Solo qualche giorno fa bastava registrarsi al portale della Fifa per accedere a tutto lo streaming e, ipoteticamente, per trasmettere autonomamente in diretta mondiale. Caso estremo, ma non isolato, tra i sempre più frequenti casi di attacchi informatici che mettono a rischio infrastrutture essenziali della nostra, comprese le banche che ormai “vivono di digitale”. Un paio di settimane fa il governatore Panetta ha certificato che gli incidenti informatici sugli intermediari sono cresciuti dell’80% nel triennio 2023-2025, avvertendo che l’Ia sta cambiando natura e frequenza degli attacchi. Lo stesso giorno Messina, ceo di Intesa Sanpaolo, ha ribadito la necessità di “molta attenzione ai rischi cyber” legati all’intelligenza artificiale.
Il cyber, insomma, non è più un problema tecnico: è una questione di governance. “Esattamente. E le imprese italiane non sono ancora organizzate di conseguenza”, dice all’Adnkronos Giampietro Paraboni, cofondatore ed equity partner di Strategic Management Partners (SMP), la più grande società di management consulting a capitale italiano. A sostegno, una ricerca appena conclusa su 80 medie e grandi imprese dei settori manufacturing, utilities, chimico, Ict e telecomunicazioni, realizzata attraverso interviste strutturate ai Ciso.
“In più della metà delle aziende i controlli sui rischi cyber sono sporadici: il 45% svolge valutazioni una sola volta l’anno e una su dieci non ha nemmeno una frequenza definita”, spiega Paraboni. “In due casi su tre non esistono Kpi per misurare il livello di sicurezza raggiunto. Le imprese hanno capito che il rischio esiste, ma non hanno ancora costruito gli strumenti per gestirlo”. Il dato più critico riguarda la supply chain. “Solo il 12% delle aziende verifica regolarmente la sicurezza dei propri fornitori, il 25% non effettua alcun controllo e il 63% lo fa in modo occasionale”, prosegue. “Per il sistema bancario è un tema particolarmente sensibile, perché Dora impone già agli istituti di presidiare l’intera filiera dei fornitori ICT. Le imprese che non si adeguano rischiano di trovarsi fuori non solo dal perimetro di sicurezza, ma anche da quello di mercato”.
C’è poi il capitolo dell’intelligenza artificiale. “L’Ia è un acceleratore del problema: integrare modelli e cloud nei processi significa moltiplicare le superfici di attacco, eppure dalla nostra ricerca emerge che la percezione di questo rischio è ancora arretrata”, osserva. “Le aziende investono soprattutto per adeguarsi alle normative europee — Nis2, Dora, AI Act — senza trasformare la compliance in uno strumento di governance. Finché resta un adempimento, resterà un costo”.
La tesi di Paraboni è che serva un cambio di paradigma. “Dopo gli anni della digital transformation ci aspettano quelli della cyber transformation”, afferma. “La sicurezza informatica deve entrare a pieno titolo nella governance aziendale, fino a diventare business security per le imprese e social security per la pubblica amministrazione. Chi non compie questo passaggio rischia di scoprire che la trasformazione digitale, senza governance cyber, è una costruzione fragile”. (di Andrea Persili)
