Prevenire un rischio, gestire un incidente, garantire la continuità dell’attività: la sicurezza aziendale si costruisce nelle scelte che un’organizzazione compie prima, durante e dopo un evento critico. Tecnologie, persone, procedure e responsabilità sono elementi interdipendenti di questo sistema.
La sicurezza aziendale nella trasformazione digitale
La trasformazione digitale ha cambiato il modo in cui imprese e organizzazioni devono gestire la sicurezza.
Le tecnologie emergenti mettono a disposizione strumenti sempre più evoluti per proteggere dati, sistemi e infrastrutture, ma contemporaneamente estendono la superficie di attacco, introducendo nuove esigenze sul piano organizzativo, normativo e gestionale.
Questi temi sono stati al centro dell’intervento di Katia Trevisan, Direttore Generale di Argo S.p.A., durante la tavola rotonda “La protezione integrata in azienda: le soluzioni per la sicurezza fisica e cyber“, organizzata nell’ambito di Cultura di Impresa 2026, il roadshow promosso da 4.Manager e realizzato in collaborazione con 24 Ore Eventi.
L’incontro, dedicato alla “La sicurezza d’impresa al tempo dell’AI“, si è svolto l’8 luglio presso il Centro Congressi dell’Unione Industriali di Torino e ha esplorato il rapporto tra innovazione tecnologica, sicurezza fisica, cybersecurity, continuità operativa e gestione della sicurezza aziendale.
Nel suo intervento, Trevisan ha posto l’attenzione su due aspetti strettamente connessi: l’importanza delle procedure, del fattore umano e delle nuove competenze nella cybersecurity e la gestione dell’incidente quando l’evento assume la dimensione di una crisi aziendale.
Approfondisci l’evento Cultura di Impresa 2026: sicurezza aziendale al tempo dell’AI
Cybersecurity aziendale: la tecnologia da sola non basta
Firewall, sistemi di monitoraggio e piattaforme di rilevazione delle minacce rappresentano elementi fondamentali della protezione aziendale, ma la sola componente tecnologica non è sufficiente a garantire una sicurezza aziendale completa.
La capacità di prevenire e gestire un incidente dipende anche dalla qualità delle procedure, dalla formazione delle persone e dalla definizione preventiva di ruoli e responsabilità.
Un’organizzazione può disporre di strumenti tecnologicamente sofisticati, ma incontrare difficoltà nella gestione di un evento critico se non ha stabilito in anticipo chi deve intervenire, quali informazioni devono essere raccolte, quali funzioni devono essere coinvolte e come devono essere prese e documentate le decisioni.
Come evidenziato da Trevisan, la cybersecurity odierna necessita di un nuovo modello nel quale tecnologia, processi e competenze operino in sinergia.
Fattore umano e Security Awareness: le persone come presidio di sicurezza
Il fattore umano, da una parte, rappresenta uno dei principali elementi di esposizione agli attacchi informatici; dall’altra, può costituire una delle prime barriere di difesa aziendale.
Un errore, una credenziale compromessa, l’apertura di un allegato malevolo o la condivisione impropria di informazioni possono facilitare un attacco. Al contrario, una persona adeguatamente preparata può riconoscere un comportamento sospetto, applicare correttamente una procedura e segnalare tempestivamente una situazione di rischio.
Il fattore umano deve quindi essere considerato come un presidio essenziale di prevenzione, rilevazione e risposta.
In quest’ottica, la formazione sulla sicurezza informatica è determinante. Diffondere la consapevolezza dei rischi e promuovere comportamenti corretti consente di ridurre gli errori, aumentare la capacità di individuare possibili minacce e migliorare l’efficacia delle misure di protezione.
I programmi di Security Awareness offrono percorsi strutturati dedicati ai principali rischi informatici e alle best practice di sicurezza da adottare. Contribuiscono inoltre a supportare gli obblighi di formazione previsti dai framework normativi applicabili, in funzione del settore e del perimetro dell’organizzazione.
