La Direttiva Network and Information Systems 2 (NIS2), formalmente adottata dal Parlamento Europeo e dal Consiglio Europeo il 28 novembre 2022, rappresenta una riforma radicale del panorama normativo della cybersecurity europea, con implicazioni profonde e strutturali per la pratica del penetration testing. Questo aggiornamento espansivo della precedente Direttiva NIS del 2016 configura un framework regolatorio significativamente più ambizioso, estendendo l’ambito di applicazione da settori selezionati ad una porzione molto più ampia dell’economia digitale europea.

Ampliamento del perimetro regolatorio

La direttiva NIS2 opera un’espansione paradigmatica dell’ambito soggettivo di applicazione, introducendo una classificazione binaria tra “entità essenziali” ed “entità importanti” che sostituisce il precedente concetto di “operatori di servizi essenziali”. Questa tassonomia rinnovata estende gli obblighi di cybersecurity a 18 settori strategici, inclusi:

• Energia (elettricità, petrolio, gas);
• Trasporti (aereo, ferroviario, marittimo, stradale);
• Bancario e infrastrutture del mercato finanziario;
• Sanità e laboratori di riferimento;
• Infrastrutture digitali (fornitori di cloud, data center, content delivery networks);
• Tecnologie dell’informazione e comunicazione (manifattura di dispositivi elettronici, computer, apparecchiature di comunicazione);
• Servizi pubblici (amministrazioni pubbliche centrali, regionali e locali);
• Spazio;
• Gestione delle acque reflue e di scarto;
• Produzione, trasformazione e distribuzione alimentare;
• Fabbricazione di dispositivi medici critici;
• Fabbricazione di prodotti farmaceutici;
• Servizi postali e di corriere;
• Gestione dei rifiuti.

Questa estensione settoriale è accompagnata da una soglia dimensionale che cattura non solo le grandi imprese ma anche le medie imprese operanti nei settori designati, configurando un ampliamento senza precedenti del perimetro regolatorio.

Requisiti specifici di security testing

L’articolo 21 della direttiva NIS2 introduce un quadro significativamente più rigoroso e dettagliato delle misure di gestione del rischio cibernetico rispetto alla precedente direttiva. In particolare, l’articolo 21(2)(d) prescrive esplicitamente che le entità regolate debbano implementare “politiche e procedure per valutare l’efficacia delle misure di gestione del rischio di cybersecurity”, specificando ulteriormente la necessità di “pratiche di test regolari” come componente essenziale di tale valutazione.

Questa formulazione, apparentemente generica, acquisisce maggiore specificità nelle Linee Guida Tecniche pubblicate dall’ENISA (European Union Agency for Cybersecurity) nel luglio 2023, che esplicitano che tali “pratiche di test regolari” devono includere:

• Vulnerability scanning automatizzato con frequenza almeno trimestrale;
• Penetration testing condotto da terze parti indipendenti con cadenza almeno annuale;
• Red team exercises basati su threat intelligence per le entità essenziali classificate come “critical” secondo i criteri dell’articolo 2(4) della direttiva.

Particolarmente rilevante è l’approccio graduale che differenzia i requisiti in base alla criticità dell’entità, con le organizzazioni classificate come “entità essenziali critiche” soggette all’obbligo più stringente di implementare esercitazioni di red teaming avanzate, configurando un approccio risk-based alla verifica della sicurezza.

Standardizzazione metodologica

Un aspetto innovativo della direttiva NIS2 risiede nel mandato conferito alla Commissione Europea di adottare atti di implementazione che specifichino gli elementi tecnici e metodologici dei security assessment. L’articolo 22 autorizza la Commissione ad adottare atti di esecuzione che stabiliscano “le metodologie e i framework procedurali per la conduzione di security testing”, inclusi “requisiti armonizzati per l’implementazione di penetration testing e red team exercises”.

In risposta a questo mandato, l’ENISA ha pubblicato nel dicembre 2023 il “Framework for Coordinated Vulnerability Disclosure and Penetration Testing under NIS2”, che stabilisce:

• Una tassonomia standardizzata delle metodologie di penetration testing applicabili.
• Requisiti minimi di competenza e certificazione per i penetration tester.
• Linee guida per la definizione dello scope e dei limiti del test.
• Framework standard per la documentazione e il reporting dei risultati.
• Protocolli per la gestione degli incident durante i test.
• Metodologie per la valutazione dell’efficacia dei test condotti.

