Questo articolo fa parte di una serie di approfondimenti sul tema della sovraesposizione dei dati personali online a cura di Marta Zeroni. Il testo esplora il fenomeno dello sharenting, analizzando i rischi e le implicazioni dell’eccessiva condivisione di informazioni sui minori da parte dei genitori sui social media.

Già nel 2018, in occasione del Safer Internet Day, l’UNICEF riportava come in rete un utente su tre fosse minorenne; nel frattempo, circa 175.000 bambini e ragazzi nel mondo si connettevano a internet per la prima volta (in media, uno ogni mezzo secondo), diventando il gruppo d’età più rappresentato online [1].

Secondo un report di Save The Children del 2023, in Italia il 78,3% di bambini tra gli 11 e i 13 anni utilizza internet tutti i giorni. Dopo la pandemia COVID-19, inoltre, si è registrato un aumento significativo di bambini tra i 6 e i 10 anni che ogni giorno utilizzano lo smartphone [2].

Sharenting: definizione e diffusione del fenomeno

Non è solo per propria scelta – benché di scelta certo non si possa giuridicamente parlare –, tuttavia, che i minori compaiono online. La pratica dei genitori di condividere informazioni (foto, video o dati diversi) riguardanti se stessi e i propri figli – definita sharenting – è sempre più diffusa [3].

I contenuti che coinvolgono i minori generano di regola più engagement rispetto a quelli che non li includono, così i figli degli influencer sono diventati parte integrante delle strategie di marketing e comunicazione della c.d. creator economy [4]: l’esempio italiano paradigmatico è quello arcinoto dei coniugi Lucia Ferragni, i cui follower hanno la possibilità di seguire in tempo reale la crescita e le vicende dei due figli, compresi alcuni momenti estremamente intimi e delicati della loro vita emotiva [5].

Un’influencer meno nota – e tuttavia molto seguita, contando ad oggi 2 milioni di follower su Instagram e altrettanti su YouTube – con l’aiuto del partner ha filmato e condiviso le varie fasi del proprio parto, dal momento della rottura delle acque, alle contrazioni, sino al primissimo allattamento [6]. A sua volta Giulia Cutispolo, nota sui social come “Disperatamentemamma”, ha fatto della condivisione della propria vita familiare accanto ai figli la sua principale attività d’impresa [7].

Baby influencer: il caso estremo dello sharenting

Un discorso a parte andrebbe poi fatto per i baby influencer, forse manifestazione più estrema dello sharenting [8].

In questo caso la rappresentazione dell’immagine del minore online non si limita a rientrare, più o meno incidentalmente, nel piano editoriale dei genitori, bensì ne costituisce l’unico soggetto, come nel caso della famiglia Brunacci Di Vaio: ognuno dei quattro figli ha un proprio profilo Instagram recante “account managed by dad & mom”. Nel complesso, soltanto su Instagram, questi account contano qualche migliaio di post tra foto e video e sono seguiti da centinaia di migliaia di utenti [9].

Nel frattempo, negli Stati Uniti, a soli 4 anni Wren Eleanor è l’intestataria di diversi account gestiti – non senza critiche da parte degli utenti [10] – dalla madre Jacquelyn. Su TikTok Wren ha più di 17 milioni di follower e oltre mille video nei quali la bambina è ritratta in svariate situazioni di vita quotidiana.

Le conseguenze dell’esposizione dei minori online

Alla luce degli esempi brevemente prospettati, i rischi per i minori potrebbero (o dovrebbero) apparire ovvi o perlomeno intuitivi, e tuttavia basterà una rapida ricerca per parole chiave all’interno di qualunque social network per accorgersi che per un gran numero di utenti così non è.

Se, nel 2018, molti dei commenti sotto foto e video del primogenito della famiglia Lucia Ferragni esprimevano critiche e perplessità sull’esposizione al pubblico del bambino, lo stesso non si può dire sia avvenuto tre anni dopo quando hanno iniziato ad essere pubblicati contenuti riguardanti secondogenita [11].

Sensibilità e costume sono cambiati radicalmente, e gli influencer hanno senza dubbio contribuito a dare l’esempio e a normalizzare la percezione da parte del pubblico, parte del quale è sempre più propenso a minimizzare o negare i rischi dello sharenting (c.d. “diniego del danno”) [12].

Sharenting: le dimensioni del fenomeno

Per farsi un’idea della dimensione attuale del fenomeno, basti pensare che la condivisione delle immagini delle ecografie – comprese quelle in 3D, nelle quali risultano già molto ben visibili i lineamenti del neonato –, è diventata una pratica abituale per circa 1 genitore italiano su 10 [13]; ed uno studio del Journal of Pediatrics ha stimato che, ad appena un anno di vita, le foto del bambino online potrebbero già arrivare a 300 [14].

Uno studio sul tema delle ricercatrici Lavoragna e Tartari [15] propone la classificazione del “genitore social” in tre categorie a seconda del rapporto con lo sharenting: 1) l’utente disinibito condivide senza preoccupazione alcuna contenuti sui figli, generalmente anche per costruire un senso della propria identità online; 2) l’utente moderato – sui quali si concentra il loro studio – adotta qualche misura di mitigazione, filtrando i contenuti e schermandoli dietro un account privato ma in definitiva non esimendosi dalla pubblicazione; 3) l’ultima categoria considerata è quella dell’utente che si oppone allo sharenting, evitando quindi la pubblicazione di qualsivoglia contenuto.

Le motivazioni alla base dello sharenting

Ad oggi non è possibile trarre conclusioni certe sulle motivazioni alla base dello sharenting [16], che si presenta come una delle varie manifestazioni fisiologiche delle nuove abitudini social, facilitato ed incoraggiato da una serie di fattori, quali ad esempio l’elevata usabilità delle piattaforme, l’ambivalente laissez faire adottato da queste ultime, la scarsa alfabetizzazione digitale degli utenti e i meccanismi di emulazione e social rewarding [17] che potrebbero spiegare almeno in parte l’adesione virale a determinati trend.

A proposito di trend, sia sufficiente richiamare l’esempio dell’Egg Crack Challenge. Nell’estate del 2023 medici e psicologi statunitensi chiesero pubblicamente ai genitori di smettere di frantumare uova sulle teste dei figli: la tendenza del momento, tra i #ParentsofTikTok [18], prevedeva, per l’appunto, la rottura a sorpresa di un uovo crudo sulla fronte dei figli, per poi pubblicarne il video [19].

Il rischio paventato dai sanitari nel caso di specie era quello di salmonella, ma, com’è evidente, le possibili ripercussioni sui bambini vittime dello “scherzo” non si limitavano ai danni fisici[20]. Il già citato studio del Journal of Pediatrics prospetta infatti per i minori sovraesposti rischi di diversa natura, complessi e non del tutto prevedibili[21].

Digital kidnapping e furto d’identità

Quando Meredith Steele ha testimoniato sui giornali il furto d’identità di cui sono stati vittime i suoi due figli, ma anche lei stessa e il marito, ha parlato di “digital kidnapping”. È stato un amico di famiglia ad avvisarla, dopo essersi imbattuto per caso in un paio di foto della famiglia in rete.

Quando poi Steele ha verificato da sé, si è trovata di fronte all’account di uno sconosciuto che stava utilizzando trenta delle sue fotografie per inscenare una vita fittizia online, avendo peraltro già accumulato qualche migliaio di follower. Le immagini rubate erano state originariamente condivise dalla donna nei suoi profili social[22].

Tanto più i dati, condivisi e ricondivisi, circolano online, quanto più semplice risulterà per i terzi malintenzionati perpetrare il c.d. digital kidnapping. Secondo gli analisti di Barclays Bank, da qui al 2030 potranno verificarsi più di sette milioni di furti d’identità a causa della sistematica sovraesposizione di minori nei social [23].

Il pericolo nascosto dei social network

Infatti con lo sharenting si creano, spesso inconsapevolmente, veri e propri dossier digitali sui propri figli estremamente dettagliati e facili da reperire: un patrimonio informativo inestimabile non solo per truffatori e ladri d’identità ma anche per altre categorie di malintenzionati. Il rischio psicofisico può così diventare molto più tangibile.

Un potenziale adescatore non ha neppure la necessità di adottare particolari tecniche d’ingegneria sociale per raccogliere un gran numero di informazioni riguardanti la sua vittima: abitudini, luoghi più frequentati, attività ed orari, gusti e preferenze, persino modi di dire[24]; tutti questi elementi, correttamente catalogati e sfruttati, aumentano quella che nel linguaggio della cybersecurity chiameremmo “superficie di attacco” e possono consentirgli di avvicinarsi con estrema facilità al minore [25].

Sussiste, inoltre, la concreta possibilità che le immagini dei minori finiscano all’interno dei database di materiale pedopornografico; e questo a prescindere dalla natura delle immagini stesse.

L’autorità indipendente australiana per la salvaguardia dei minori online ha infatti riportato che almeno la metà delle immagini presente nei siti web di image-sharing pedopornografici proviene direttamente dai social network, dove sono state condivise dagli stessi genitori[26].

È evidente come tali foto e video non potessero considerarsi contenuti pedopornografici in re ipsa ma lo siano diventati alla luce del diverso contesto in cui sono stati trasferiti e dei commenti di natura esplicitamente sessuale apposti dagli utenti.

Impatto reputazionale e danni a lungo termine dello Sharenting

Anche dal punto di vista reputazionale, non è difficile immaginare quelle che, in un futuro non troppo lontano, potrebbero essere le ripercussioni di video imbarazzanti, o peggio lesivi della dignità di chi vi è ritratto[27]. In ogni caso, non disponiamo ad oggi di sufficienti informazioni per pronosticare quali potranno essere nel lungo termine i danni morali ed esistenziali derivanti dalla sovraesposizione dei minori.

È indubbio però che nel caso dello sharenting – in particolare nelle sue forme più estreme qui descritte – risulta tradita in primo luogo quella pretesa minima di controllo sul dato sulla quale ci si era interrogati nel capitolo 3.

I genitori, in qualità di titolari della c.d. privacy stewardship [28], dovrebbero gestire l’identità digitale del minore in modo avveduto e nell’interesse del minore stesso, tutelandola da ingerenze di terzi e non mancando di considerare le possibili conseguenze.

Ma la condivisione (o, in altre parole, la diffusione), anche con le migliori intenzioni[29] di estese e dettagliate informazioni riguardanti il figlio equivale di fatto a rinunciare al controllo sui dati personali, non avendo alcun modo di prevedere ed eventualmente arginare quelli che saranno i futuri riutilizzi da parte di terzi, e negando in ogni caso al minore la possibilità futura di auto-determinare efficacemente la propria identità sociale online.

Linee guida per la protezione dei dati dei minori: l’opinione del Garante

Rendendo un’opinione indipendente sul tema, il componente del collegio del Garante Guido Scorza ha affermato che, come regola generale, sarebbe auspicabile che genitori e tutori si astenessero dalla pubblicazione dei dati dei figli online, salvo casi di eccezionale ed effettiva necessità (ad esempio per la ricerca di un minore scomparso) [30].

Un’impostazione tanto netta potrebbe apparire in una certa misura rigida ed irrealistica [31], pur tuttavia risultando, nella sua semplicità, innegabilmente efficace nel preservare le future possibilità di controllo sui dati personali da parte del minore.

Abbiamo esplorato il fenomeno dello sharenting, evidenziando i rischi significativi associati alla condivisione eccessiva di informazioni sui minori online da parte dei genitori. Nel prossimo articolo della serie, affronteremo il tema delle vittime di pornografia non consensuale e revenge porn. Per un’analisi più approfondita di queste tematiche e altre questioni legate alla privacy online, vi invitiamo a scaricare il white paper completo “Sovraesposizione e controllo sui dati personali nell’ecosistema informativo online” a cura di Marta Zeroni.

Note:

[1] Safer Internet Day 2018, una guida sull’uso sicuro del web per i bambini (UNICEF Italia). Ultimo accesso il 5 febbraio 2024.

[2] Infanzia: si abbassa sempre di più l’età in cui si utilizza uno smartphone e il 43% dei bambini tra 6 e 10 anni nel sud e nelle isole lo usa tutti i giorni (Save The Children). Ultimo accesso il 10 febbraio 2024.

[3] BLUM-ROSS A., LIVINGSTONE S., Sharenting: parent blogging and the boundaries of the digital self in Popular Communication, 15, 2, 2017, p. 112.

[4] LUCARELLI S., Mariana di Vaio e i figli di tutti (Il Sottosopra – Chora Media). Ultimo accesso il 10 febbraio 2024; BONANOMI G., TEDx Talks – Sharenting: perché le foto delle mie due figlie non sono online | Gianluca Bonanomi | TEDxLegnano (YouTube). Ultimo accesso l’11 febbraio 2024.

[5] SIGNORELLI A.D., Il Truman Show di casa Ferragnez (Wired Italia). Ultimo accesso l’11 febbraio 2024.

[6] NAZ, LA NASCITA DI DANTE – IL PARTO (YouTube). Ultimo accesso l’11 febbraio 2024.

[7] Disperatamentemamma – Julia Elle (Instagram). Ultimo accesso l’11 febbraio 2024.