Accanto alla formazione cresce l’importanza di investire in nuove competenze trasversali, in grado di integrare profili tecnici, legali, investigativi, organizzativi e comunicativi.
La gestione di un incidente, infatti, non richiede solo la capacità di rilevare e contenere una minaccia, ma anche di coordinare professionalità differenti e gestire le conseguenze dell’evento.
AI generativa e Shadow AI: nuovi rischi per le imprese
L’intelligenza artificiale è passata in pochi anni da tecnologia specialistica a strumento utilizzato quotidianamente da imprese, professionisti e privati.
L’AI viene impiegata per automatizzare processi, analizzare dati, sviluppare software, generare contenuti e supportare numerose attività operative e amministrative.
Accanto ai tradizionali sistemi di machine learning, progettati per individuare correlazioni nei dati e aiutare nelle analisi previsionali, si sono rapidamente diffusi i modelli di intelligenza artificiale generativa (GenAI), capaci di produrre testi, immagini, codice, audio e video partendo da semplici istruzioni fornite dall’utente.
Se impiegata correttamente, l’AI generativa può aumentare produttività ed efficienza, ma porta inevitabilmente con sé anche nuovi rischi che devono essere governati.
Tra questi, uno dei fenomeni più diffusi è la Shadow AI, ovvero l’utilizzo di strumenti di intelligenza artificiale da parte dei dipendenti senza un processo di autorizzazione, senza adeguate policy o al di fuori dei controlli previsti dall’organizzazione.
L’utilizzo non regolamentato di piattaforme AI può comportare la condivisione inconsapevole di informazioni riservate, dati personali, documentazione interna o codice sorgente con sistemi esterni all’organizzazione. Questo può creare rischi in materia di sicurezza delle informazioni, protezione dei dati, proprietà intellettuale e compliance.
Anche gli output generati dall’AI richiedono particolare attenzione: testi, analisi, codice e altri contenuti possono contenere errori, informazioni inesatte o risultati non verificabili.
Diventa quindi essenziale definire politiche strutturate per l’utilizzo dell’AI, stabilire quali dati possano essere trattati attraverso questi strumenti, individuare gli utilizzi consentiti e quelli non autorizzati, formare il personale e prevedere adeguati processi di verifica e controllo umano.
Leggi l’approfondimento su AI Security e Generative AI: solo il 9% delle aziende ha una strategia di sicurezza strutturata.
AI Act, CRA, DORA e NIS2: il quadro normativo europeo sulla sicurezza
Il quadro normativo europeo si sta adattando all’evoluzione tecnologica diventando sempre più articolato.
L’AI Act (Regolamento UE 2024/1689) introduce un quadro organico per lo sviluppo e l’utilizzo dei sistemi di intelligenza artificiale, prevedendo obblighi differenziati in funzione del livello di rischio. La normativa è entrata in vigore il 1° agosto 2024 e si applica in via generale dal 2 agosto 2026, con alcune disposizioni soggette a tempistiche specifiche. Tra queste, le regole relative ad alcune categorie di sistemi di AI ad alto rischio hanno una decorrenza successiva.
Il Regolamento UE 2024/2847, noto come Cyber Resilience Act (CRA), stabilisce invece requisiti obbligatori di cybersecurity per i prodotti con elementi digitali, imponendo misure di sicurezza lungo l’intero ciclo di vita del prodotto, dalla progettazione alla gestione delle vulnerabilità e degli aggiornamenti. L’applicazione è progressiva: dall’11 settembre 2026 entreranno in vigore gli obblighi di reporting, mentre la piena applicazione è prevista dall’11 dicembre 2027.
Per il settore finanziario, il DORA (Digital Operational Resilience Act), Regolamento UE 2022/2554, disciplina la resilienza operativa digitale e stabilisce requisiti in materia di gestione del rischio ICT. Il regolamento è applicabile dal 17 gennaio 2025.
La NIS2 (Network and Information Systems Security Directive), Direttiva UE 2022/2555, rafforza lo standard europeo per la sicurezza informatica delle infrastrutture critiche e dei servizi essenziali ampliando il perimetro dei soggetti interessati. In Italia, la direttiva è stata recepita ufficialmente con il Decreto Legislativo del 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024.