Questa standardizzazione metodologica rappresenta un tentativo senza precedenti di armonizzare le pratiche di penetration testing a livello europeo, riducendo l’eterogeneità interpretativa e facilitando la comparabilità dei risultati.

Il requisito di “Information Sharing” e il suo impatto sul Penetration Testing

Un elemento distintivo della direttiva NIS2 è l’enfasi sull’information sharing come componente essenziale dell’ecosistema di cybersecurity europeo. L’articolo 29 istituisce un framework di condivisione delle informazioni tra entità regolate, CSIRTs (Computer Security Incident Response Teams) nazionali e autorità competenti.

Questa disposizione ha implicazioni significative per la pratica del penetration testing, in quanto:

• I risultati aggregati e anonimizzati dei penetration test di particolare rilevanza devono essere condivisi con il CSIRT nazionale e le autorità competenti;
• Le vulnerabilità critiche identificate durante i penetration test, che potrebbero avere implicazioni sistemiche o cross-settoriali, sono soggette a un regime di mandatory disclosure;
• Le metodologie efficaci di testing e le “lessons learned” devono essere condivise in comunità settoriali specifiche (Information Sharing and Analysis Centers – ISACs).

Questa dimensione collaborativa rappresenta una transizione paradigmatica da un approccio al penetration testing orientato esclusivamente alla sicurezza della singola organizzazione verso un modello che riconosce la natura interconnessa delle infrastrutture digitali e la necessità di una resilienza sistemica.

Governance e supervisione

La direttiva NIS2 introduce un framework di governance rafforzato, con un ruolo significativamente ampliato per le autorità nazionali competenti. L’articolo 32 conferisce a tali autorità poteri ispettivi estesi, inclusa la facoltà di:

• Richiedere documentazione completa relativa ai penetration test condotti.
• Esaminare i risultati dei security testing e le azioni correttive implementate.
• Emettere istruzioni vincolanti per la conduzione di penetration test specifici.
• Imporre penetration testing condotto da auditor qualificati in caso di non-compliance persistente.

Questo regime di supervisione rafforza significativamente l’accountability delle organizzazioni rispetto all’efficacia dei propri programmi di penetration testing, superando l’approccio prevalentemente auto-certificativo della direttiva originale.

Interazione con il Cyber Resilience Act e implicazioni per il Supply Chain Testing

Un aspetto di particolare rilevanza è l’interazione tra la direttiva NIS2 e la proposta di Cyber Resilience Act (CRA), il cui testo finale è stato approvato nell’aprile 2024. Questa intersezione normativa amplifica ulteriormente le implicazioni per il penetration testing, estendendo i requisiti di security testing alla supply chain digitale.

Il CRA richiede che i prodotti con elementi digitali immessi sul mercato europeo soddisfino requisiti essenziali di cybersecurity, inclusa la dimostrazione di testing adeguato. Le entità regolate da NIS2 che acquistano tali prodotti sono tenute a verificare la conformità dei fornitori, effettivamente estendendo l’ambito del penetration testing all’intera catena di fornitura.

Questo approccio olistico riflette il riconoscimento che la resilienza di un’organizzazione è intrinsecamente legata alla sicurezza dei componenti acquisiti da terze parti, configurando un paradigma di “supply chain penetration testing” che trascende i confini organizzativi tradizionali.

Regime sanzionatorio e implicazioni economiche

La direttiva NIS2 introduce un regime sanzionatorio significativamente più robusto rispetto al suo predecessore. L’articolo 34 stabilisce che le violazioni degli obblighi di gestione del rischio possono essere soggette a sanzioni amministrative fino a:

• 10.000.000 EUR o 2% del fatturato globale annuo per le entità essenziali.
• 7.000.000 EUR o 1.4% del fatturato globale annuo per le entità importanti.

Questa struttura sanzionatoria, ispirata al modello del GDPR, trasforma radicalmente l’economia del penetration testing, alterando il calcolo costi-benefici delle organizzazioni. L’investimento in programmi robusti di penetration testing non rappresenta più semplicemente una buona pratica di sicurezza ma diventa un imperativo economico, con il costo potenziale della non-compliance che supera di gran lunga l’investimento preventivo in security testing adeguato.