[8] RANE Z., The Terrifying Rise of the Child Influencer and the Parents Who Profit (One Zero – Medium). Ultimo accesso l’11 febbraio 2024.

[9] Si rimanda ai soli account dei genitori: MARIANO DI VAIO (Instagram) e Eleonora Brunacci di Vaio (Instagram). Ultimo accesso l’11 febbraio 2024.

[10] DICKSON E.J., A Toddler on TikTok Is Spawning a Massive Mom-Led Movement (Rolling Stone). Ultimo accesso l’11 febbraio 2024.

[11] MELIGRANA E., SCORZA G., La privacy degli ultimi, Rubbettino Editore, 2022, pag. 43.

[12] LAVORGNA A., TARTINI M., La sovraesposizione digitale dei minori. Un approccio multidimensionale al fenomeno dello sharenting, Franco Angeli, 2023, pp. 80-81.

[13] UBBIALI G., Sharenting, i genitori violano il diritto alla privacy dei figli sui social? (Alley Oop – Il Sole 24 Ore). Ultimo accesso il 5 febbraio 2024.

[14] FERRARA P., Online “Sharenting”: The Dangers of Posting Sensitive Information About Children on Social Media in The Journal of Pediatrics, 257, 2023.

[15] LAVORGNA A., TARTINI M., ibidem.

[16] LAVORGNA A., TARTINI M., op. cit, p. 51.

[17] FARERI D. S., DELGADO M. R., The Importance of Social Rewards and Social Networks in the Human Brain in Neuroscientist, 4, 2014, pp. 387-402.

[18] Introducing the #ParentsofTikTok (TikTok). Ultimo accesso il 5 febbraio 2024.

[19] Egg Crack Challenge (Know Your Meme). Ultimo accesso il 5 febbraio 2024.

[20] BISSET V., Doctors to parents: stop smashing egg on your kids’ heads on TikTok (The Washington Post). Ultimo accesso il 5 febbraio 2024.

[21] FERRARA P., op. cit.

[22] Indagini su casi analoghi hanno evidenziato come l’uso improprio e non autorizzato delle altrui foto di famiglia sia in genere posto in essere da adolescenti e giovani donne nel contesto di giochi di ruolo in cui si fingono madri. WILLIAMS A., Digital Kidnapping: Your Kids and Social Media Privacy (Protect Young Eyes). Ultimo accesso il 10 febbraio 2024.

[23] COUGHLAN S., ‘Sharenting’ puts young at risk of online fraud (BBC News). Ultimo accesso il 10 febbraio 2024.

[24] Già nel 2011 l’FBI esortava i genitori alla prudenza, in quanto i dati condivisi potevano rivelare dei veri e propri “pattern of life”: Cyber Alerts for Parents & Kids (FBI). Ultimo accesso il 10 febbraio 2024.

[25] Per un esempio provocatorio sul punto: FLORA M., Ciao Internet con Matteo Flora. 220. Come rapire Martina, 5 anni, ai giardinetti… (YouTube). Ultimo accesso il 10 febbraio 2024.

[26] BATTERSBY L., Millions of social media photos found on child exploitation sharing sites (The Sydney Morning Herald). Ultimo accesso il 10 febbraio 2024.

[27] Come nel caso del figlio dei coniugi Glembin, avvolto “per punizione” nella plastica per alimenti, in lacrime ed evidentemente confuso, mentre i genitori lo filmano e lo scherniscono. Il video è stato poi pubblicato su TikTok. KATELARIS E., I didn’t know what we did to our son was bad until cops knocked at our door (The New York Post). Ultimo accesso il 10 febbraio 2024.

[28] KUMAR R., SCHOENEBECK S., The modern day baby book: Enacting good mothering and stewarding privacy on facebook in CSCW 2015 – Proceedings of the 2015 ACM International Conference on Computer-Supported Cooperative Work and Social Computing, 2015, pp. 1302-1312.

[29] Come evidenziato da Lavorgna e Tartini, l’esercizio dello sharenting da parte dei genitori può essere funzionale, ad esempio alla partecipazione attiva all’interno dei gruppi e comunità di sopporto oppure alla riconfigurazione dell’identità individuale della madre dopo il parto. LAVORGNA A., TARTINI M., op. cit., p. 85-86.

[30] Come evidenziato da Lavorgna e Tartini, l’esercizio dello sharenting da parte dei genitori può essere funzionale, ad esempio alla partecipazione attiva all’interno dei gruppi e comunità di sopporto oppure alla riconfigurazione dell’identità individuale della madre dopo il parto. LAVORGNA A., TARTINI M., op. cit., p. 85-86.

[31] SCORZA G., FLORA M., #Sharenting: tutto quello che dovreste sapere prima di mettere online le foto dei vostri figli… ultimo accesso il 5 febbraio 2024

https://www.ictsecuritymagazine.com/articoli/minori-sharenting/

AISLE has emerged from stealth with a new AI-based cyber reasoning system (CRS). The term CRS originates from DARPA’s Cyber Grand Challenge, held in 2016 and designed for research into systems able to detect, exploit, and patch software vulnerabilities in real time.

Since that Challenge, AI-driven software has become mainstream, and AISLE’s new CRS is described as an “AI-native cyber reasoning system that autonomously identifies, triages and remediates with verification both known and zero-day application vulnerabilities.”

Ondrej Vlcek (CEO and co-founder at AISLE) explains, “AI is reshaping the economics of cybersecurity, but to date, it’s almost entirely in favor of malicious actors – speeding up attacks and driving down the costs of weaponizing vulnerabilities. AISLE flips the advantage back to defenders by solving the hardest problem in security: fast and accurate vulnerability remediation.”

The new company has co-founder pedigree: Vlcek, CEO (former CEO at Avast); Jaya Baloo, COO (former CSO at Rapid7); and Stanislav Fort, chief scientist (former research scientist at DeepMind and Anthropic). The firm’s angel investors include DeepMind’s current chief scientist, Hugging Face’s co-founder and chief science officer, Datadog’s co-founder and CEO, and Microsoft’s CPO for AI experiences.

The need for automated remediation going beyond anomaly detection is clear and becoming more urgent. “In 2024, more than 40,000 new software vulnerabilities were discovered. Each one represents potential exposure [and] even the critical ones take organizations on average 45 days to fix,” explains Vicek in an accompanying blog. Meanwhile, attackers take only five days to exploit a vulnerability. They have adopted and adapted AI for attack faster than defenders have done so for defense – the attackers have not waited to see how AI evolves: they have no company, employees nor shareholders to worry about.

AISLE aims to reverse this differential by automating the complete process of vulnerability remediation. “Our system doesn’t just identify risks – it resolves them autonomously, verifying results against a continuously updated twin of an enterprise’s software stack. This collapses the remediation loop from weeks or months to days or even minutes, while preventing any disruptions and still allowing full human oversight,” says Vicek.

The analysis process finds known and unknown vulnerabilities. In its first weeks of operation, AISLE found more than 100 new vulnerabilities within foundational software, including the Linux kernel, OpenSSL, cURL, and the Apache stack. But its analyzer also goes beyond simple code flaws. It can identify vulnerabilities such as race conditions, business logic flaws, missing authentication and more.

The remediation process automatically fixes the discovered flaws in both first party and third party code – there is no need to wait for third party patches nor any need to ignore them when they arrive. “Remediation means creating the fix (the actual code patch), validating that patch (using our Verifier Agent, that can actually create an on-the-fly docker image with the patch candidate to test it), all the way to pushing the changes to Git,” Vicek told SecurityWeek.

The existing tension between full automation (for speed and the elimination of human error), and human control (keeping a human in the loop ‘just in case…’) is configurable. “Some customers want to stay fully in control and use AISLE just in an assistant/copilot mode, which is fine. Some may prefer more autonomy, which is also supported. The point is that the level at which the human is kept in the loop can be chosen by the customer,” explained Vicek.

“Developers and security professionals can now operate together at machine speed, get free of the backlog burden, and finally move toward a future of self-defending software stacks,” he says. He describes the product as ‘accelerating to zero’ – that is, rapidly achieving a state of zero exploitable zero days.

Related: Beyond the Black Box: Building Trust and Governance in the Age of AI

Related: AI Takes Center Stage at DataTribe’s Cyber Innovation Day

Related: Google DeepMind’s New AI Agent Finds and Fixes Vulnerabilities

Related: Google Patches Gemini AI Hacks Involving Poisoned Logs, Search Results

https://www.securityweek.com/aisle-emerges-from-stealth-with-ai-based-reasoning-system-that-remediates-vulnerabilities-on-the-fly/

Ott 16, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Hacking, In evidenza, Minacce, News, RSS, Tecnologia 0

---

ChatGPT Agent può essere usato per esfiltrare dati: lo ha dimostrato Jeffrey B., ricercatore di sicurezza e autore del blog Catching Phish.

La modalità agentica di ChatGPT permette al chatbot di effettuare ricerche più complesse estendendo il raggio d’azione anche ai servizi collegati, per esempio al calendario o al client email. ChatGPT Agent può essere inoltre usato per richieste più strutturate che richiedono esecuzioni di codice, analisi o filtraggio di contenuti, o per generare documenti.

“Semplicemente è una macchina virtuale che effettua ricerche sul web ed esegue azioni semplici per te” ha spiegato il ricercatore. “Questo può decisamente essere utilizzato per esfiltrare dati“.

Normalmente gli attaccanti esfiltrano dati sfruttando storage cloud come OneDrive, Dropbpox o Amazon S3; per mitigare questo rischio, le organizzazioni mettono in campo contromisure quali restrizioni sugli upload verso servizi cloud non approvati e controlli di rete tramite proxy e filtraggio del traffico. Queste contromisure si rivelano però inefficaci nel caso di ChatGPT, in quanto si ha a che fare con un ambiente virtuale che opera al di fuori delle politiche di monitoraggio aziendali. “Poiché le organizzazioni difficilmente bloccano ChatGPT per il suo uso legittimo per il business, questo vettore d’attacco è più difficile da bloccare“.

Nella PoC condivisa sul blog, Jeffrey B. ha simulato un blocco di rete per filebin.net, un sito di file hosting. Con il sinkholing del dominio, il ricercatore ha dimostrato che non era possibile raggiungere la pagina, quindi l’attaccante (dando per scontato che avesse avuto accesso al sistema) non era in grado effettuare l’upload dei dati raccolti.

Ma entrando nella modalità Agent di ChatGPT, è possibile condividere col chatbot l’archivio dei dati raccolti e chiedergli di caricarlo sul servizio di hosting desiderato. Dopo l’operazione, ChatGPT comunica all’utente il link ai file a cui l’attaccante può accedere in seguito su una sua macchina.

Durante i test, il ricercatore ha anche scoperto che è possibile prendere il controllo dell’ambiente di esecuzione di ChatGPT ed effettuare ricerche sul browser eludendo i controlli di OpenAI. L0attaccante può infatti sfruttare la modalità “takeover” che consente di usare un browser integrato nel chatbot.

Nella sua PoC, Jeffrey B. ha chiesto a ChatGPT di navigare sulla pagina di login di Bank of America e poi ha aperto una nuova finestra nel browser, riuscendo ad accedere a siti web che di solito bloccati dalle organizzazioni. Questo significa che un attaccante potrebbe eventualmente sfruttare questa seconda modalità per accedere a siti di hosting e caricare i file.

Per mitigare il problema le organizzazioni potrebbero implementare dei controlli sui caricamenti dei file su ChatGPT, ma richiederebbe un livello di controllo molto alto che non tutte le aziende riescono ad applicare.

Sarebbe invece compito di OpenAI bloccare il caricamento di file su siti di file hosting e file sharing e impedire all’utente di visitare altri siti oltre a quello richiesto.

---

---

---

https://www.securityinfo.it/2025/10/16/chatgpt-agent-puo-essere-usato-per-esfiltrare-dati/?utm_source=rss&utm_medium=rss&utm_campaign=chatgpt-agent-puo-essere-usato-per-esfiltrare-dati

Le cyber-operazioni israeliane hanno trasformato radicalmente i conflitti moderni, dimostrando che tastiere e codici possono infliggere danni paragonabili alle armi cinetiche. Al cuore di questo arsenale digitale si trova l’Unità 8200, una forza d’élite di intelligence dei segnali che ha orchestrato alcune delle operazioni più sofisticate della storia, dal noto caso di Stuxnet agli attacchi alle infrastrutture critiche iraniane, culminati nella “Guerra dei 12 Giorni” del giugno 2025.

La portata delle cyber-operazioni israeliane è diventata drammaticamente evidente durante il conflitto israelo-iraniano del giugno 2025, documentato da istituzioni e media internazionali. Questo conflitto ha dimostrato come i membri dell’Unità 8200 abbiano raggiunto un’influenza strategica paragonabile alle divisioni militari tradizionali, operando dalla stazione di ascolto di Urim nel deserto del Negev e dal quartier generale a Glilot Junction, a nord di Tel Aviv.

