Dagli attacchi al rischio: come cambia la cybersecurity

La cybersecurity sta entrando in una nuova fase. Proteggere sistemi e reti non basta più: la crescente complessità degli ambienti digitali, l'ampliamento della superficie di attacco e l'evoluzione delle tecniche utilizzate dai cybercriminali stanno trasformando il rischio informatico in una questione che coinvolge tecnologie, persone, processi e informazioni.

Secondo l'Osservatorio Exprivia sulla Cybersecurity, il secondo trimestre del 2026 è stato tra i periodi più intensi degli ultimi anni per numero di attacchi registrati in Italia. Ma il dato quantitativo racconta solo una parte del fenomeno. A cambiare sono soprattutto le modalità operative degli aggressori e gli obiettivi perseguiti.

I dati continuano a rappresentare il principale bersaglio: credenziali, identità digitali, informazioni aziendali e documenti sono asset di valore che possono essere sottratti, rivenduti o utilizzati come leva di pressione contro l'organizzazione. Parallelamente, phishing, social engineering, infostealer e Remote Access Trojan confermano una tendenza ormai consolidata: l'attacco non parte necessariamente da una vulnerabilità tecnica, ma può avere origine da una persona, da un'identità compromessa o da un'informazione esposta online.

In questo scenario diventa evidente il limite di una sicurezza costruita a compartimenti stagni.

Per anni sviluppo software, infrastrutture, sicurezza e monitoraggio sono stati gestiti come domini separati. Oggi questa impostazione mostra tutti i suoi limiti. Un'applicazione interagisce con reti, identità digitali, servizi cloud, endpoint e banche dati; allo stesso modo una vulnerabilità assume significati diversi in base alla criticità dell'asset coinvolto, al suo livello di esposizione e al contesto operativo.

Anche le informazioni provenienti dall'esterno acquistano valore soltanto quando vengono correlate con il contesto interno. Sapere che esiste una minaccia è utile; sapere che quella minaccia può colpire un asset critico già esposto o vulnerabile è ciò che permette di decidere come intervenire.

La cybersecurity sta quindi evolvendo da una logica di protezione puntuale a una logica di gestione integrata del rischio.

Per affrontare minacce sempre più sofisticate, sviluppo, sicurezza, monitoraggio e intelligence devono essere considerati elementi di un unico ecosistema.

L'obiettivo è costruire una visione continua dell'ambiente digitale attraverso tre capacità fondamentali:

sviluppare e modificare applicazioni in modo controllato e tracciabile;proteggere e monitorare continuamente l'ambiente operativo;conoscere asset, esposizioni e minacce per determinare le corrette priorità di intervento.In questo modello la sicurezza non è più un controllo finale, ma una caratteristica incorporata nei processi.

L'automazione consente di integrare verifiche e controlli nel ciclo di sviluppo, individuando vulnerabilità, configurazioni errate e componenti a rischio prima che raggiungano gli ambienti di produzione. Parallelamente, il monitoraggio continuo di reti, endpoint, identità e servizi cloud permette di identificare comportamenti anomali e potenziali compromissioni in tempi sempre più ridotti.

Un principio fondamentale della cybersecurity moderna è semplice: non è possibile proteggere ciò che non si conosce.

Negli ambienti attuali convivono infrastrutture tradizionali, cloud, dispositivi connessi, sistemi industriali e applicazioni distribuite. Per questo motivo un semplice inventario non è più sufficiente.

Occorre disporre di una conoscenza dinamica degli asset, in grado di evidenziare criticità, relazioni, esposizioni e comportamenti. Solo così è possibile comprendere quali elementi siano realmente strategici e quali vulnerabilità rappresentino un rischio prioritario.

La gestione della superficie di attacco non può quindi limitarsi all'elenco delle debolezze tecniche, ma deve considerare impatto potenziale, esposizione e rilevanza per il business.

La conoscenza dell'ambiente interno deve essere completata da una comprensione approfondita dello scenario esterno.

La Cyber Threat Intelligence non consiste semplicemente nella raccolta di indicatori di compromissione o informazioni sulle minacce. Il suo valore emerge quando riesce a trasformare dati eterogenei in conoscenza utile alle decisioni.

A livello operativo supporta il rilevamento e la risposta agli incidenti. A livello tattico consente di comprendere tecniche, procedure e obiettivi degli attaccanti. A livello strategico permette invece di valutare l'evoluzione dello scenario di rischio, individuare le minacce più rilevanti per il settore e orientare gli investimenti in sicurezza.

Il vero valore nasce dalla correlazione tra informazioni esterne e contesto interno. Una vulnerabilità o una campagna malevola diventano realmente significative quando interessano asset presenti nell'organizzazione o tecnologie effettivamente utilizzate.

È questo passaggio che consente di trasformare una minaccia generica in un rischio concreto e misurabile.

Uno dei principali problemi delle organizzazioni non è la scarsità di informazioni ma il loro eccesso.

Eventi, alert, vulnerabilità e indicatori si moltiplicano ogni giorno. Tuttavia non tutte le informazioni hanno la stessa importanza.

La capacità di correlare dati relativi ad asset, esposizioni, vulnerabilità, comportamento degli utenti e minacce consente di stabilire priorità realistiche e concentrare le risorse sulle situazioni che possono generare il maggiore impatto.

In questo contesto la cybersecurity diventa sempre più una disciplina orientata alla gestione del rischio e sempre meno una semplice attività di difesa tecnologica.

L'evoluzione delle minacce rende evidente il limite di un approccio basato esclusivamente sulla protezione dei singoli sistemi.

Le organizzazioni devono sviluppare la capacità di conoscere ciò che producono, comprendere ciò che possiedono, monitorare ciò che espongono e contestualizzare le minacce che provengono dall'esterno. La Threat Intelligence assume quindi un ruolo centrale: non solo strumento di rilevamento, ma leva per interpretare il rischio e supportare le decisioni.

Il vero obiettivo non è accumulare più dati o implementare più strumenti. È trasformare i dati in conoscenza, la conoscenza in priorità e le priorità in azioni.

La cybersecurity del futuro sarà sempre meno orientata al singolo attacco e sempre più focalizzata sulla capacità di comprendere, anticipare e ridurre il rischio in modo continuo. In questa prospettiva, tecnologia, processi e persone diventano parte di un unico ecosistema capace di sostenere la resilienza digitale dell'organizzazione.

 

(*) Domenico Raguseo, Head of CyberSecurity Unit presso Exprivia