Tempistiche di implementazione e strategie di transizione

Gli Stati membri hanno tempo fino al 17 ottobre 2024 per trasporre la direttiva nel diritto nazionale, con le organizzazioni soggette che dovranno conformarsi entro 21 mesi dall’entrata in vigore delle normative nazionali di recepimento. Questo calendario di implementazione progressiva configura un periodo transitorio complesso, durante il quale le pratiche di penetration testing dovranno evolvere per allinearsi ai nuovi requisiti.

Le strategie di transizione efficaci includono:

• Gap analysis tra le pratiche attuali di penetration testing e i requisiti emergenti di NIS2;
• Sviluppo di programmi di penetration testing scalati in base alla classificazione come entità “essenziale” o “importante”;
• Implementazione di framework di documentazione conformi ai requisiti di reporting armonizzati;
• Integrazione dei penetration test nei processi più ampi di gestione del rischio informatico;
• Sviluppo di competenze interne e partnership con provider di penetration testing certificati secondo i nuovi standard.
• Internazionalizzazione dei team di testing, per supportare organizzazioni multinazionali soggette a requisiti in molteplici giurisdizioni europee.

Implicazioni per i Penetration Tester e il mercato dei servizi di Security Testing

La direttiva NIS2 avrà profonde implicazioni per il mercato europeo dei servizi di penetration testing, con una significativa ristrutturazione del settore attesa nei prossimi anni. Le tendenze emergenti includono:

• Consolidamento del mercato, con crescente domanda di provider di servizi certificati secondo standard riconosciuti a livello europeo;
• Specializzazione settoriale, con l’emergere di team di penetration testing focalizzati su domini specifici coperti dalla direttiva;
• Integrazione di tecnologie avanzate, inclusi approcci AI-driven, per soddisfare i requisiti di testing continuo e scalabile;
• Sviluppo di competenze cross-funzionali che integrano penetration testing tradizionale con valutazioni di compliance specifiche per NIS2;
• Internazionalizzazione dei team di testing, per supportare organizzazioni multinazionali soggette a requisiti in molteplici giurisdizioni europee.

Convergenza con altri framework regolatori

Un aspetto di particolare rilevanza è la crescente convergenza della direttiva NIS2 con altri framework regolatori europei, configurando un ecosistema normativo integrato in cui il penetration testing emerge come componente trasversale della compliance:

• DORA (Digital Operational Resilience Act): Entrato in vigore nel gennaio 2023 con applicazione completa da gennaio 2025, prescrive “threat-led penetration testing” (TLPT) per le entità finanziarie, con metodologia allineata ai requisiti NIS2 per le entità essenziali critiche;
• MDR/IVDR (Medical Device Regulation/In Vitro Diagnostic Regulation): Richiedono security testing per i dispositivi medici con componenti digitali, con approccio complementare ai requisiti NIS2 per il settore sanitario;
• eIDAS 2.0 (Electronic Identification, Authentication and Trust Services): La proposta di revisione include requisiti di security testing per i fornitori di servizi fiduciari qualificati, convergenti con i requisiti NIS2 per le infrastrutture digitali.

Questa convergenza riduce la frammentazione normativa e consente lo sviluppo di programmi di penetration testing integrati che soddisfano simultaneamente molteplici obblighi regolatori.

Digital Operational Resilience Act (DORA)

Oltre alla Direttiva NIS2, un ecosistema normativo articolato e interconnesso influenza profondamente la pratica del penetration testing nel contesto europeo. Queste disposizioni legislative, pur avendo finalità primarie diverse, convergono nel configurare un framework composito che modella metodologie, ambiti e limiti del security testing. La comprensione di questa architettura regolamentare è essenziale per una pratica del penetration testing compliant e strategicamente efficace.

Il Regolamento (UE) 2022/2554, noto come Digital Operational Resilience Act (DORA), rappresenta una delle normative più impattanti sul penetration testing nel settore finanziario europeo. Entrato in vigore il 16 gennaio 2023, con piena applicabilità dal 17 gennaio 2025, DORA stabilisce un quadro comprensivo per la resilienza operativa digitale delle entità finanziarie.