L’evoluzione da Stuxnet alla guerra sistemica delle infrastrutture

Il precedente di Stuxnet: la prima cyberweapon della storia

L’operazione Stuxnet del 2010 ha segnato un momento cruciale nella storia della guerra cibernetica israeliana. Questa operazione congiunta USA-Israele, parte della più ampia iniziativa “Olympic Games”, ha dispiegato malware con un livello di sofisticatezza senza precedenti: 500 kilobyte di codice che utilizzavano quattro exploit zero-day simultaneamente, secondo l’analisi di Kaspersky Lab.

Il worm prendeva di mira specificamente il software Siemens SIMATIC WinCC/Step-7, che controllava i controllori logici programmabili presso la struttura nucleare iraniana di Natanz. Come riportato dall’IEEE Spectrum nel 2025, “l’operazione distrusse circa 1.000 centrifughe” presso la struttura. L’Institute for Science and International Security ha confermato nelle sue analisi che “Stuxnet potrebbe aver distrutto circa 1.000 centrifughe presso l’impianto di arricchimento combustibile di Natanz alla fine del 2009 o all’inizio del 2010”.

Secondo la Stanford University, “è attualmente stimato che il worm Stuxnet abbia distrutto 984 centrifughe per l’arricchimento dell’uranio”, mentre CSO Online riporta che “Stuxnet distrusse quasi un quinto delle centrifughe nucleari dell’Iran”.

Le innovazioni tecniche di Stuxnet andavano oltre la mera interruzione: il malware dimostrò la penetrabilità dell’air-gap attraverso unità USB e utilizzò certificati digitali rubati da RealTek e JMicron per apparire legittimo, ottenendo la distruzione fisica delle centrifughe IR-1.

Come riportato dal Council on Foreign Relations nel documento “Confronting the Cyber Threat“:

Stuxnet fu “il primo software malevolo specificamente progettato per colpire un particolare tipo di sistema di controllo industriale”, che “causò il malfunzionamento delle centrifughe” mentre “il sabotaggio si verificava mentre la direzione dell’impianto osservava una facciata di funzionamento normale”. Il CFR conferma inoltre nel suo Cyber Operations Tracker che Stuxnet rappresenta “il primo caso pubblicamente noto in cui un’operazione cyber ha causato danni fisici al di fuori di un ambiente di test controllato”.

L’evoluzione tattica delle cyber-operazioni israeliane: dagli attacchi mirati alle campagne sistemiche

L’evoluzione da Stuxnet rivela un cambiamento strategico nella dottrina cyber israeliana. Mentre Stuxnet si concentrava su un singolo obiettivo di alto valore con precisione chirurgica, le operazioni successive hanno dimostrato un targeting più ampio delle infrastrutture.

L’attacco dell’aprile 2021 al sistema di distribuzione elettrica di Natanz causò guasti significativi alle cascate di centrifughe, secondo The Washington Post che citava “fonti di intelligence americane”.

L’attacco dell’ottobre 2021 al sistema di distribuzione del carburante iraniano ha rappresentato un’evoluzione significativa nella guerra cibernetica regionale. Rendendo 4.300 stazioni di servizio dell’Iran incapaci di elaborare pagamenti, l’episodio ha mostrato che un attacco informatico può avere conseguenze dirette non solo sulle infrastrutture ma anche sui servizi ai cittadini.

Il gruppo Predatory Sparrow: warfare psicologico digitale

Il gruppo “Predatory Sparrow” (Gonjeshke Darande in persiano) ha rivendicato la responsabilità dell’operazione contro il sistema di carburante iraniano. Come riportato da Ynet News, “circa 4.300 stazioni di servizio – il 70% di tutte le stazioni in Iran – sono state chiuse” durante l’attacco del 2021.

Secondo The Times of Israel, “il gruppo noto come Gonjeshke Darande, o Predatory Sparrow, disse di aver disabilitato «la maggioranza delle pompe di benzina in tutto l’Iran»”.

L’aspetto più innovativo di questi attacchi è stato aver integrato elementi di warfare psicologico: durante l’attacco del 2021, secondo Wikipedia, “gli aggressori presero anche il controllo dei cartelloni digitali per mostrare messaggi critici verso la Guida Suprema dell’Iran”, incluso il messaggio “Khamenei! Dove è il nostro carburante?”, seguito dal numero di telefono personale del leader supremo iraniano.

Il gruppo ha ripetuto attacchi simili nel dicembre 2023, con Iran International che riporta: “l’attacco cibernetico responsabile della paralisi delle stazioni di servizio in tutto l’Iran lunedì è stato rivendicato dal gruppo hacker Gonjeshk-e-Darande o Predatory Sparrow“.

Unità 8200: il motore della supremazia cyber israeliana

Struttura e dimensioni dell’organizzazione

L’Unità 8200 rappresenta molto più di un’unità di intelligence militare: funziona come il crogiolo tecnologico di Israele. Peter Roberts – Direttore delle Scienze Militari presso il Royal United Services Institute – la descrive come “probabilmente la principale agenzia di intelligence tecnica al mondo, alla pari con la NSA in tutto tranne che nelle dimensioni”.

This is Beirut riporta che:

“secondo vari esperti, il personale dell’Unità 8200 varia da 5.000 a 10.000 membri, con circa la metà attiva in qualsiasi momento, rappresentando quasi l’80% della forza lavoro totale di Aman”.

La struttura organizzativa dell’unità riflette la sua duplice natura militare e civile. Formalmente designata come Unità Nazionale SIGINT Israeliana (ISNU), opera sotto la Direzione dell’Intelligence Militare (Aman). Come riportato dal sito ufficiale delle IDF, “l’Unità 8200 è la principale unità di raccolta informazioni della Direzione dell’Intelligence Militare”.

Capacità operative e infrastrutture

Secondo uno studio del 2019 dell’ETH Zurich, “l’Unità 8200 ha dimostrato capacità avanzate nell’intelligence dei segnali e nelle operazioni cyber”. Le sue sotto-unità includono l’Unità Hatzav per la raccolta di intelligence open-source, l’Unità 81 per lo sviluppo di tecnologie classificate e Gedasim per la trasmissione in tempo reale di informazioni dal campo di battaglia.

Come riportato da Le Monde diplomatique nel 2010:

l’unità “gestisce una grande base SIGINT nel Negev, una delle più grandi basi di ascolto al mondo, capace di monitorare chiamate telefoniche, email e altre comunicazioni, in tutto il Medio Oriente, Europa, Asia e Africa”.

L’unità mantiene anche “postazioni di ascolto coperte nelle ambasciate israeliane all’estero, intercetta cavi sottomarini, mantiene unità di ascolto coperte nei territori palestinesi e ha jet Gulfstream equipaggiati con apparecchiature di sorveglianza elettronica”.

Sistema di reclutamento e formazione

Il reclutamento inizia durante le scuole superiori, attraverso programmi specializzati come “Magshimim”, che insegna ai giovani svantaggiati programmazione in Python e C++, reverse engineering e crittografia. Il processo di selezione è estremamente competitivo, richiedendo prestazioni nel 89° percentile nei test psicometrici, secondo fonti militari israeliane documentate da Darknet Diaries.

Le reclute selezionate subiscono un addestramento intensivo di sei mesi, con giornate di 12/18 ore, come riportato da Le Temps in un articolo del 2017 che citava un ex membro dell’unità. L’addestramento enfatizza concetti come “chutzpah” (audacia) e “rosh gadol” (pensiero strategico), incoraggiando le reclute a mettere in discussione l’autorità e pensare creativamente.

Come spiegato da Darknet Diaries, “nel militare americano non è una buona idea sfidare i tuoi leader: ma nell’ambiente militare israeliano, i soldati con rosh gadol sono incoraggiati a sfidare i loro leader”. Questa filosofia ha portato molti ex membri dell’Unità 8200 a diventare fondatori di aziende tecnologiche al termine del servizio militare.

Impatto sull’industria tecnologica globale

La rete di ex membri dell’unità ha fondamentalmente plasmato i mercati globali della cybersicurezza. Ex membri dell’Unità 8200 hanno fondato Check Point Software (capitalizzazione di mercato di 16 miliardi di dollari), Palo Alto Networks, CyberArk e Wiz, che Google ha acquisito per 32 miliardi di dollari nel 2025.

Anche il controverso NSO Group – creatore dello spyware Pegasus – è stato fondato da veterani dell’Unità 8200. Secondo l’8200 Alumni Association, citata da Calcalist Tech, l’associazione “ha lanciato un programma globale per supportare le startup israeliane”, evidenziando l’impatto economico dell’unità nel settore tecnologico nazionale.

Questa «8200 Mafia», come viene spesso chiamata, ha creato oltre 300 aziende attraverso programmi acceleratori per alunni, con uscite totali che superano i 4,5 miliardi di dollari, dimostrando come in Israele la formazione di intelligence militare si traduca in innovazione commerciale.

Operazioni documentate e casi di studio

L’unità avrebbe dimostrato le sue capacità in operazioni documentate. Come affermato dal sito ufficiale delle IDF nel 2018, “l’Unità 8200 ha sventato un attacco ISIS” nel febbraio dello stesso anno, intercettando messaggi e prevenendo un attacco terroristico in un paese occidentale non meglio specificato.

L’unità “ha inviato i messaggi al paese occidentale dove era pianificato l’attacco, e con quelle informazioni, le autorità hanno arrestato gli attori e salvato innumerevoli civili”.

Un ex comandante dell’Unità 8200, Yair Cohen, ha rivelato il ruolo centrale dell’unità nell’intelligence israeliana: “Il 90% del materiale di intelligence in Israele proviene dall’8200… non c’è un’operazione importante, del Mossad o di qualsiasi agenzia di sicurezza dell’intelligence, in cui l’8200 non sia coinvolta”.

Durante il conflitto del giugno 2025, secondo The Times of Israel, “le esplosioni dei pager di Hezbollah hanno messo i riflettori sull’Unità 8200 di guerra cibernetica di Israele”, con numerosi esperti che attribuiscono le sofisticate cyber-operazioni israeliane alle capacità avanzate dell’unità.

Le dinamiche regionali della guerra cibernetica ridisegnano la sicurezza mediorientale

L’evoluzione delle capacità cyber iraniane

Il conflitto tra Iran e Israele ha catalizzato una corsa regionale agli armamenti cyber, documentata dagli analisti internazionali. Le capacità cyber iraniane si sono evolute significativamente da quando hanno subito l’attacco Stuxnet, con gruppi Advanced Persistent Threat (APT) come APT33 (Elfin), APT34 (OilRig) e APT35 (Charming Kitten) che conducono operazioni altamente complesse, secondo le analisi di Google Cloud e Microsoft Security.

Questi gruppi – collegati al Ministero dell’Intelligence e della Sicurezza iraniano (MOIS) e al Corpo delle Guardie Rivoluzionarie Islamiche (IRGC) – impiegherebbero ingegneria sociale potenziata dall’IA, tecniche di compromissione degli account cloud e sviluppo di malware personalizzato.

Escalation degli attacchi nella regione

Secondo Iran International, “nel 2023 Israele ha visto aumentare del 43% gli attacchi cyber dall’Iran e Hezbollah”, con 3.380 incidenti documentati inclusi 800 ritenuti significativi dai ricercatori di sicurezza.

In base ai dati citati da Positive Technologies Security, l’Arabia Saudita è diventata il paese più colpito nella regione, risultando destinataria di circa il 40% degli incidenti cyber, con costi medi di 8,75 milioni di dollari per incidente: quasi il doppio della media globale.

La risposta del Regno include l’implementazione dei Controlli Essenziali di Cybersicurezza (ECC) e, secondo analisti locali, la cooperazione «dietro le quinte» con Israele sulla difesa cyber, nonostante l’assenza di relazioni diplomatiche formali.

Gli Emirati Arabi Uniti hanno sviluppato partnership simili attraverso la dimensione cyber degli Accordi di Abramo, ospitando importanti conferenze di cybersicurezza e collaborando su sistemi di difesa basati sull’IA.

Vulnerabilità delle infrastrutture critiche

Le dinamiche regionali hanno creato nuove vulnerabilità. Lo Stretto di Hormuz, attraverso il quale passa il 25% del commercio petrolifero marittimo globale, rappresenta un punto critico vulnerabile alla disrupzione cyber. Diversi servizi di intelligence hanno documentato infiltrazioni iraniane dei fornitori di telecomunicazioni negli Stati del Golfo.

Inoltre, lo sviluppo dell’infrastruttura 5G crea superfici di attacco aggiuntive che gli attori statali stanno attivamente esplorando. Il World Economic Forum ha evidenziato come “gli stati del GCC stiano rafforzando la loro resilienza di cybersicurezza nell’era digitale” in risposta a queste crescenti minacce.

Il conflitto del giugno 2025: integrazione cyber-cinetica

Operazione Rising Lion: un nuovo paradigma di guerra

Il conflitto del giugno 2025 ha rappresentato un punto di svolta nella guerra moderna. Il conflitto, anche noto come Guerra dei Dodici Giorni (13 giugno – 24 giugno 2025), iniziò con attacchi a sorpresa israeliani su strutture militari e nucleari chiave in Iran.

