Nel contesto aziendale contemporaneo, la rapida e parallela evoluzione delle tecnologie basate sull’intelligenza artificiale e delle minacce informatiche sta modificando radicalmente i paradigmi della sicurezza, aumentando la pressione sui programmi di protezione delle organizzazioni. Per i C-level e la dirigenza, comprese le realtà delle piccole e medie imprese, fare affidamento su strategie focalizzate unicamente sulla prevenzione non è più una strada percorribile per garantire la continuità operativa. La consapevolezza che una protezione totale sia irraggiungibile impone un cambio di rotta strategico: l’obiettivo non è più evitare qualsiasi compromissione, ma sviluppare una solida capacità di tenuta, adattamento e ripartenza rapida di fronte agli incidenti.
Attraverso i dati e le analisi di Gartner (Gartner, Build Adaptive Cyber Resilience to Thrive Amid Volatility), questa guida si propone di definire il concetto moderno di cyber resilience, offrendo ai decisori aziendali una panoramica chiara e non tecnica per comprendere lo spettro della maturità aziendale e le azioni concrete da intraprendere. Dalle tattiche di risposta a breve termine fino agli strumenti trasformativi basati su intelligenza artificiale e chaos engineering, l’obiettivo è trasformare il rischio informatico da elemento di vulnerabilità a leva strategica per l’ottimizzazione dei processi e il sostegno alla crescita del business.
Indice degli argomenti
Che cos’è la cyber resilience e perché le aziende devono superare il concetto di protezione perfetta
La continua evoluzione delle tecnologie basate sull’intelligenza artificiale e la parallela sofisticazione delle minacce informatiche stanno esercitando una pressione senza precedenti sulle infrastrutture aziendali. In questo scenario dinamico, il concetto tradizionale di sicurezza focalizzato esclusivamente sulla prevenzione si dimostra insufficiente. La protezione perfetta e il rischio zero non esistono; di conseguenza, per la gestione e la dirigenza delle organizzazioni, comprese le piccole e medie imprese, diventa fondamentale un cambio di paradigma verso la stabilità e la continuità delle operazioni.
Questa trasformazione è guidata anche da un contesto regolamentare in evoluzione, che include quadri normativi sulla resilienza operativa come il DORA e la NIS2, i quali richiedono alle organizzazioni di focalizzarsi maggiormente sulla capacità di tenuta e di adottare una mentalità orientata all’assume breach.
L’analisi di Gartner definisce la cyber resilience come la capacità di anticipare, resistere, recuperare e adattarsi agli attacchi informatici per ridurre al minimo l’interruzione delle attività aziendali derivante da incidenti di sicurezza. Essa non rappresenta semplicemente un insieme di attività tecniche isolate, bensì una competenza organizzativa e un risultato di business derivante dall’efficacia dei controlli applicati a persone, processi e tecnologie.
Questo approccio sposta l’attenzione dalla sola difesa perimetrale alla capacità complessiva dell’organizzazione di reagire tempestivamente, garantendo che la stabilità operativa sia preservata anche sotto crisi.
La differenza strategica tra sicurezza informatica tradizionale e resilienza adattiva
I modelli classici di sicurezza informatica si concentrano prevalentemente sulla riduzione delle vulnerabilità e sulla prevenzione degli accessi non autorizzati, operando con l’obiettivo principale di evitare che un evento dannoso si verifichi. Tuttavia, una strategia incentrata unicamente sulla prevenzione non è più sostenibile in un ambiente in cui le minacce cambiano a ritmi accelerati. Limitarsi a ripristinare i sistemi allo stesso stato in cui si trovavano prima dell’incidente, mantenendo semplicemente lo status quo, non è sufficiente a garantire la redditività e la continuità operativa a lungo termine.