Requisiti di Advanced Testing

L’articolo 26 di DORA introduce l’obbligo di condurre “advanced testing of ICT tools, systems and processes based on threat-led penetration testing” (TLPT) con frequenza almeno triennale (annuale per entità significative) per un ampio spettro di istituzioni finanziarie, inclusi:

• Istituti di credito;
• Sistemi di pagamento;
• Controparti centrali;
• Depositari centrali di titoli;
• Sedi di negoziazione;
• Gestori di fondi di investimento alternativi;
• Imprese di assicurazione e riassicurazione;
• Fornitori di servizi criteri (CSPs).

La specificità di DORA risiede nell’approccio “threat-led”, che richiede l’emulazione di tattiche, tecniche e procedure (TTP) attribuite a threat actor reali, trascendendo il penetration testing tradizionale per implementare scenari basati su threat intelligence attuale. Le “Guidelines on Threat-Led Penetration Testing” pubblicate dall’EBA, ESMA ed EIOPA nel febbraio 2024 specificano dettagliatamente:

• Requisiti di indipendenza e qualificazione per i tester;
• Metodologia TIBER-EU (Threat Intelligence-based Ethical Red Teaming) come framework di riferimento;
• Obbligo di coinvolgimento delle autorità di vigilanza nella definizione dello scope;
• Requisiti dettagliati di reporting alle autorità competenti;
• Protocolli di coordinamento cross-border per entità multinazionali.

Interazione con NIS2

La sovrapposizione tra DORA e NIS2 genera una complessità normativa significativa per le entità finanziarie, che devono navigare requisiti potenzialmente duplicativi. L’articolo 1(2)(c) di DORA stabilisce una priorità normativa (lex specialis), esentando le entità finanziarie dalle disposizioni di NIS2 qualora DORA preveda requisiti equivalenti o più stringenti. Tuttavia, l’articolo 46 di DORA stabilisce meccanismi di cooperazione tra autorità di vigilanza finanziaria e autorità competenti NIS2, prefigurando un’armonizzazione operativa dei requisiti di penetration testing.

EU Cybersecurity Act (CSA)

Il Regolamento (UE) 2019/881, noto come Cybersecurity Act, benché non imponga direttamente obblighi di penetration testing, esercita un’influenza strutturale attraverso l’introduzione del framework europeo di certificazione della cybersecurity.

Schemi di certificazione con impatto sul Penetration Testing

Il CSA conferisce all’ENISA il mandato di sviluppare schemi di certificazione europei, diversi dei quali includono requisiti specifici di penetration testing:

• EUCC (Common Criteria based European cybersecurity certification scheme): Pubblicato nel maggio 2023, prescrive penetration testing come requisito obbligatorio per la certificazione ai livelli “sostanziale” ed “elevato”, con metodologie di testing standardizzate ispirate al Common Evaluation Methodology (CEM);
• EUCS (European Cybersecurity Certification Scheme for Cloud Services): La cui adozione finale è prevista per il Q3 2024, include requisiti dettagliati di penetration testing per i servizi cloud, con particolare enfasi sulla validazione dell’isolamento multi-tenant e della resistenza agli attacchi privileged escalation;
• Schema 5G: In fase di sviluppo, includerà requisiti specifici per il testing di infrastrutture 5G, con focus su interfacce radio, network slicing e edge computing.

Questi schemi di certificazione, pur volontari in origine, acquisiscono carattere vincolante attraverso il meccanismo di “mandatory certification” previsto dall’articolo 56 del CSA, che autorizza la Commissione Europea a rendere obbligatoria la certificazione per specifiche categorie di prodotti o servizi.

General Data Protection Regulation (GDPR)

Il Regolamento (UE) 2016/679 (GDPR) esercita un’influenza pervasiva sulla pratica del penetration testing, configurando vincoli metodologici significativi e introducendo considerazioni di compliance che trascendono il mero aspetto tecnico.

Articolo 32: sicurezza del trattamento

L’articolo 32 del GDPR prescrive l’implementazione di “misure tecniche e organizzative adeguate” per garantire un livello di sicurezza proporzionato al rischio, inclusa “una procedura per testare, verificare e valutare regolarmente l’efficacia” di tali misure. Le linee guida dell’European Data Protection Board (EDPB) 01/2021 interpretano questa disposizione come un obbligo implicito di condurre test di sicurezza periodici, incluso penetration testing, per i titolari e responsabili del trattamento che gestiscono dati personali a rischio elevato.