Come documentato dalla CNN, “Israele ha colpito il cuore del complesso nucleare, missilistico e militare iraniano” nell’operazione “Rising Lion”. Il Primo Ministro Netanyahu ha annunciato che “Israele ha lanciato l’operazione Rising Lion, un’operazione militare mirata per far arretrare la minaccia iraniana alla sopravvivenza stessa di Israele”.

Il conflitto ha dimostrato l’integrazione senza precedenti di cyber-operazioni israeliane e militari convenzionali. Secondo l’analisi del Center for Strategic and International Studies, “l’operazione israeliana denominata Rising Lion si è sviluppata in due atti distinti ma mutuamente rinforzanti”, combinando “sciami di piccoli droni esplosivi che i commando israeliani avevano posizionato in Iran mesi prima” con “oltre 200 aerei da combattimento israeliani”.

Analisi tattica e strategica

Secondo l’US Naval Institute Proceedings, “gli attacchi iniziali sembravano comprendere due componenti principali: attacchi tradizionali a lungo raggio multi-aereo e attacchi drone a corto raggio”, con “più di 200 aerei da combattimento che trasportavano una varietà di armi” contro “oltre 100 obiettivi nucleari e militari in tutto l’Iran, inclusi leader militari”.

Il Royal United Services Institute (RUSI) ha ricostruito che “l’Operazione Rising Lion ha dimostrato la vasta superiorità convenzionale che Israele gode sull’Iran, evidenziando l’importanza di intelligence, sorpresa e difesa aerea e missilistica efficaci”.

L’operazione è stata progettata per durare una settimana e ha coinvolto “oltre 200 aerei da combattimento che colpiscono oltre cento obiettivi” nelle prime 24 ore.

Nell’analisi dell’Hudson Institute, “il 13 giugno, la Repubblica Islamica dell’Iran ha sperimentato un collasso strategico che ha alterato l’equilibrio di potere in Medio Oriente” attraverso l’eliminazione di “personale militare e scientifico iraniano chiave” nonché il degrado delle “infrastrutture missilistiche del paese e i sistemi di allarme precoce”.

Componenti cyber dell’operazione

L’aspetto più innovativo dell’operazione Rising Lion è stata l’integrazione di operazioni cyber sofisticate. Secondo il Center for Strategic and International Studies (CSIS), “i video pubblicati dal governo israeliano indicano una combinazione di intelligence e forze speciali israeliane che hanno eseguito raid DEAD simili all’Operazione Spiderweb dell’Ucraina”.

Il personale israeliano, “che secondo quanto riferito operava all’interno dell’Iran da mesi, ha eseguito attacchi tattici con droni sui siti di difesa aerea e missili balistici iraniani”.

Come riportato dall’Atlantic Council, il conflitto ha rivelato che “mentre le operazioni cyber forniscono vantaggi tattici e effetti psicologici, rimangono più efficaci quando integrate con operazioni cinetiche piuttosto che come strumenti strategici autonomi”.

La risposta internazionale

Come riportato da Al Jazeera, “un cessate il fuoco mediato da Trump è in vigore per ora” dopo che “Israele e Iran sono passati da una guerra in escalation a un fragile cessate il fuoco” il 24 giugno 2025.

Il conflitto ha coinvolto direttamente gli Stati Uniti, con il Presidente Trump che avrebbe “ordinato supporto a Israele” e bombardato “tre siti nucleari iraniani” il 22 giugno.

In occasione del vertice 2025 in Canada, i leader del G7 hanno emesso una dichiarazione che recitava:

“Affermiamo che Israele ha il diritto di difendersi”, mentre un sondaggio degli elettori di Trump ha mostrato che “il 53% ha detto che gli Stati Uniti non dovrebbero essere coinvolti nel conflitto Iran-Israele”.

Implicazioni internazionali: il futuro della guerra cibernetica

Sfide normative internazionali

Il conflitto cyber israeliano-iraniano ha profonde implicazioni per la sicurezza internazionale. Secondo un documento dello United Nations Office for Disarmament Affairs (UNODA), le 11 norme volontarie delle Nazioni Unite per il comportamento responsabile degli stati nel cyberspazio mancano di meccanismi di applicazione efficaci.

Queste includono la protezione delle infrastrutture critiche, la cooperazione nelle indagini criminali e il rispetto dei diritti umani nel cyberspazio.

Come analizzato dal Center for Strategic and International Studies, “creare responsabilità per le norme cyber globali” rimane una sfida significativa per la comunità internazionale. Il Manuale di Tallinn fornisce linee guida sulle operazioni cyber sotto il diritto internazionale, ma i requisiti di attribuzione e le soglie per l’attacco armato rimangono contestati.

Stuxnet ha stabilito un precedente per operazioni cyber sotto la soglia del conflitto armato tradizionale: tuttavia l’integrazione di operazioni cyber nella guerra cinetica, osservata nel corso del 2025, rappresenta un’evoluzione verso il trattamento del cyberspazio come un dominio convenzionale di guerra.

Sviluppi tecnologici e minacce emergenti

La sofisticazione tecnica continua ad avanzare rapidamente. L’integrazione dell’intelligenza artificiale migliora sia le capacità offensive che difensive, come documentato nei report di Google Cloud sulla “minaccia dell’uso improprio dell’IA generativa”.

Contemporaneamente, gli sviluppi del quantum computing minacciano gli standard di crittografia attuali, potenzialmente rivoluzionando la guerra cibernetica entro il prossimo decennio.

La proliferazione di gruppi hacktivist crea sfide di attribuzione e rischi di escalation dei conflitti. Durante il conflitto del 2025, secondo Flashpoint, sono stati “tracciati oltre 170 gruppi” che operavano su entrambi i lati, creando “sfide di attribuzione e rischi di escalation poiché gli attori statali utilizzano sempre più questi gruppi per una negazione plausibile”.

Convergenza di minacce statali e criminali

La convergenza tra attori statali e reti cybercriminali crea nuove minacce ibride inasprite da pressioni economiche e sanzioni. La cooperazione iraniana con Russia e Cina sulle capacità cyber, documentata dai servizi di intelligence occidentali, minaccia di accelerare lo sviluppo delle capacità.

La frammentazione nelle capacità cyber a livello regionale riduce le opportunità di cooperazione proprio quando la difesa collettiva diventa più critica.

L’Unione Europea ha sviluppato il Cyber Diplomacy Toolbox, che fornisce quadri per sanzioni e risposte diplomatiche; ma lotta con le sfide di attribuzione e la velocità delle operazioni cyber.

Implicazioni strategiche e sfide operative

Lezioni apprese e limitazioni

Le recenti cyber-operazioni israeliane rivelano una strategia sofisticata che include obiettivi multipli: degradare le capacità nucleari iraniane, imporre costi economici, creare pressione politica interna e dimostrare capacità deterrenti.

Il targeting di precisione delle infrastrutture critiche, evitando vittime civili di massa, riflette una gestione dell’escalation progettata per ottenere effetti strategici senza scatenare una guerra generalizzata.

Tuttavia, persistono sfide significative. L’attacco di Hamas del 7 ottobre 2023 ha rappresentato un importante fallimento dell’intelligence israeliana, nonostante le sofisticate capacità dell’Unità 8200.

Come riportato da The New York Times nel novembre 2023:

“un analista veterano dell’Unità 8200 aveva avvertito a luglio che Hamas si stava preparando per un attacco transfrontaliero” ma “le preoccupazioni dell’analista furono respinte dalla leadership militare senior come totalmente immaginarie”.

Secondo l’Institute for Defense Analyses, questo evento ha evidenziato “i fallimenti dell’intelligence israeliana prima dell’attacco di Hamas del 7 ottobre”, nonché “i limiti dell’intelligence tecnica quando si affrontano avversari determinati che impiegano rigorose pratiche di sicurezza operativa”.

Controversie etiche e accountability

Anche a livello etico non mancano zone d’ombra e preoccupazioni, condivise persino dagli stessi membri dell’intelligence israeliana: nel 2014, 43 veterani dell’Unità 8200 hanno pubblicato una lettera condannando le operazioni di sorveglianza sui civili palestinesi e rifiutandosi di partecipare alle operazioni nei territori occupati, sostenendo che tali attività violassero i diritti umani fondamentali.

Amnesty International ha evidenziato l’uso del sistema di riconoscimento facciale Red Wolf per limitare la libertà di movimento dei palestinesi. L’organizzazione descrive “Red Wolf come un sistema di riconoscimento facciale utilizzato dalle forze armate israeliane ai checkpoint nella città di Hebron, nella Cisgiordania occupata” che “utilizza dati biometrici per determinare se un individuo può passare attraverso il checkpoint“.

Prospettive future e corsa agli armamenti

La corsa agli armamenti cyber nella regione non mostra segni di rallentamento. L’Iran ha sviluppato capacità significative attraverso gruppi come APT33, APT34 e APT35, mentre mantiene una rete di proxy regionali che includono Hezbollah in Libano e gli Houthi in Yemen.

La cooperazione cyber di Teheran con Mosca e Pechino, secondo i servizi di intelligence occidentali, include condivisione di strumenti, tecniche e informazioni che accelera lo sviluppo delle capacità di tutti e tre i paesi.

Infine, la convergenza di attori statali con reti cybercriminali crea nuove minacce ibride, dove le sanzioni economiche spingono gli Stati a utilizzare anche metodi criminali per generare entrate.

Conclusioni: la nuova realtà del conflitto cyber persistente

L’eredità di trasformazione dell’Unità 8200

Le cyber-operazioni israeliane e le attività dell’Unità 8200 hanno trasformato irreversibilmente la guerra del XXI secolo: l’evoluzione avvenuta dall’attacco chirurgico di Stuxnet alle campagne integrate di guerra cyber-cinetica del 2025 mostra la maturazione delle operazioni cyber da strumenti sperimentali a componenti centrali della strategia militare contemporanea.

Il duplice ruolo dell’Unità 8200 – da un lato centro di intelligence militare, dall’altro incubatore tecnologico – ha creato un ecosistema dove gli imperativi di sicurezza nazionale guidano l’innovazione commerciale.

Questo modello ha prodotto leader globali della cybersicurezza come Check Point, Palo Alto Networks e CyberArk, attraverso continue innovazioni nelle capacità offensive e difensive.

Precedenti stabiliti e implicazioni strategiche

Durante il conflitto tra Israele e Iran del giugno 2025, l’integrazione delle cyber-operazioni israeliane con l’azione militare convenzionale ha stabilito nuovi precedenti per i conflitti futuri.

Come documentato dal Center for Strategic and International Studies nell’analisi post-conflitto, il successo dell’Operazione Rising Lion ha dimostrato che “la guerra moderna combina scala e precisione” attraverso “navigazione autonoma, progetti attribile a basso costo e reti di intelligence cross-domain” che permettono ai pianificatori di “coreografare centinaia di punti di mira su distanze massive”.

In altre parole, mentre le operazioni cyber da sole raramente raggiungono risultati strategici decisivi, la loro sincronizzazione con le operazioni cinetiche moltiplica significativamente l’efficacia del campo di battaglia.

Infine, l’impatto psicologico di simili operazioni – dimostrare la capacità di penetrare i sistemi più protetti degli avversari – potrebbe rivelarsi tanto prezioso quanto gli effetti operativi.

Sfide per il futuro e implicazioni globali

Tuttavia, questa nuova realtà comporta implicazioni preoccupanti per la stabilità internazionale. La normalizzazione degli attacchi alle infrastrutture civili, l’erosione dei tradizionali meccanismi di controllo delle escalation e la difficoltà di attribuzione delle responsabilità nel cyberspazio creano un’instabilità persistente.

L’assenza di meccanismi di governance internazionale efficaci, come sottolineato dalle analisi delle Nazioni Unite, significa che questa «guerra ombra» continuerà probabilmente a intensificarsi.

Come osservato da War on the Rocks circa le lezioni del conflitto tra Israele e Iran, “il dominio nelle capacità cyber e di intelligence può fornire vantaggi temporanei ma non può sostituire strategie politiche sostenibili per gestire conflitti regionali”. Le operazioni cyber creano infatti nuove vulnerabilità e dipendenze, che possono essere sfruttate da avversari determinati.

L’era del campo di battaglia ibrido

Man mano che l’IA e il quantum computing rivoluzionano le capacità cyber, le innovazioni pionieristiche dell’Unità 8200, testate nel conflitto israelo-iraniano, plasmeranno le dinamiche di sicurezza globale per i decenni a venire. La capacità di condurre operazioni simultanee nel dominio fisico e digitale è diventata un moltiplicatore di forza critico.

Comprendere le cyber-operazioni israeliane – in termini di sofisticazione tecnica, strategia e limitazioni – diventa essenziale per i decisori politici, i professionisti della sicurezza e i cittadini che navigano in un’era dove il campo di battaglia digitale è diventato tanto importante quanto quello fisico.

Il conflitto del giugno 2025 ha dimostrato definitivamente che il campo di battaglia digitale non è una frontiera teorica, ma una realtà operativa consolidata. Gli architetti della guerra cibernetica dell’Unità 8200 hanno stabilito un modello che combina innovazione strategica e integrazione operativa, creando capacità che ridefiniscono i parametri del potere nazionale nel XXI secolo.