Al contrario, la resilienza adattiva introduce una visione dinamica in cui l’organizzazione non si limita a ripristinare le condizioni passate, ma si rafforza attraverso un’esposizione intenzionale e controllata al rischio informatico, utilizzando ogni incidente come un’opportunità di apprendimento e miglioramento continuo. Dal punto di vista strategico, questo cambiamento comporta una ridefinizione delle priorità all’interno della triade della sicurezza (riservatezza, integrità e disponibilità), ponendo un accento cruciale sulla disponibilità operativa. Invece di focalizzarsi solo sulla protezione assoluta dal danno, la resilienza adattiva permette di bilanciare la gestione del rischio informatico con l’abilitazione e il sostegno alla crescita del business.
Lo spettro della resilienza secondo Gartner: dal livello fragile a quello adattivo
La maturità della cyber resilience all’interno di un’organizzazione non rappresenta una condizione binaria, bensì una scala progressiva determinata dall’efficacia dei controlli di sicurezza applicati a persone, processi e tecnologie. Questa progressione definisce la capacità strutturale di un’azienda di affrontare una minaccia e determina l’impatto a lungo termine sulle attività di business. Lo spettro delineato identifica sei livelli di maturità ben distinti.
Come riconoscere se l’infrastruttura aziendale si trova in uno stato diminuito o eroso
Al livello più basso si colloca lo stato fragile, in cui l’organizzazione subisce danni materiali e potenzialmente esistenziali anche a causa di incidenti di sicurezza di lieve entità. Un gradino sopra si trova lo stato rigido, nel quale l’azienda subisce danni materiali e potenzialmente esistenziali a fronte di incidenti informatici gravi. Il terzo stadio è definito eroso, caratterizzato da organizzazioni che riescono a riprendersi da qualsiasi incidente, ma lo fanno tornando a uno stato operativo permanentemente indebolito.
Salendo lungo la scala si incontra lo stato diminuito, in cui si ottiene temporaneamente una condizione operativa minima praticabile subito dopo il ripristino da un incidente, prima di tornare alla normale operatività. I livelli superiori sono rappresentati dallo stato resiliente, in cui l’organizzazione si riprende costantemente da ogni attacco tornando a uno stato operativo equivalente o ripristinando lo status quo precedente all’evento. Infine, il vertice della maturità è occupato dal livello adattivo, in cui l’azienda non si limita a ripristinare le funzioni precedenti, ma rafforza attivamente le proprie operazioni di business durante e dopo gli incidenti informatici attraverso un’esposizione intenzionale e controllata al rischio.
Per il management aziendale è di fondamentale importanza saper identificare l’esatta collocazione della propria infrastruttura all’interno di questo spettro, focalizzandosi in particolare sugli stati intermedi come quello diminuito ed eroso, che rappresentano le situazioni più frequenti nel panorama aziendale.
Le azioni immediate per costruire una strategia di cyber resilience orientata alla crescita
Per coltivare una postura di cyber resilience orientata allo sviluppo e alla continuità del business, le organizzazioni devono superare la tradizionale avversione al rischio e rendere operativa una filosofia di gestione intelligente del rischio. Questo approccio non promuove la temerarietà, bensì prescrive una metodologia disciplinata in cui il rischio viene sistematicamente identificato, analizzato e sfruttato come un catalizzatore per l’apprendimento e il miglioramento organizzativo. Spostando il baricentro da una posizione puramente protezionistica a una che integra il rischio in modo consapevole, la dirigenza può trasformare gli eventi critici in opportunità concrete di rafforzamento aziendale.
L’esposizione controllata al rischio consente infatti di osservare empiricamente le reazioni dei sistemi, identificare i punti di debolezza latenti e irrobustire l’intera infrastruttura a fronte delle fluttuazioni del mercato.
Identificazione e gestione controllata delle attività di business ad alto rischio
Il percorso operativo fondamentale richiede lo svolgimento di una valutazione basata sui dati per mappare le prime tre attività aziendali che mostrano la maggiore esposizione al rischio. Questo esame deve combinare metriche quantitative e valutazioni qualitative, prendendo in considerazione le potenziali perdite finanziarie, le sanzioni normative, il danno reputazionale e le priorità degli stakeholder. Tra le attività tipicamente più esposte si riscontrano i nuovi programmi di implementazione dell’intelligenza artificiale per l’efficienza dei processi, i progetti di trasformazione digitale su larga scala, le integrazioni con sistemi di terze parti o il roll-out di piattaforme destinate ai clienti.
