulle capacità difensive delle organizzazioni.
Uno sguardo alle criticità
Per le imprese italiane il fattore umano è il rischio più elevato in assoluto. La complessità delle infrastrutture IT – tra obsolescenza ed eterogeneità – sono grattacapi ancora maggiore.
Va da sé che le imprese con architetture fondate su più sistemi e non tutti recenti rischiano di prestare più facilmente il fianco alle incursioni del cyber crimine.
Architetture e reti meno complesse non sono più chimere, anche i tanti servizi Cloud disponibili possono contribuire a rendere le infrastrutture più snelle e omogenee.
Tra l’altro, così come censito dall’Osservatorio, anche nel 2016 il fattore umano rappresentava la criticità più avvertita dai Ciso: in 9 anni il panorama non è cambiato molto e, almeno a una prima lettura, le imprese italiane sembrano difettare non poco sul piano dell’autocritica.
Tra le criticità restano vive quelle legate alla supply chain e all’uso di servizi e risorse IA, entrambe fuori dal controllo delle imprese in quanto tali.
La gestione del rischio
L’82% delle grandi organizzazioni gestisce il rischio cyber al proprio interno, un dato in aumento del 5% rispetto al 2023.
Per il 46% di queste il rischio cyber è integrato nei processi di Risk management, mentre il 36% lo tratta come un rischio a parte integrato nelle funzioni del dipartimento IT o di altre unità aziendali.
Cosa stanno facendo le imprese per diminuire i rischi cyber
Per ridurre i rischi le imprese agiscono soprattutto su tre fronti, tutti collegati alla percezione dei pericoli di cui abbiamo parlato nel paragrafo precedente:
- Consolidamento della dotazione tecnologica: ridurre i rischi legati all’obsolescenza e alla complessità
- Investimenti in formazione: le imprese tendono a formare il personale interno ma anche quello esterno, con un occhio aperto sui partner per ridurre il rischio della filiera
- Affidamento a un unico gestore: cresce il bisogno di affidarsi a un’entità in grado di gestire tutti i servizi di cyber security, una sorta di “orchestratore”, così come definito dall’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano.
Questo ultimo punto merita un chiarimento. Non si tratta di ricorrere a un unico fornitore, ma a chi sappia gestirli e coordinare i diversi fornitori a cui le imprese si appoggiano.
Evidentemente il caso CrowdStrike del mese di luglio del 2024 ha lasciato il segno.
I piani per il futuro
I Ciso riconoscono di doversi trasformare uscendo definitivamente dai profili professionali tecnici per entrare a buon diritto nelle aree delle operations aziendali: sono figure apicali all’interno di qualsiasi grande organizzazione e a loro andrebbe riconosciuta una posizione manageriale di alto livello, perché è con altri manager che devono interloquire. Non è solo questione di forma (di organigrammi) ma di sostanza.
A prescindere da ciò, i Ciso che hanno partecipato al sondaggio vogliono apportare cambiamenti a tratti radicali per il futuro:
- Riorganizzare l’approccio operativo: ci sono scelte strategiche da fare per capire quali attività di cyber sicurezza svolgere all’interno delle imprese e quali invece sono da esternalizzare
- Automazione dei processi: ricorrere alle tecnologie più attuali per efficientare i processi di cyber security e fronteggiare le minacce in modo più rapido. Qui, con tutti i pro e i contro, i Ciso guardano anche alle IA
- Misurazione del rischio: quantificare i rischi cyber aiuta a comunicare meglio con tutta l’azienda (a partire dai manager scendendo poi lungo tutto l’organigramma) e anche con tutti gli stakeholder.
Conclusioni
Per tirare le somme ci affidiamo a due voci esperte, quelle del direttore dell’Osservatorio Cybersecurity & Data Protection Alessandro Piva e, in seconda battura, quella del responsabile scientifico del medesimo Osservatorio, Gabriele Faggioli.
“Il mercato della cyber security in Italia continua a crescere. Nonostante questo segnale incoraggiante il ‘cyber divide’ tra organizzazioni mature e non mature è sempre più evidente e rappresenta una criticità silenziosa: la protezione rischia di rimanere un ‘privilegio’ per poche organizzazioni. È essenziale che le istituzioni locali ed internazionali continuino a lavorare per abbattere le barriere che impediscono l’introduzione di tecnologie e competenze. Nonostante l’aumento degli investimenti, infatti, ancora oggi la cyber security viene vista in molte realtà come un’attività onerosa e c’è il rischio che sia compromessa la capacità di resilienza e risposta alle minacce. Inoltre, il progresso dell’AI generativa rischia di creare nuove vulnerabilità e un’ulteriore intensificazione degli attacchi”, sottolinea Piva.
Gli fa eco Gabriele Faggioli, sostenendo che: “Il panorama delle minacce informatiche si conferma allarmante: solo nei primi sei mesi 2024 sono stati registrati 1.637 attacchi cyber gravi di dominio pubblico a livello globale, di cui circa l’8% in Italia, ma la capacità di gestire efficacemente i rischi cyber moderni non si sta diffondendo alla stessa velocità. Di certo, si evidenzia una crescente centralità della cyber security nelle priorità aziendali e istituzionali per la maggiore rilevanza delle minacce informatiche, per i progressi tecnologici e anche per l’evoluzione delle normative. Persone con scarsa alfabetizzazione digitale possono essere sempre più vittima di disinformazione, frodi online e violazioni della privacy. La cyber security si appresta a diventare un pilastro della competitività economica e dell’equilibrio sociale e politico”.
Le attività del cyber crimine non sono più una lotta tra criminali, aziende e istituzioni. Gli impatti degli attacchi si riverberano sull’economia reale e questa, forse, è la più grande novità degli ultimi anni.