Mentre entriamo in un’era di conflitto ibrido persistente – dove le linee tra pace e guerra, civile e militare, fisico e digitale continuano a sfumare – l’esperienza dell’Unità 8200 può aiutarci a comprendere come le nazioni tecnologicamente avanzate modelleranno il futuro della sicurezza globale.

Vuoi rimanere aggiornato sulle ultime evoluzioni delle cyber-operazioni israeliane e sulla sicurezza informatica in Medio Oriente? Iscriviti alla nostra newsletter per ricevere analisi approfondite, report esclusivi e aggiornamenti in tempo reale sul conflitto cyber israelo-iraniano.

Industrial Cybersecurity

https://www.ictsecuritymagazine.com/articoli/cyber-operazioni-israeliane/

https://www.securitymagazine.com/blogs/14-security-blog/post/101961-dont-wait-advocate-k-12-cybersecurity-needs-our-help

Le metodologie impiegate nelle Cyber Operations di ambito militare, quando applicate al contesto civile, introducono una nuova consapevolezza sulla natura socio-tecnica della sicurezza, perché, come noto, la sicurezza informatica non è mai solo una questione tecnologica anche se ben “assemblata”, ma riguarda l’interazione profonda e complessa tra persone, processi decisionali e sistemi di incentivi.

Nel 2025 il concetto di perimetro nella cybersecurity non esiste più. Le difese tradizionali presuppongono confini di rete stabili ma la realtà è fatta di SaaS, accessi esterni, supply chain e workforce distribuite. L’ipotesi operativa sana non è “teniamo fuori chi non deve entrare”, bensì “consideriamo compromessa qualsiasi credenziale prima o poi” e progettiamo controlli che rendano breve e rumoroso il cammino dell’attaccante: rotazione automatica dei segreti, sessioni corte e revocabili, continuità del controllo post autenticazione, segnali di rischio che incidono in tempo reale sulle autorizzazioni.

In questo scenario, la qualità dell’asset inventory e della mappatura delle dipendenze non è burocrazia, è il fondamento della manovrabilità in stato di crisi, non puoi contenere ciò che non sai di avere, non puoi ripristinare ciò di cui non conosci le interdipendenze.

Le minacce si muovono lungo la kill chain con una velocità brutale, impietosa ed il “dwell time” (che indica quanto a lungo un attaccante rimane inosservato nell’ambiente) si misura in ore, non in mesi. In questo contesto, difendersi con controlli statici o con un SOC puramente reattivo è come presidiare un castello senza mura… è inutile. Serve una sala di comando “always-on” che unisca telemetria e decisioni, persone e automazione.

Cosa sono le Cyber Operations e perché sono strategiche per le organizzazioni

Questo, in sintesi, sono le Cyber Operations. Parliamo di una metodologia per gestire un processo organizzativo continuo che integra SIEM/XDR ed EDR, threat intelligence e threat hunting, playbook orchestrati via SOAR, vulnerability & patch management, incident response strutturata e governance conforme ad es. a NIS2, ISO 27001, GDPR, etc..

L’obiettivo non è “spegnere incendi”, ma ridurre l’ MTTD (Mean Time To Detect) e l’ MTTR (Mean Time To Respond), prevenire il movimento laterale, garantire business continuity e trasformare la sicurezza in una leva di resilienza e fiducia per clienti e partner.

Le Cyber Operations vanno oltre il “monitorare e rispondere”: collegano KPI (Key Performance Indicators) di sicurezza agli obiettivi aziendali, allineano l’IT, la parte legale, la compliance, la comunicazione e rendono misurabile ogni decisione, dall’isolamento di un endpoint al ripristino di un servizio critico. Uno degli aspetti fondamentali è capire che il punto di controllo non è dove si trova il centro operativo, ma come lo si governa, con processi chiari, automazione intelligente e miglioramento continuo. Perché oggi non basta difendersi, bisogna “operare” la sicurezza. E la risposta operativa alle odierne minacce digitali, continue, mirate e sempre in evoluzione, non possono essere strumenti “a isola”, non bastano più, serve un approccio proattivo, coordinato e misurabile.

Le Cyber Operations, in ambito civile, sono l’insieme integrato di attività, processi, tecnologie e competenze dedicati alla gestione quotidiana della sicurezza, con l’obiettivo di prevenire, rilevare e rispondere agli incidenti, minimizzando l’impatto sul business.

Le Cyber Operations orchestrano le risorse attraverso i processi e le tecnologie con un presidio operativo continuo, sono sempre più essenziali per le organizzazioni, siano esse imprese o enti governativi, per diversi aspetti:

• Evoluzione delle minacce: serve visibilità in tempo reale e detection engineering continuo.
• Protezione del valore: gli impatti toccano ricavi, reputazione, supply chain e compliance, non solo l’IT.
• Conformità normativa: framework e regolamenti (es. GDPR, NIS2) richiedono processi strutturati, tracciabilità e accountability.
• Riduzione di costi e tempi: MTTD/MTTR più bassi limitano il danno e i costi di recovery.
• Vantaggio competitivo: sicurezza dimostrabile rafforza la fiducia di clienti, partner e investitori.

Il ruolo del Security Operations Center (SOC) nelle Cyber Operations

Le cyber operations si articolano quindi su quattro componenti chiave strettamente integrate: persone, processi, tecnologie e risk governance. Il modello operativo che meglio incarna le esigenze delle cyber operations è senza dubbio il Security Operations Center (SOC), in quanto struttura organizzativa e tecnologica dedicata alla rilevazione, analisi e risposta agli incidenti di sicurezza in modo continuo e coordinato. Il SOC può assumere diverse forme, ciascuna adatta a contesti e livelli di maturità differenti: un SOC interno è indicato per realtà complesse, con requisiti stringenti di controllo, forte disponibilità di risorse e capacità di garantire copertura h24, mediante un investimento solido in personale specializzato, piattaforme avanzate ed una governance strutturata.

Al contrario, un SOC esterno, come i modelli gestiti o MDR (Managed Detection and Response), risponde bene alle esigenze di piccole e medie imprese o di organizzazioni che cercano un’adozione rapida, costi certi e una gestione delegata, mantenendo tuttavia trasparenza operativa attraverso SLA definiti e runbook condivisi.

Ai fini di una maggiore comprensione di questo articolo, specifico che nelle operazioni cyber (come la cybersecurity e la risposta agli incidenti), i termini “runbook” e “playbook” si riferiscono a documenti o guide operative per gestire processi e incidenti. Sono spesso usati in modo intercambiabile ma presentano alcune differenze fondamentali che vale la pena specificare:

I Runbook sono una guida lineare e dettagliata, simile a una checklist passo-passo, per eseguire compiti specifici e tecnici. È più tattico, spesso automatizzato per ridurre errori umani, e si concentra su procedure operative routinarie, come il ripristino di un sistema o l’esecuzione di un controllo di sicurezza.

I Playbook sono un approccio strategico e adattabile per gestire processi complessi o imprevedibili, come la risposta a incidenti di sicurezza. Include informazioni contestuali, obiettivi, diagrammi organizzativi e può incorporare più runbook per compiti specifici. Ad esempio, un playbook per un attacco ransomware delineerebbe la strategia complessiva, inclusi ruoli del team e le decisioni ad alto livello.

A metà strada si colloca il modello ibrido, sempre più diffuso, che permette di mantenere internamente la governance e la gestione degli incidenti critici, affidando ad un provider specializzato la componente operativa e la sorveglianza continua, con il vantaggio di una maggiore flessibilità e scalabilità.

Qualunque sia il modello scelto, è fondamentale adottare un approccio graduale e pragmatico all’implementazione del SOC. Si parte con un assessment che mappa gli asset critici, identifica i principali scenari di minaccia e valuta i gap nei controlli, per poi focalizzarsi su un set iniziale di use case ad alto impatto (come phishing, ransomware, abusi di privilegi o esfiltrazioni di dati). L’implementazione operativa comincia poi con la definizione dei playbook, l’integrazione progressiva di capacità di automazione tramite piattaforme SOAR, l’allineamento delle attività operative ai dati di Cyber Threat Intelligence rilevanti per il settore specifico.

È essenziale concepire il SOC come una catena del valore, in cui l’adozione delle metodologie delle cyber operations amplifica l’efficacia e moltiplica l’efficienza complessiva. Dal segnale grezzo alla decisione e all’azione, chiedendosi ad ogni passaggio dove si perde energia, dove si generano attriti e dove una piccola automazione o una scelta di design può restituire velocità senza scaricare complessità a valle.

Il SOC non deve essere visto come un privilegio riservato a grandi aziende, ma come un modello operativo accessibile a tutti, scalabile per fasi e adattabile al contesto: con una visione chiara, priorità definite e un ciclo continuo di miglioramento, anche realtà meno strutturate possono costruire nel tempo un presidio di sicurezza efficace e sostenibile.

Implementare un SOC efficace: persone, processi, tecnologie e governance

Le persone costituiscono il cuore operativo delle cyber operations di un SOC, comprendono analisti di primo, secondo e terzo livello (L1–L3), incident responder, threat hunter, detection engineer e analisti di Cyber Threat Intelligence (CTI), tutti organizzati secondo una turnazione continua per garantire copertura h24 e sottoposti ad un percorso strutturato di formazione continua, che include certificazioni, simulazioni realistiche e aggiornamenti sulle minacce emergenti.

Sul piano dei processi, l’operatività è guidata da playbook e da runbook dettagliati, focalizzati sulle principali use case come phishing, ransomware, compromissioni identitarie e data exfiltration. A questi si affiancano procedure consolidate per la gestione delle vulnerabilità, del change management e del crisis management, assicurando una risposta coordinata, tempestiva ed efficace agli incidenti di sicurezza.

L’ecosistema tecnologico è composto da strumenti avanzati e integrati: SIEM o piattaforme XDR per la raccolta, normalizzazione e correlazione degli eventi; EDR sugli endpoint per monitoraggio e contenimento delle minacce; NDR per la visibilità sulla rete e l’individuazione dei movimenti laterali; e soluzioni SOAR per l’automazione dei flussi operativi e l’orchestrazione delle risposte. Completano l’infrastruttura gli scanner di vulnerabilità, i sistemi di gestione dei log e piattaforme di ticketing e segnalazione integrate, che consentono una tracciabilità completa delle attività e una risposta tempestiva e documentata.

La dimensione della governance e gestione del rischio assicura infine l’allineamento del modello operativo ai principali framework internazionali di riferimento, come il NIST Cybersecurity Framework e la ISO/IEC 27001, e le compliance normative come la NIS2, GDPR, etc… Attraverso la definizione di un risk register aggiornato (un documento centrale e dinamico che cataloga tutti i rischi identificati), il monitoraggio continuo tramite KPI e KRI ed un sistema strutturato di reporting verso il management ed il board, viene garantita una supervisione strategica ed una continua evoluzione della postura di sicurezza.

Misurare l’efficacia: KPI essenziali

Misurare l’efficacia delle cyber operations richiede un set di KPI essenziali che traducano attività tecniche in indicatori gestionali e azionabili: MTTD (Mean Time To Detect) e MTTR (Mean Time To Respond) forniscono la prima fotografia della velocità con cui il SOC individua e mitiga le minacce, mentre il “dwell time” rappresenta un indicatore diretto dell’esposizione residua; la copertura e la fidelity delle detection, insieme al tasso di falsi positivi, misurano l’efficacia e l’efficienza dell’insieme delle regole e sensori, una bassa fidelity o un alto tasso di falsi positivi consumano risorse e rallentano i processi di triage, rendendo necessario calibrare soglie, arricchimenti CTI e logiche di correlazione; le metriche di patch & exposure (tempo medio di remediation, percentuale di asset coperti, e tempo di esposizione noto) traducono lo stato dell’asset management e della riduzione della superficie d’attacco in numeri concreti utilizzabili per priorizzare interventi; infine, drill & readiness (risultati delle esercitazioni, tempi di esecuzione dei playbook e grado di aderenza ai runbook) valutano la preparazione operativa e la capacità di rispettare procedure in scenari reali.

Questi KPI vanno segmentati per criticità degli asset, normalizzati su baseline storiche e presentati con trend e SLO/SLA per guidare decisioni di investimento, continui miglioramenti e reportistica verso il management, trasformando dati operativi in leva per ridurre rischio e tempi di esposizione.

Ma (come in tutte le cose d’altronde) è necessario non eccedere nella misurazione fine a sé stessa, perché a volte gli indicatori rischiano di compromettere il rapporto tra velocità e accuratezza. L’ossessione per l’MTTR, se non è bilanciata da un ragionamento sul rischio, può portare ad interventi affrettati che interrompono servizi critici o generano regressioni di sicurezza.

La variabile da massimizzare non è il “tempo medio” in astratto, ma la riduzione dell’area sotto la curva dell’esposizione: quanto rapidamente e quanto a fondo riusciamo a comprimere la finestra utile dell’attaccante, senza creare danni collaterali superiori al rischio che intendiamo mitigare. In quest’ ottica una metrica davvero preziosa diventa il “time to innocence”, cioè la capacità di assolvere rapidamente un asset o un team per concentrare energie dove serve, perché ogni minuto speso a difendere un falso problema è un minuto regalato all’avversario, e ogni ora di un analista spesa su falsi positivi non è solo uno spreco, è un investimento mancato in detection engineering, formazione o hardening.