Attraverso questi framework, il legislatore europeo conferma la necessità di inserire sicurezza, gestione del rischio e compliance all’interno dei processi di governance aziendale, evitando che l’adeguamento venga interpretato esclusivamente come un adempimento formale.
Dai ransomware ai deepfake: le minacce per le imprese
L’intelligenza artificiale ha modificato anche il panorama delle minacce informatiche. Molti degli attacchi tradizionali sono ora potenziati dall’AI, che consente di automatizzare attività, personalizzare le campagne malevole e aumentare la probabilità di successo.
Ransomware
Tra le minacce più pericolose figura il ransomware, che cifra o blocca i dati aziendali interrompendo l’operatività e richiedendo il pagamento di un riscatto.
Oltre al danno economico, un attacco di questo tipo può compromettere la continuità dei servizi, provocare la perdita o l’indisponibilità di informazioni critiche e avere ripercussioni rilevanti sotto l’aspetto legale e reputazionale.
Phishing e spear phishing
Particolarmente insidiosi sono anche gli attacchi di phishing e spear phishing, che sfruttano e-mail, messaggi o comunicazioni apparentemente legittime per indurre i dipendenti a divulgare credenziali di accesso, dati riservati o autorizzare operazioni fraudolente.
Grazie all’impiego dell’intelligenza artificiale, queste comunicazioni appaiono sempre più credibili, personalizzate e prive degli errori tipici che in passato ne facilitavano il riconoscimento.
Data breach
I data breach possono comportare la sottrazione, la divulgazione o la perdita di dati personali, informazioni riservate, proprietà intellettuale o segreti industriali.
Possono interrompere le attività operative ed esporre l’azienda a sanzioni normative, contenziosi e perdita della fiducia da parte di clienti, fornitori e partner commerciali.
Distributed denial of service (DDoS)
Le organizzazioni devono inoltre confrontarsi con gli attacchi Distributed Denial of Service (DDoS), che saturano server e infrastrutture digitali attraverso un volume artificiale di traffico, rendendo indisponibili siti web, piattaforme online e servizi.
L’AI consente di orchestrare questi attacchi con estrema precisione, adattandoli dinamicamente alle difese adottate dalle vittime.
Deepfake e business email compromise
Un’altra area di rischio riguarda le frodi basate su deepfake e business email compromise (BEC), nelle quali il fattore umano costituisce spesso il bersaglio principale.
Attraverso l’AI generativa è possibile replicare voce, immagini e stile comunicativo di dirigenti o collaboratori, creando situazioni estremamente realistiche nelle quali un dipendente può essere indotto ad autorizzare un pagamento, divulgare informazioni riservate o modificare procedure operative.
Insider threat
Un’attenzione particolare merita il fenomeno delle minacce interne (Insider Threat).
Errori, comportamenti negligenti o azioni dolose di dipendenti, collaboratori o fornitori possono compromettere la sicurezza delle informazioni tanto quanto un attacco esterno e, in determinate circostanze, causare danni peggiori. La sicurezza deve quindi considerare anche i rischi associati agli utenti autorizzati e ai soggetti che, per il ruolo ricoperto, hanno accesso a informazioni o sistemi critici.
Sebbene presentino caratteristiche differenti e richiedano misure di prevenzione e risposta specifiche, tutte queste minacce hanno in comune la possibilità di produrre conseguenze che vanno oltre la compromissione di un singolo sistema informatico, coinvolgendo processi produttivi, informazioni strategiche, relazioni con clienti e fornitori e continuità dell’attività aziendale.
La protezione dell’organizzazione richiede quindi l’integrazione di tecnologie di difesa, procedure, formazione e piani di incident response.
Incidente cyber: organizzazione, risposta e coordinamento
Quando si verifica un incidente di sicurezza, la tempestività della risposta è fondamentale, ma non può essere affidata all’improvvisazione.