Per ciascuna delle attività ad alto rischio individuate, diventa necessario sviluppare e attuare un piano mirato di mitigazione e di abilitazione del successo. Questi piani non devono focalizzarsi unicamente sulle vulnerabilità tecniche, ma hanno il compito di incorporare i requisiti di disponibilità e tenuta all’interno dei processi operativi e dei quadri decisionali del business, formalizzando titolarità chiare, obiettivi misurabili e protocolli di escalation precisi.
Infine, affinché la strategia sia efficace, il rischio non deve essere isolato all’interno della sola funzione di sicurezza aziendale. È indispensabile stabilire canali solidi per una comunicazione trasparente e per una proprietà condivisa del rischio tra gli attori del business, dell’IT e della sicurezza. Riunire periodicamente queste funzioni cross-funzionali — idealmente all’interno di forum già strutturati come i comitati di controllo o i cybersecurity steering committee — garantisce che i fattori di vulnerabilità siano compresi e co-gestiti da tutte le parti rilevanti dell’organizzazione.
Tattiche a breve e medio termine per ottimizzare la risposta agli incidenti
Il consolidamento della cyber resilience richiede un impegno rigoroso nel potenziamento dei processi aziendali dedicati alla preparazione, all’identificazione, alla risposta e al ripristino a seguito di attacchi informatici reali. Per ottenere un’ottimizzazione concreta nel breve e medio periodo, la gestione aziendale deve concentrarsi sul superamento dei divari di maturità riscontrati nei presidi di sicurezza, assicurando che le analisi e le informazioni raccolte sul campo si traducano direttamente in modifiche strutturali ai piani operativi.
L’allineamento tra i framework NIST e la disciplina di ripristino aziendale
I dati evidenziano come, trasversalmente ai diversi settori industriali, i responsabili della sicurezza riscontrino difficoltà nel raggiungere i livelli di maturità desiderati per i controlli legati alla gestione degli incidenti. Si registrano infatti discrepanze significative tra l’importanza strategica assegnata e le reali capacità operative raggiunte in aree critiche come il miglioramento continuo, l’analisi degli incidenti e l’esecuzione dei piani di ripristino. Un allineamento efficace con i framework di riferimento internazionali, come il NIST CSF v2.0 e il ciclo di vita del NIST SP 800-61r3, richiede l’adozione di una disciplina stringente: i processi relativi a un incidente non possono essere considerati chiusi fino a quando tutte le azioni di recupero non sono state finalizzate, i report firmati dagli stakeholder e le informazioni apprese integrate tempestivamente nel programma di sicurezza.
In parallelo, la pianificazione del ripristino in caso di disastro deve evolvere verso modelli più sostenibili. Poiché la conduzione di test annuali su interi sistemi risulta complessa e dispendiosa in termini di risorse, l’approccio raccomandato consiste nello svolgimento di attività di minimum viable disaster recovery planning (DRP). Questa metodologia prevede l’esecuzione di simulazioni di ripristino parziali e su scala ridotta, limitandosi a verificare una singola applicazione, un segmento di rete o una specifica area geografica.
L’obiettivo primario è ridurre il raggio d’impatto di un potenziale evento dannoso, contenendo l’incidente a livello locale per evitare che si propaghi e comprometta i flussi operativi vitali dell’intera organizzazione. Questo perimetro ridotto consente inoltre ai team tecnici di analizzare le vulnerabilità emerse da eventi minori e correggerle prima che generino anomalie sistemiche estreme.
Test di sicurezza offensiva attraverso sessioni di red e purple teaming
La verifica sul campo dei controlli costituisce un pilastro fondamentale per valutare l’efficacia delle difese di fronte a minacce prevedibili in grado di interrompere l’operatività o causare violazioni di dati. Attraverso l’esecuzione di simulazioni in ambienti di produzione, le organizzazioni hanno la possibilità di testare l’infrastruttura tecnologica, la riservatezza delle informazioni, i processi e le competenze del personale in condizioni controllate.