Ogni integrazione trascurata, o verticalizzata al mero controllo tecnologico, perché “non prioritaria”, si traduce in minuti in più durante un incidente reale, esattamente quando i minuti valgono di più. La stessa detection, se vista come un “prodotto”, vive o muore della qualità dei suoi feedback loop. Senza la retroazione rapida degli analisti, senza una disciplina di versioning e deprecazione delle regole, senza retrospettive che trasformino gli errori in conoscenza condivisa, un SOC accumula rapidamente “debito operativo”.

È un debito subdolo perché non appare in bilancio, ma si manifesta sotto forma di tempi di triage dilatati, incidenti sfuggiti e sfiducia reciproca tra team. La maturità, in questo senso, non è la somma delle feature ma la velocità con cui l’organizzazione apprende.

Implementare le Cyber Operations in un’organizzazione significa accettare che la sicurezza non si vince per accumulo, ma per coerenza, tra ciò che si teme e ciò che si misura, tra ciò che si vede e ciò che si decide, tra ciò che si automatizza e ciò che si è disposti a spiegare. È in quella coerenza, pazientemente costruita, che la velocità diventa precisione, la complessità diventa manovrabilità e la difesa smette di inseguire per tornare a dettare il ritmo.

C’è poi il tema dei dati, spesso trattato come un prerequisito tecnico e non come un atto di progettazione intenzionale. Una pipeline di telemetria incoerente, con duplicati, campi mancanti o timestamp non affidabili, vanifica anche il miglior motore di correlazione. L’allineamento a schemi comuni non è un esercizio accademico, ma un modo per negoziare un linguaggio condiviso tra strumenti e team, così che un allarme non sia una “notizia” ma un fatto verificabile.

Qui il concetto di “osservabilità” entra con forza: non si tratta solo di vedere tutto, ma di vedere in modo spiegabile. Un allarme che non porta con sé il contesto necessario alla decisione non accelera la risposta, la rallenta; un playbook che non annota perché una decisione è stata presa, impedisce di migliorarla in futuro.

In questo ambito automazione ed intelligenza artificiale aggiungono potenza ma anche nuovi rischi. Automatizzare è giusto ma quando c’è chiarezza su precondizioni, confini d’azione e reversibilità. I copiloti basati su modelli linguistici possono ridurre la fatica cognitiva nel triage, riassumere telemetrie e suggerire passi operativi, ma devono essere incastonati in un sistema di “human in the loop” con audit trail, limiti di azione e difese contro input avversari e contaminazioni del contesto.

Il valore vero non sta nel delegare il pensiero, ma nel liberare attenzione per i casi in cui il pensiero è indispensabile: i pattern rari, i segnali deboli, le ambiguità che un modello addestrato sul passato tende a smussare.

E’ importante diffidare dai modelli di SOC che offrono funzionalità esclusivamente informative, in quanto non garantiscono una protezione efficace né una reale capacità di supporto alla risposta degli incidenti. Un SOC che si limita a notificare eventi senza possibilità di orchestrazione o contenimento rischia di trasformarsi in un centro di monitoraggio passivo, incapace di incidere concretamente sulla riduzione del rischio.

È invece fondamentale disporre di un servizio SOC integrato, che abbia il pieno controllo e visibilità su ciò che accade sia a livello informativo (dati, log, threat intelligence) sia a livello operativo (asset, identità, rete, endpoint), con la capacità di agire in modo tempestivo, coordinato e misurabile. In quest’ottica, l’integrazione all’interno di un ecosistema tecnologico solido e certificato rappresenta un valore strategico aggiunto.

Sovranità digitale e resilienza: il valore strategico del SOC nazionale

Nel contesto italiano, disporre di un Security Operations Center (SOC) realizzato da aziende nazionali, localizzato interamente sul territorio e gestito esclusivamente da personale operante dall’Italia, rafforza in modo significativo l’affidabilità normativa, la sovranità digitale e la garanzia di riservatezza nella gestione delle informazioni.

Una riflessione finale riguarda proprio la gestione e la riservatezza delle informazioni, in relazione ai concetti di sovranità e fiducia. Scegliere un ecosistema tecnologico integrato, conforme e affidabile a livello locale non è semplicemente una decisione di procurement: è una scelta strategica che determina dove risiedono i dati sensibili, chi può accedervi e con quale trasparenza e capacità di controllo nei momenti critici.

Ed è proprio in quei momenti che si misura l’efficacia reale di un SOC: nei frangenti peggiori, quando la pressione è massima, serve una struttura progettata per mantenere lucidità operativa, dotata di strumenti interoperabili, persone consapevoli del proprio ruolo e processi che guidano senza ostacolare. Tutto il resto, dashboard accattivanti, report impeccabili, è solo un vuoto luccichio di superficie, se manca questa struttura di base.

Le Cyber Operations sono oggi un abilitatore di resilienza: proteggono il valore aziendale, garantiscono continuità, supportano la conformità e rafforzano la fiducia nel brand. Sul piano culturale, la resilienza nasce da una relazione matura con l’errore. Gli incidenti non sono solo fallimenti che si tende a minimizzare nella reportistica, sono esperimenti costosi che abbiamo già pagato e da cui è doveroso estrarre il massimo apprendimento. Le post-incident review efficaci non cercano colpevoli, cercano meccanismi: quali segnali non abbiamo visto? Quale informazione mancava al momento giusto? Quale decisione era razionale con i dati disponibili ma poteva essere resa migliore con poco sforzo progettuale?

Quando questa mentalità attecchisce, la curva di apprendimento di un SOC cambia pendenza e i KPI diventano effetti a valle, non obiettivi in sé. Investire in un modello operativo chiaro, basato su persone competenti, processi codificati e tecnologie integrate, significa costruire un futuro digitale più sicuro, misurabile e sostenibile.

https://www.ictsecuritymagazine.com/notizie/cyber-operations/

Nearly seven in ten CISOs and CIOs say they’ve been told to stay quiet about security incidents, a sign of how often the desire for more transparency conflicts with reputational risk management. At the same time, only 64% of CISOs say their boards see eye-to-eye with them on cybersecurity, a sharp decline from 84% last year.

This disconnect leaves organizations exposed to the reality of how impactful security incidents are as cyber risks grow more frequent and costly, with the global average breach costing organizations more than $4 million over the last year. 

If boards reduce CISOs to mere cost-center defenders measured only by audits passed, vulnerabilities fixed, or incidents avoided, they are far less likely to heed critical security and GRC recommendations — a stance that creates major, avoidable risk for the organization. One example: 64% of CISOs who were forced to forgo support for a business initiative due to insufficient security funding said the cutback led to a breach or other incident.

To secure influence in the boardroom, CISOs must evolve from protectors into business-savvy enablers. That shift starts with speaking the board’s language by tying well operating security and GRC programs to growth outcomes and proving its value with tangible, data-driven insights.

Why Board Alignment Is Slipping

Boards and CISOs share a common goal: protecting the organization’s future. But they often bring different assumptions, priorities, and definitions of risk to the table.

CISOs are, at times, evaluated on one thing: zero breaches. Though, others may be graded on operational outcomes such as vulnerabilities reduced, audits passed, or incidents minimized enough to avoid headlines. Because breaches so often unfold in public and carry reputational fallout, a single incident can overshadow years of steady progress and even have a direct impact on the CISO’s competency and reputation. Other executives may also face narrow scorecards, but their setbacks rarely damage trust as visibly. That leaves CISOs with unusually fragile influence in the boardroom, especially when the board may be focused on other business metrics such as new and retained revenue and company financials.

The gap also comes down to language. Boards frame discussions in terms of risk to revenue and strategy, while CISOs tend to speak in technical detail about security and GRC risks, vulnerabilities, and controls. Without translation between those perspectives, alignment falters and confidence in security leadership erodes. 

Until boards and security leaders align on a clear, shared perspective on risk and priorities, CISOs risk losing their seat at the very table where their voices matter most.

4 Ways CISOs Can Regain Boardroom Influence

Gartner predicts that 70% of boards will include at least one member with cybersecurity expertise by 2026. While most boards recognize they cannot make sound strategic decisions without a stronger grasp of cyber risk, appointing a single expert is not enough to rebuild alignment.

CISOs must seize this moment to shift perceptions and reframe security as a growth driver.

1. Speak the board’s language.

To gain credibility, CISOs must frame security discussions around business impact: revenue protection, deal velocity, customer retention, and operational resilience. 

For example, show how automated compliance reporting reduces procurement delays or how streamlined trust documentation accelerates deal cycles. Revenue unlocked and impacted over time directly resulting from security and GRC efforts is another key metric. The time to value as a result of these efforts can be quantified in core business metrics such as ARR and NRR influenced by security and GRC team efforts. Examples like these help boards see the business value of a stronger security posture.

2. Quantify trust.

Trust no longer has to be abstract. Track metrics like time to complete security questionnaires, the frequency of NDA requests, and rates of documentation access during procurement. 

When connected to pipeline and deal data, these metrics help show how strong security readiness reduces friction and accelerates sales.

3. Reframe objectives.

Audits and incident prevention are table stakes. Go further by setting objectives around faster deal cycles, stronger retention, or easier purchasing experiences for customers. This makes the link between security investments and business outcomes explicit for the board.

4. Lead with consistency and transparency.

Boards value clear, regular communication. CISOs who share plain-language updates and are honest about breaches or near misses will build trust over time. 

Providing visibility into response timelines and control improvements further demonstrates accountability and shows that security is being managed effectively.

Trust Is a Two-Way street

While CISOs can demonstrate the business value of security, they cannot close the gap alone. Boards must involve security leaders early in strategic planning, not just during audits or after incidents. 

By requesting trust-focused metrics alongside compliance updates and creating space for transparency — even when the news is uncomfortable — boards help shift the CISO from a reactive responder to a proactive partner in growth. 

The seat at the table is still there. Now it’s time for CISOs to claim and maintain it.

https://www.securitymagazine.com/articles/101959-cisos-under-pressure-how-security-leaders-can-reclaim-their-seat-at-the-board-table

Nell’era digitale, video e deepfake stanno ridefinendo ciò che percepiamo come reale. Questo articolo esplora come l’intelligenza artificiale consenta di manipolare la verità, dagli inganni politici dei filosofi antichi alle truffe finanziarie contemporanee. Tra esempi concreti, studi scientifici e strategie pratiche per riconoscere i contenuti falsi, il testo mostra perché i deepfake rappresentano una sfida epocale per la sicurezza, la percezione e la nostra capacità di discernimento.

L’arte antica dell’inganno trova nuova vita nell’era digitale

Nel 1984, George Orwell immaginava un mondo dove “la guerra è pace, la libertà è schiavitù, l’ignoranza è forza”. Oggi, quasi quarant’anni dopo, la sua profezia si materializza sotto forma di algoritmi e pixel: benvenuti nell’era dei deepfake, dove vedere non significa più credere.

Ma l’inganno politico non è nato con l’intelligenza artificiale. Per millenni, i leader hanno perfezionato l’arte di manipolare la percezione pubblica attraverso quello che i filosofi chiamano “sofisma” – l’uso di ragionamenti apparentemente validi ma sostanzialmente fallaci per convincere le masse.

Platone, nel suo “Fedro” (370 a.C.), avvertiva già dei pericoli della retorica senza verità. Nel dialogo, Socrate critica chi pratica l’arte del discorso senza conoscere la verità, sostenendo che una “autentica arte del dire senza il tocco della verità non esiste né esisterà mai”. Il filosofo greco temeva che l’eloquenza potesse sostituire la sostanza, che la forma potesse prevalere sul contenuto. Una profezia che risuona drammaticamente nell’era dei deepfake.

Niccolò Machiavelli, ne “Il Principe” (1513), codificò questa strategia in una dottrina politica esplicita. “È necessario a un principe sapere bene usare la bestia e l’uomo”, scriveva, teorizzando l’uso dell’astuzia come strumento di potere. Per Machiavelli, l’inganno non era un difetto del potere, ma una sua caratteristica essenziale. “A uno principe, adunque, non è necessario avere in fatto tutte le soprascritte qualità, ma è bene necessario parere di averle”, dichiarava con lucida chiarezza, anticipando di cinque secoli l’essenza stessa dei deepfake: l’apparenza che sostituisce la realtà.

Hannah Arendt, filosofa del XX secolo, portò questa analisi a un livello ancora più profondo. Nel suo “Le origini del totalitarismo” (1951), descrisse come i regimi autoritari non si limitassero a mentire, ma creassero una “realtà alternativa” così pervasiva da rendere impossibile distinguere il vero dal falso. Arendt osservò che il suddito ideale del regime totalitario non è il convinto seguace dell’ideologia, ma “l’individuo per il quale la distinzione fra realtà e finzione, fra vero e falso non esiste più”. Una condizione che i deepfake rendono tecnicamente realizzabile su scala di massa.

