Negli ultimi giorni, era sufficiente registrarsi al portale FIFA per accedere a un’ampia gamma di contenuti in streaming, permettendo in teoria anche la trasmissione autonoma di eventi a livello mondiale. Questo episodio, sebbene estremo, è emblematico di una crescente serie di attacchi informatici che minacciano infrastrutture critiche, comprese quelle bancarie, sempre più dipendenti dal digitale. Recentemente, il governatore Panetta ha segnalato un aumento dell’80% degli incidenti informatici tra gli intermediari nel triennio 2023-2025, avvertendo che l’intelligenza artificiale sta modificando la natura e la frequenza degli attacchi. Nella stessa occasione, Messina, CEO di Intesa Sanpaolo, ha sottolineato l’importanza di prestare particolare attenzione ai rischi informatici legati all’IA.
Il problema della sicurezza informatica non è più solo di natura tecnica, ma è diventato una questione di governance. “Esattamente. Le aziende italiane non si sono ancora organizzate di conseguenza”, afferma Giampietro Paraboni, cofondatore ed equity partner di Strategic Management Partners (SMP), la principale società di consulenza manageriale a capitale italiano. A supporto di questa affermazione, una ricerca recentemente conclusa su 80 aziende di medie e grandi dimensioni operanti nei settori manifatturiero, delle utilities, chimico, ICT e telecomunicazioni, è stata condotta mediante interviste strutturate ai Chief Information Security Officer (CISO).
“Più della metà delle aziende ha controlli sporadici sui rischi informatici: il 45% effettua valutazioni solo una volta l’anno e una su dieci non ha nemmeno una frequenza definita”, spiega Paraboni. “In due casi su tre non esistono indicatori chiave di prestazione (KPI) per misurare il livello di sicurezza raggiunto. Le aziende hanno compreso che il rischio esiste, ma non hanno ancora implementato gli strumenti necessari per gestirlo”. Un dato particolarmente preoccupante riguarda la catena di fornitura: “Solo il 12% delle aziende controlla regolarmente la sicurezza dei propri fornitori; il 25% non effettua alcun controllo e il 63% lo fa in modo occasionale”, continua. “Per il sistema bancario, questo è un tema di particolare rilevanza, poiché la normativa Dora richiede già agli istituti di monitorare l’intera filiera dei fornitori ICT. Le aziende che non si adeguano rischiano di trovarsi escluse non solo dal perimetro di sicurezza, ma anche da quello di mercato”.
Un altro aspetto critico riguarda l’intelligenza artificiale. “L’IA aggrava il problema: l’integrazione di modelli e cloud nei processi aziendali aumenta le superfici di attacco. Tuttavia, dalla nostra ricerca emerge che la consapevolezza di questo rischio è ancora insufficiente”, osserva Paraboni. “Le aziende investono principalmente per conformarsi alle normative europee — Nis2, Dora, AI Act — senza trasformare la compliance in uno strumento di governance. Finché rimarrà un mero adempimento, continuerà a essere considerato un costo”.
Paraboni sostiene che sia necessario un cambiamento di paradigma. “Dopo gli anni dedicati alla trasformazione digitale, ci attendono quelli della trasformazione informatica”, afferma. “La sicurezza informatica deve diventare parte integrante della governance aziendale, trasformandosi in sicurezza per il business nelle imprese e sicurezza sociale per la pubblica amministrazione. Chi non compie questo passaggio rischia di scoprire che la trasformazione digitale, priva di governance informatica, è una struttura fragile”. (di Andrea Persili)