Gli strumenti principali per questo tipo di verifiche sono i test di red teaming e purple teaming. Il red teaming prevede la simulazione di un attacco informatico reale da parte di un team offensivo per mettere alla prova le difese dell’organizzazione, mentre il purple teaming si configura come un’attività collaborativa in cui gli attaccanti e i difensori cooperano in tempo reale per ottimizzare i controlli di sicurezza aziendali.
Queste sessioni permettono di verificare l’efficacia dei presidi tecnologici, dei processi e del personale sotto condizioni controllate, offrendo alla dirigenza l’opportunità di sanare le vulnerabilità ben prima di un incidente vero e proprio. L’efficacia di questo approccio è documentata dal caso di una compagnia aerea internazionale, in cui l’attività del team di sicurezza offensiva ha permesso di individuare una vulnerabilità in un’interfaccia di programmazione (API) di terze parti non autenticata, all’interno della quale era ospitato il database dei clienti. L’individuazione tempestiva di questo fattore di rischio ha costretto il fornitore a chiudere la falla prima che attori malevoli potessero procedere all’estrazione graduale e illecita dei dati aziendali.
Strumenti trasformativi a lungo termine: tra chaos engineering e intelligenza artificiale
Sul lungo periodo, la transizione verso una postura resiliente si affida ad approcci di trasformazione avanzati, capaci di anticipare le evoluzioni del panorama delle minacce. Tra queste metodologie si distingue il chaos engineering, che consiste nell’esecuzione di test di fallimento sperimentali o di iniezione di guasti controllati per far emergere vulnerabilità latenti all’interno di sistemi complessi. Attraverso queste attività, la dirigenza può valutare l’effettivo comportamento delle infrastrutture in condizioni avverse e di fronte a vettori di attacco noti, evidenziando debolezze precedentemente non identificate. Le informazioni raccolte informano i successivi interventi correttivi, garantendo che i sistemi non risultino vulnerabili a compromissioni a fronte di eventi prevedibili.
Sebbene questo tipo di sperimentazione distruttiva possa non essere applicabile a infrastrutture legacy o a sistemi mainframe, rappresenta un approccio strategico fondamentale da considerare in concomitanza con le migrazioni di sistema e i nuovi dispiegamenti tecnologici.
Sperimentazione con agenti SOC e pipeline di generazione aumentata dal recupero
L’integrazione mirata delle capacità dell’intelligenza artificiale generativa offre molteplici opportunità per verificare in modo proattivo le risposte organizzative agli attacchi reali prima che questi si verifichino, contribuendo contemporaneamente a elevare le competenze tecniche dei team interni.
Una prima modalità operativa consiste nel convogliare i dati dei log di sicurezza all’interno di pipeline di generazione aumentata dal recupero (RAG). Questo processo consente di ampliare la visibilità sulla solidità dell’ambiente informatico e sulla sua suscettibilità ad attacchi standardizzati, aiutando a identificare pattern di vulnerabilità e carenze nei presidi igienici fondamentali che potrebbero essere sfruttati da attori ostili per muoversi in modo silente nelle reti aziendali.
Un secondo pilastro trasformativo è costituito dall’impiego di agenti AI SOC per lo sviluppo di ipotesi di threat hunting. Attraverso l’analisi di ampie sorgenti di dati, incluse le informazioni sulle minacce globali, i log e gli eventi di sicurezza unici dell’organizzazione, questi agenti propongono teorie di ricerca e forniscono un’analisi trasparente del percorso logico seguito. Gli analisti umani mantengono la guida del processo, con il compito di confermare o smentire l’analisi derivata dall’IA per poi adattare e irrobustire i controlli di sicurezza.
Infine, l’intelligenza artificiale generativa può essere affiancata agli strumenti di sicurezza e ai test offensivi esistenti per modellare e replicare attacchi reali già subiti dall’organizzazione o da realtà analoghe del medesimo settore. Eseguire queste simulazioni contro porzioni differenti dell’ambiente tecnologico aziendale permette di determinare empiricamente l’efficacia dei piani di risposta e di attuare i necessari adattamenti strutturali.
Partecipa alla community