Questa manipolazione della realtà ha sempre seguito schemi prevedibili. I politici hanno imparato a usare tecniche retoriche specifiche: la ripetizione ossessiva di slogan (che diventa verità per molti), il gaslighting (far dubitare alla vittima della propria percezione della realtà), la proiezione (accusare gli avversari dei propri difetti), e soprattutto il cherry-picking – selezionare solo i fatti che confermano la propria narrativa, ignorando tutto il resto.

Quello che rende i deepfake così pericolosi non è solo la loro perfezione tecnica, ma il fatto che sfruttano gli stessi meccanismi psicologici che i politici hanno utilizzato per secoli. La differenza è che ora l’inganno non si limita alle parole: può materializzarsi in video indistinguibili dalla realtà.

Lo studio “Deepfake-Eval-2024” rappresenta un momento di verità che Platone avrebbe apprezzato: quando i ricercatori hanno testato 16 sistemi di rilevamento all’avanguardia contro deepfake reali circolanti online, hanno scoperto che l’accuratezza crollava dal 99% in laboratorio al 75% nella realtà. È la stessa dinamica che Arendt aveva identificato nei regimi totalitari: la verità funziona perfettamente in teoria, ma collassa quando si confronta con la propaganda sistematica.

Il parallelo è sconvolgente: così come i sistemi di rilevamento falliscono quando escono dal laboratorio protetto e si scontrano con la “selva oscura” di internet, così la democrazia vacilla quando le sue istituzioni, progettate per un mondo di fatti verificabili, si confrontano con l’era della post-verità digitale.

I deepfake sono l’evoluzione naturale di una strategia antica quanto il potere stesso: convincere le persone che ciò che vedono e sentono non è affidabile quanto ciò che il leader dice loro di vedere e sentire. Solo che ora, invece di limitarsi a distorcere i fatti, possono creare fatti completamente nuovi, indistinguibili dalla realtà.

Come teorizzava Orwell in “1984”, il potere totalitario aspira al controllo assoluto della percezione: chi controlla il presente controlla il passato, chi controlla il passato controlla il futuro. I deepfake hanno reso questa visione distopica tecnicamente realizzabile.

Quando la realtà diventa un’illusione

Era una mattina di gennaio del 2024 quando un dipendente finanziario di Hong Kong ricevette una videochiamata dal suo direttore finanziario. Sullo schermo c’era il volto familiare del suo capo, che gli chiedeva di autorizzare urgentemente un trasferimento di fondi per un’acquisizione segreta. La voce era quella giusta, i gesti erano naturali, perfino l’ufficio sullo sfondo corrispondeva. Il dipendente non ebbe esitazioni: in una settimana trasferì 25,6 milioni di dollari attraverso 15 transazioni separate.

Solo dopo scoprì di essere stato truffato da un deepfake talmente perfetto che anche lui, che conosceva personalmente il direttore, non si era accorto di nulla. L’intera videoconferenza era stata una messinscena: tutti i partecipanti, tranne lui, erano deepfake generati dall’intelligenza artificiale.

Benvenuti nell’era in cui non potete più fidarvi di quello che vedete. Un’era in cui l’intelligenza artificiale ha imparato a mentire meglio di qualsiasi essere umano.

La rivoluzione invisibile che ci circonda

I deepfake sono ovunque, anche se non ce ne accorgiamo. Quel video virale del politico che dice qualcosa di scandaloso? Potrebbe essere falso. La foto di quella celebrità in una situazione imbarazzante? Probabilmente creata al computer. Secondo l’ultimo report di Deloitte, stiamo parlando di una tecnologia che potrebbe causare danni per 40 miliardi di dollari entro il 2027, solo negli Stati Uniti.

Ma facciamo un passo indietro. Che cosa sono esattamente questi deepfake che stanno rivoluzionando il nostro rapporto con la verità?

Immaginate di avere un artista talmente bravo da poter disegnare il volto di chiunque in qualsiasi situazione, ma invece di usare pennelli e colori, usa algoritmi e computer. I deepfake sono questo: video, audio o immagini create dall’intelligenza artificiale che sembrano autentici ma sono completamente artificiali.

La tecnologia funziona come un bugiardo molto intelligente che ha studiato a fondo la sua vittima. Il computer “osserva” migliaia di foto e video di una persona, impara ogni suo gesto, ogni espressione, il modo in cui muove la bocca quando parla. Poi, come un ventriloquo digitale, può far dire a quella persona qualsiasi cosa.

I numeri che fanno paura

Le statistiche del 2024 sono da brividi. Secondo i dati di Deloitte, i deepfake nel settore finanziario sono aumentati del 700% in un solo anno. Non parliamo più di casi isolati, ma di un fenomeno di massa che sta investendo ogni aspetto della nostra vita digitale.

Il 60% degli americani si dice preoccupato per questa tecnologia, e hanno ragione. Perché quando anche gli esperti faticano a distinguere il vero dal falso, cosa può fare una persona normale?

Il grande inganno: quando la scienza non basta

Qui arriviamo al cuore del problema, quello di cui nessuno parla abbastanza. I ricercatori universitari hanno creato sistemi di rilevamento che nei loro laboratori funzionano alla perfezione. Parliamo di accuratezze del 99% su video di test. Numeri che farebbero pensare che il problema sia risolto.

Ma la realtà è ben diversa. Quando gli stessi sistemi vengono messi alla prova con deepfake reali, quelli che circolano veramente su internet, succede qualcosa di drammatico. Uno studio rivoluzionario del 2024, chiamato “Deepfake-Eval-2024”, ha analizzato oltre 45 ore di video e 56,5 ore di audio raccolti da 88 siti web in 52 lingue diverse. Il risultato? Un disastro.

I sistemi di rilevamento perdevano in media il 50% della loro accuratezza. Alcuni modelli arrivavano a prestazioni quasi casuali, come se stessero tirando una moneta. Anche i migliori, dopo essere stati “addestrati” con dati reali, raggiungevano solo il 75% di accuratezza.

È come se avessimo allenato un detective a riconoscere i criminali guardando solo film di Hollywood, e poi lo avessimo mandato per strada a fermare ladri veri. Il mondo reale è molto più complicato del laboratorio.

Perché la tecnologia non ci sta salvando

Il motivo di questo fallimento è tanto semplice quanto inquietante. I deepfake “da laboratorio” sono come leoni dello zoo: controllati, prevedibili, creati in condizioni perfette. Ma quelli che circolano online sono come belve selvatiche: imprevedibili, evolutisi per sopravvivere, sempre un passo avanti.

Chi crea deepfake per scopi illeciti non usa le tecnologie del 2019 che studiano i ricercatori. Usa gli ultimi modelli, come quelli che alimentano ChatGPT o Midjourney, e impara dai sistemi di rilevamento per aggirarli. È una corsa agli armamenti digitale dove, al momento, stanno vincendo i cattivi.

Secondo uno studio della Columbia Journalism Review, anche i giornalisti professionali, quelli che dovrebbero essere i nostri guardiani contro la disinformazione, spesso si affidano troppo a strumenti tecnologici che li tradiscono.

L’arte perduta di riconoscere le bugie digitali

Ma non tutto è perduto. Se la tecnologia ci ha deluso, possiamo tornare alle nostre capacità umane più antiche: l’intuizione, l’osservazione, il sano scetticismo. I ricercatori del MIT hanno sviluppato una guida pratica che chiunque può seguire.

Gli occhi, specchio dell’anima artificiale

Iniziamo dagli occhi, perché anche l’intelligenza artificiale più sofisticata ha ancora problemi con questi “specchi dell’anima”. Guardate il battito delle palpebre: è naturale o sembra meccanico? I primi deepfake non battevano mai le palpebre, problema ora risolto, ma il ritmo potrebbe sembrare ancora troppo regolare.

Poi osservate i riflessi. In un deepfake, spesso l’occhio destro e sinistro hanno riflessi diversi, come se guardassero due fonti di luce diverse. E le pupille? Si dilatano e si restringono naturalmente in base alla luce, o rimangono fisse come quelle di una bambola?

La bocca che tradisce la menzogna

Quando parliamo, non muoviamo solo le labbra. Tutto il viso partecipa alla conversazione: le guance si alzano quando sorridiamo, la fronte si corruga quando siamo preoccupati. Se vedete una bocca che si muove mentre il resto del viso rimane immobile, iniziate a insospettirvi.

E poi c’è la sincronizzazione. Le parole corrispondono esattamente al movimento delle labbra? Non sempre è facile da notare, ma quando c’è un problema, spesso si sente prima di vedersi.

I dettagli che l’AI non sa gestire

Secondo i ricercatori del CSIRO australiano, ci sono alcuni dettagli che tradiscono ancora i deepfake più sofisticati. Gli orecchini diversi l’uno dall’altro, un occhio leggermente più grande dell’altro, asimmetrie che l’occhio umano nota anche se non sa spiegare perché.

E poi ci sono le mani. I deepfake hanno ancora enormi difficoltà con le mani. Contate le dita: sono cinque per mano? Hanno dimensioni normali? Si muovono naturalmente? Spesso la risposta è no.

Il metodo che può salvarvi

Il professor Mike Caulfield dell’Università di Washington ha sviluppato una strategia semplice ma efficace, chiamata metodo SIFT, per valutare la credibilità dei contenuti online:

Stop – Non condividete immediatamente. La voglia di condividere qualcosa di scioccante è forte, ma resistete.

Investigate the source – Chi ha pubblicato questo contenuto? È una fonte affidabile o un account anonimo creato ieri?

Find better coverage – Se fosse vero, altri ne starebbero parlando. Cercate su Google, controllate i siti di news.

Trace claims – Che prove concrete ci sono? Da dove vengono le informazioni?

È un metodo che ha salvato molte persone dall’imbarazzo di condividere fake news, e che può salvare voi dal cadere in truffe ben più costose.

Gli strumenti che avete già in tasca

Non servono tecnologie fantascientifiche per difendersi. Google Reverse Image Search può dirvi se un’immagine è già apparsa altrove online. TinEye fa lo stesso lavoro. Se vedete una foto “esclusiva” che in realtà circola da mesi, sapete che qualcosa non quadra.

Ci sono anche app specifiche come Hive AI o strumenti come InVID-WeVerify sviluppato dall’Unione Europea. Ma ricordate: nessuno strumento è perfetto. Usateli come aiuto, non come verità assoluta.

La verità scomoda: anche noi sbagliamo

Uno studio mastodontico pubblicato su ScienceDirect ha analizzato 56 ricerche con oltre 86.000 partecipanti. Il risultato? Anche noi umani non siamo bravi a riconoscere i deepfake. L’accuratezza media è solo del 55% – appena meglio del caso.

Ma c’è una speranza. Con l’allenamento e l’uso di strumenti di supporto, l’accuratezza sale al 65%. Non è perfetto, ma in un mondo dove sbagliano anche i computer, ogni miglioramento conta.

Le storie che non finiscono sui giornali

Dietro le statistiche ci sono storie umane che raramente arrivano sui media. Come quella degli imprenditori italiani presi di mira nel febbraio 2025 da una truffa che utilizzava la voce clonata del Ministro della Difesa Guido Crosetto. I truffatori fingevano di dover liberare giornalisti rapiti, convincendo Massimo Moratti a versare 1 milione di euro (poi recuperato dalla polizia). Marco Tronchetti Provera di Pirelli è stato contattato ma non è caduto nella trappola.

Secondo il World Economic Forum, questi non sono casi isolati ma la punta dell’iceberg di un fenomeno che sta crescendo esponenzialmente.

La corsa senza fine tra il bene e il male

Mentre parliamo, la tecnologia continua a evolversi. I nuovi “diffusion models” – gli stessi che alimentano DALL-E e Midjourney – stanno rendendo i deepfake ancora più realistici. Ma anche le difese si stanno affinando.

Intel ha sviluppato FakeCatcher, un sistema che analizza i segnali biologici attraverso lo schermo del computer, raggiungendo il 96% di accuratezza. Reality Defender usa l’intelligenza artificiale per combattere l’intelligenza artificiale. E startup come Sensity promettono accuratezze del 95-98%.

Ma è una corsa che non finirà mai. Ogni nuova difesa porterà a un nuovo attacco, ogni nuovo rilevatore a un nuovo modo di ingannarlo.

Come proteggere voi stessi e le persone che amate

La protezione inizia dalle piccole cose. Rendete privati i vostri profili social: meno foto pubbliche significano meno materiale per creare deepfake di voi. Non fidatevi di videochiamate inaspettate, soprattutto se qualcuno vi chiede soldi o informazioni sensibili.

E soprattutto, educate le persone intorno a voi. Secondo le statistiche dell’FBI, gli anziani sono particolarmente vulnerabili a queste truffe. Una conversazione con i vostri genitori o nonni potrebbe salvare loro migliaia di euro.

Il nuovo mondo che ci aspetta

Stiamo entrando in un’era dove la frase “l’ho visto con i miei occhi” non sarà più una garanzia di verità. È un cambiamento epocale, paragonabile all’invenzione della stampa o di internet. E come ogni grande cambiamento, porta con sé opportunità e pericoli.

I deepfake non sono solo una minaccia. Nel cinema stanno rivoluzionando gli effetti speciali, nell’educazione permettono di far “parlare” personaggi storici, nell’arte stanno creando nuove forme di espressione.