Ogni decisione deve inserirsi in un modello organizzativo definito preventivamente, nel quale sia già stabilito chi deve intervenire, con quali responsabilità, secondo quali procedure e attraverso quali canali di comunicazione.
L’organizzazione deve poter attivare rapidamente l’unità di crisi, raccogliere e gestire le informazioni disponibili, preservare le evidenze digitali e documentare le decisioni prese durante la gestione dell’emergenza.
La crisi richiede il coordinamento di competenze differenti. La cybersecurity può essere chiamata a rilevare, contenere e analizzare l’evento; le aree legali e compliance devono valutarne le implicazioni; il management deve assumere le decisioni necessarie alla continuità dell’attività; le funzioni di security e investigative possono contribuire alla ricostruzione dell’accaduto e all’individuazione di eventuali responsabilità.
La capacità di attivare questa procedura in tempi brevi dipende, in larga misura, dal lavoro organizzativo svolto prima dell’incidente.
Ricostruire l’incidente attraverso le evidenze digitali
Un incidente informatico può assumere rilievo anche sotto il profilo probatorio.
La corretta conservazione delle evidenze digitali è importante sia per ricostruire l’accaduto e accertare eventuali responsabilità, sia per dimostrare, nei confronti dell’Autorità o in sede giudiziaria, che l’organizzazione ha operato con la dovuta diligenza e nel rispetto delle procedure applicabili.
La Digital Forensics svolge un ruolo rilevante attraverso l’acquisizione, la preservazione e l’analisi forense delle informazioni necessarie a comprendere come si è sviluppato l’incidente, supportando le successive valutazioni tecniche, organizzative e legali.
La gestione di un evento cyber non dovrebbe mai limitarsi al solo ripristino dei sistemi. È altrettanto importante individuare le vulnerabilità che hanno favorito l’incidente.
L’analisi post-evento permette di verificare quali elementi del sistema di sicurezza abbiano funzionato e quali, invece, presentino criticità, fornendo indicazioni utili per aggiornare controlli, procedure, formazione e piani di risposta.
Sicurezza integrata: competenze diverse, un’unica strategia
La digitalizzazione dei processi ha avvicinato ambiti aziendali che in passato potevano essere gestiti separatamente. La compromissione di un sistema informatico può avere conseguenze sulla sicurezza industriale; una vulnerabilità organizzativa può facilitare un attacco cyber; un incidente digitale può richiedere competenze investigative, legali e di compliance per ricostruire responsabilità e conseguenze.
Per sicurezza integrata non si intende quindi la semplice sovrapposizione di funzioni differenti, ma la costruzione di connessioni operative tra competenze che, da prospettive diverse, contribuiscono alla protezione dell’organizzazione.
Tecnologia, persone, processi, informazioni e governance devono operare insieme, sia nella prevenzione sia nella gestione dell’incidente e nelle attività successive.
È questa la filosofia di Argo: un approccio multidisciplinare alla sicurezza che integra cybersecurity, security management, risk assessment, investigazioni corporate e compliance, per supportare imprese e organizzazioni nell’individuazione dei rischi, nella gestione di eventi complessi e nella tutela della continuità operativa.
L’intervento di Trevisan a “Cultura di Impresa 2026” ha evidenziato come la tecnologia, pur rimanendo un elemento imprescindibile, sia realmente efficace solo quando è accompagnata da procedure adeguate, persone preparate, competenze trasversali e una governance strutturata.
Lo stesso principio vale per l’intelligenza artificiale, la cui adozione richiede valutazioni dei rischi, formazione, regole di utilizzo e adeguati meccanismi di controllo.
In questa prospettiva, proteggere un’organizzazione significa essere in grado di prevenire un attacco, riconoscerlo, gestirlo, comprenderne le conseguenze e utilizzare quanto emerso dall’incidente per rafforzare nel tempo la capacità di prevenzione e risposta.
Normativa europea di riferimento
Regolamento (UE) 2024/1689 – AI Act
Regolamento (UE) 2024/2847 – Cyber Resilience Act