Ma il lato oscuro è innegabile. E la responsabilità di navigare in questo nuovo mondo ricade su tutti noi.

La nuova alfabetizzazione digitale

Come abbiamo imparato a leggere e scrivere, ora dobbiamo imparare a “leggere” i media digitali. È una competenza che dovremo insegnare ai nostri figli, come una volta insegnavamo a non accettare caramelle dagli sconosciuti.

Il Government Accountability Office americano ha definito i deepfake una delle maggiori minacce alla sicurezza nazionale del XXI secolo. Ma la vera sicurezza non verrà solo dalla tecnologia o dalle leggi. Verrà dalla nostra capacità di rimanere critici, curiosi, e sempre un po’ scettici di fronte a quello che vediamo online.

L’importanza di rimanere umani

In un mondo dove le macchine imparano a mentire meglio degli esseri umani, la nostra umanità diventa la nostra forza più grande. L’intuizione, l’empatia, la capacità di fare domande scomode: queste sono le armi che nessuna intelligenza artificiale potrà mai toglierci.

Quando vedete un video che vi fa arrabbiare, che vi sciocca, che vi spinge a condividere immediatamente, fermatevi. Respirate. Chiedetevi: chi ha interesse a farmi provare queste emozioni? Cosa guadagna se io credo a questo video?

Spesso, la risposta a queste domande vi dirà più di qualsiasi algoritmo di rilevamento.

Il futuro è nelle nostre mani

I deepfake non spariranno. Diventeranno più sofisticati, più diffusi, più difficili da riconoscere. Ma questo non significa che dobbiamo arrenderci alla post-verità.

Significa che dobbiamo diventare più intelligenti, più critici, più collaborativi. Significa che dobbiamo sostenere il giornalismo di qualità, educare le nuove generazioni, e non smettere mai di fare domande.

Perché alla fine, in un mondo pieno di bugie perfette, la verità ha ancora un valore inestimabile. E siamo noi a doverla proteggere.

La prossima volta che vedrete un video che sembra troppo bello (o troppo brutto) per essere vero, ricordatevi del caso Arup e dei suoi 25,6 milioni di dollari. E ricordatevi che in un mondo di deepfake, la vostra capacità di dubitare potrebbe essere la cosa più preziosa che possedete.

Fonti:

Platone. Fedro. 370 a.C. Traduzione italiana consultata: Platone, Fedro, a cura di M. Bonazzi, Einaudi, Torino, 2011.

Machiavelli, N. Il Principe. 1513. Cap. XVIII “Quomodo fides a principibus sit servanda”. Edizione consultata: Machiavelli, Il Principe e Discorsi, Feltrinelli, Milano, 1960.

Arendt, H. Le origini del totalitarismo. 1951. Traduzione di Amerigo Guadagnin, Einaudi, Torino, 2004. ISBN 978-88-06-16935-0.

Orwell, G. 1984. 1949. Secker & Warburg, Londra.

Bonazzi, M. et al. “Deepfake-Eval-2024: A Multi-Modal In-the-Wild Benchmark of Deepfakes Circulated in 2024.” arXiv preprint, 2024. DOI: arXiv:2503.02857v4.

Deloitte. “Generative AI is expected to magnify the risk of deepfakes and other fraud in banking.” Deloitte Financial Services Industry Predictions, 2024.

U.S. Government Accountability Office. “Science & Tech Spotlight: Deepfakes.” Report GAO-20-379SP, maggio 2020.

U.S. Government Accountability Office. “Science & Tech Spotlight: Combating Deepfakes.” Report GAO-24-107292, 2024.

MIT Media Lab. “Detect DeepFakes: How to counteract misinformation created by AI.” Progetto di ricerca, 2024.

CSIRO Australia. “Research reveals ‘major vulnerabilities’ in deepfake detectors.” Comunicato stampa, marzo 2025.

YouGov. “Majorities of Americans are concerned about the spread of AI deepfakes and propaganda.” Sondaggio nazionale USA, agosto 2023.

World Economic Forum. “Deepfakes are here to stay and we should remain vigilant.” Report 2025.

Signicat. “Fraud attempts with deepfakes have increased by 2137% over the last three years.” Report statistico, 2025.

https://www.ictsecuritymagazine.com/articoli/video-fake/

Ott 15, 2025 Marina Londei Approfondimenti, Gestione dati, Gestione dati, In evidenza, News, RSS 0

---

Aumentare la complessità delle password, richiedendo l’inserimento di troppi caratteri speciali, non è davvero così utile e, anzi, potrebbe essere controproducente: lo dice il NIST. In un recente aggiornamento delle linee guida dedicate alle organizzazioni sulle modalità e i requisiti tecnici per l’autenticazione degli utenti, l’agenzia governativa ha introdotto alcuni chiarimenti importanti sulla complessità delle password, e non solo.

“Le regole di composizione sono utilizzate comunemente per cercare di complicare i tentativi di indovinare le password scelte dall’utente. Le ricerche però hanno dimostrato che gli utenti rispondo in modi altamente prevedibili ai requisiti imposti dalle regole di composizione“ chiarisce il NIST.

L’agenzia spiega che l’aggiunta di caratteri speciali è diventata ormai prevedibile: è molto probabile che un utente che ha scelto “Password” per autenticarsi aggiunga un “1” o un “!”, in base alla necessità di inserire un numero o un simbolo, alla fine della parola. Anche la scelta dei numeri e dei simboli speciali, in sostanza, è diventata una variabile predicibile. 

Per ridurre la predicibilità delle password, afferma il NIST, sarebbe invece utile effettuare un confronto con delle blocklist ricavate da breach, ovvero delle liste contenenti password che, seppure efficaci secondo le regole imposte dalle organizzazioni, sono state individuate dagli attaccanti.

Imporre regole troppo stringenti, soprattutto con l’uso di simboli speciali, solleva un’altra questione importante: il rischio che l’utente, per ricordarsi una password complessa, la scriva da qualche parte in chiaro. Se è vero che è sempre valido il consiglio di usare un password manager, il problema si ripropone alla scelta della password della cassaforte, e in ogni caso la maggior parte degli utenti non utilizza ancora tool di questo tipo.

Dalle nuove linee guida emerge invece che la lunghezza rimane uno dei fattori fondamentali per garantire la robustezza delle password. “Le password troppo brevi cedono ad attacchi brute-force e a dizionario. La lunghezza minima dipende dalla minaccia che si vuole gestire“.

Se finora il concetto di “entropia” ha guidato la composizione delle password, adesso il NIST ha aggiornato la propria posizione. “L’efficacia delle password scelte dagli utenti è stata spesso caratterizzata utilizzando il concetto di entropia della teoria dell’informazione. Mentre l’entropia può essere facilmente calcolata per i dati con funzioni di distribuzione deterministiche, stimare l’entropia per le password scelte dagli utenti è difficile. Per questo motivo, viene qui presentato un approccio diverso e in qualche modo più diretto, basato principalmente sulla lunghezza della password. L’uso di passphrase (ovvero password composte da più parole) è spesso un modo efficace per creare una password più lunga“.

La posizione del NIST è chiara: introdurre regole stringenti che incrementano la difficoltà di scelta della password e di conseguenza la frustrazione degli utenti significa rischiare che le persone scelgano soluzioni pericolose. Meglio allora introdurre mitigazioni come blocklist, algoritmi di hashing sicuri per la memorizzazione, password randomiche generate e l’introduzione di un limite ai tentativi di autenticazione per bloccare attacchi di brute force.

Queste indicazioni del NIST non sono obbligatorie, ma rappresentano un’importante linea guida che le organizzazioni, in particolare le più piccole, dovrebbero seguire il più possibile. Fermo restando che l’uso dell’autenticazione a più fattori e l’eliminazione delle password siano le strade migliori da percorrere, è fondamentale rafforzare la gestione delle password più che renderle eccessivamente complesse.

---

---

---

https://www.securityinfo.it/2025/10/15/la-complessita-delle-password-non-e-cosi-importante-lo-dice-il-nist/?utm_source=rss&utm_medium=rss&utm_campaign=la-complessita-delle-password-non-e-cosi-importante-lo-dice-il-nist

Le piccole e medie imprese di oggi si trovano di fronte a sfide di sicurezza sempre più complesse, che vanno oltre i tradizionali confini della cybersecurity. Nonostante piccoli progressi nella loro postura di sicurezza, l’ultimo Rapporto Cyber Index posiziona l’indice sintetico di sicurezza delle nostre PMI a 52 su 100, segno che stiamo ancora navigando a vista.

In un sistema sempre più interconnesso, dove quasi la metà delle PMI (48%) fa parte di filiere strategiche, la vulnerabilità di un singolo anello può innescare un effetto domino devastante, compromettendo non solo la singola realtà, ma l’intera catena del valore e, in ultima analisi, la stabilità stessa del nostro tessuto produttivo.

La sicurezza non riguarda più solo la protezione dei dati digitali dagli attacchi informatici, ma la salvaguardia dell’intera operatività aziendale in un ecosistema sempre più interconnesso, dove il confine tra fisico e digitale è diventato sempre più labile, fino a dissolversi. È in questo scenario che emerge con forza un nuovo paradigma: la security convergence, l’integrazione strategica tra sicurezza fisica e digitale, a garanzia di una resilienza aziendale solida e una continuità operativa sostenibile.

Perché la sicurezza delle PMI non può più vivere a compartimenti stagni

Per troppo tempo, abbiamo concepito la sicurezza come un insieme di compartimenti stagni, con la cybersecurity che si occupava del mondo digitale, mentre la sicurezza fisica di accessi, beni materiali e persone. Questa visione frammentata, purtroppo, è ormai obsoleta e pericolosa.

Un esempio concreto di come la convergenza sia cruciale riguarda un’utenza ausiliaria in uno stabilimento produttivo — come un sistema di ventilazione o raffreddamento — che smette improvvisamente di funzionare a causa di un attacco informatico. In assenza di un sistema integrato, il guasto potrebbe, non solo essere rilevato in ritardo, ma anche interpretato come un semplice problema tecnico. Invece, un approccio convergente consente di correlare l’anomalia con eventi digitali sospetti, attivare allarmi mirati e intervenire tempestivamente, evitando l’interruzione della produzione e salvaguardando la continuità del business.

La Direttiva NIS2 è un segnale inequivocabile di quanto questa evoluzione sia considerata critica. Ampliando il perimetro di applicazione e introducendo requisiti più stringenti, la normativa ci spinge a ripensare la sicurezza in modo olistico, rendendo la sicurezza un pilastro fondamentale della strategia aziendale.

Trasformare la sicurezza da costo a vantaggio competitivo

È qui che la Security convergence si rivela non solo una risposta, ma una vera e propria opportunità. Integrando sistemi di videosorveglianza, controllo accessi, allarmi e sensoristica con le piattaforme di cybersecurity, si crea un ecosistema di protezione unificato. Questo approccio olistico, basato sui dati, ci permette di:

• Garantire la continuità operativa: proteggere ogni aspetto del business significa assicurare che l’azienda possa continuare a operare anche di fronte a eventi avversi. Un approccio convergente abilita il monitoraggio e la protezione in tempo reale dei processi e delle attività critiche, permettendo reazioni tempestive a qualsiasi evento che impatti il business — dai sistemi IT alla safety e all’operatività quotidiana.
• Ottenere una visione completa e in tempo reale: niente più angoli ciechi. Monitorare simultaneamente eventi fisici e digitali significa identificare correlazioni e anomalie che sfuggirebbero a un’analisi separata per identificare e bloccare minacce ibride, come un attacco informatico veicolato da un’intrusione fisica, o viceversa.
• Reagire proattivamente e in modo coordinato: la capacità di analizzare dati provenienti da fonti diverse consente di anticipare gli attacchi, attivare risposte automatiche e coordinare l’intervento di team di sicurezza fisica e digitale. Questo riduce drasticamente i tempi di reazione e minimizza i danni, trasformando la reazione in prevenzione.
• Ottimizzare costi e risorse: la gestione unificata delle infrastrutture di sicurezza (ad esempio, un’unica piattaforma per monitorare allarmi, videosorveglianza e eventi cyber) riduce la complessità operativa, i costi di manutenzione e la necessità di personale dedicato. Si passa da una logica di “costo” a una di “efficienza e valore aggiunto”.

Perché la security convergence è indispensabile ora

Il tempo, come spesso accade, è un fattore critico. Il divario tra la capacità offensiva dei cybercriminali e la capacità difensiva delle organizzazioni continua ad ampliarsi. Le PMI non possono più permettersi di “sperare” che non accada nulla, ma devono prepararsi a ogni evenienza: adottare un approccio data-driven è cruciale. Analizzando i dati provenienti da tutti i sistemi di sicurezza, la Security convergence permette di identificare pattern, prevedere rischi e prendere decisioni informate.

In questo modo, la sicurezza diventa in una leva strategica per la crescita e la competitività, garantendo la sostenibilità e la Business Continuity di ogni impresa in un mondo sempre più digitale e interconnesso.

Di Marco Bavazzano, CEO di Axitea

https://www.ictsecuritymagazine.com/notizie/pmi-security-convergence/