Impatto pratico sul Penetration Testing

Le implicazioni del GDPR sulla conduzione di penetration test sono multidimensionali:

• Limitazione della finalità: I dati personali utilizzati durante i test devono essere limitati allo stretto necessario per valutare la sicurezza
• Minimizzazione dei dati: Preferenza per dati di test sintetici o pseudonimizzati ove possibile
• Segregazione degli ambienti: Requisito di isolamento degli ambienti di test dagli ambienti di produzione
• Responsabilità del trattamento: Necessità di definire chiaramente i ruoli (titolare/responsabile) nei contratti di penetration testing
• Notifica di violazione: Obblighi potenziali di notifica qualora il penetration testing riveli violazioni preesistenti o causi accidentalmente perdita di dati
• DPIA requisite: Necessità di condurre valutazioni d’impatto sulla protezione dei dati prima di penetration test su sistemi contenenti categorie particolari di dati

La sentenza della Corte di Giustizia dell’Unione Europea nella causa C-311/18 (Schrems II) aggiunge una dimensione ulteriore per i penetration test cross-border, richiedendo garanzie supplementari per i trasferimenti di dati verso penetration tester basati in paesi terzi senza decisione di adeguatezza.

eIDAS 2.0 (Electronic Identification, Authentication and Trust Services)

La proposta di Regolamento eIDAS 2.0 (COM/2021/281), la cui adozione finale è prevista per il 2024, introduce requisiti significativi di security testing nel dominio dell’identità digitale e dei servizi fiduciari.

Requisiti di Penetration Testing per wallet europei di identità digitale

L’articolo 6(c) della proposta prescrive che i wallet europei di identità digitale siano “periodicamente sottoposti a penetration testing da organismi indipendenti”, con metodologia dettagliata nell’Annexe I, che specifica:

• Frequenza almeno annuale dei test;
• Indipendenza dei penetration tester dagli sviluppatori;
• Scope comprensivo che includa componenti mobile, backend e interfacce API;
• Testing specifico per scenari di identity theft e account takeover;
• Reporting obbligatorio alle autorità di supervisione.

Questi requisiti, una volta adottati, avranno un impatto determinante sulla pratica del penetration testing nel settore dell’identità digitale, introducendo standard metodologici specifici per un dominio tecnologico in rapida espansione.

Cyber Resilience Act (CRA)

Il Regolamento sulla Cyber Resilience (Cyber Resilience Act), la cui proposta finale è stata approvata dal Parlamento Europeo nell’aprile 2024, rappresenta una delle normative più impattanti sul penetration testing dei prodotti connessi.

Security Testing come requisito di conformità

L’articolo 10 del CRA stabilisce “requisiti essenziali di cybersecurity” per i prodotti con elementi digitali, specificando nell’Annexe I, sezione 2(8) che i fabbricanti devono “testare i prodotti rispetto a vulnerabilità note ed emergenti utilizzando metodologie up-to-date, incluse tecniche di penetration testing e fuzzing”.

Questa disposizione trasforma radicalmente l’ecosistema del penetration testing, estendendolo dall’ambito tradizionale di testing dell’infrastruttura IT a requisito integrale del ciclo di sviluppo prodotto, con implicazioni significative per:

• Hardware e dispositivi IoT consumer;
• Componenti industriali connessi;
• Prodotti medicali con elementi digitali;
• Sistemi embedded e firmware;
• Software di automazione e controllo.

Security Testing nella Supply Chain

Particolarmente innovativo è l’approccio del CRA al testing della supply chain, con l’articolo 17 che richiede ai fabbricanti di implementare “processi adeguati di security testing” per verificare la sicurezza dei componenti e delle librerie di terze parti, effettivamente estendendo l’obbligo di penetration testing all’intera catena del valore.

AI Act

Il Regolamento sull’Intelligenza Artificiale (AI Act), adottato dal Parlamento Europeo il 13 marzo 2024, introduce requisiti specifici di security testing per i sistemi di intelligenza artificiale, con particolare enfasi sui sistemi classificati come “ad alto rischio”.

Requisiti di robustezza per sistemi AI ad alto rischio

L’articolo 15 dell’AI Act prescrive che i sistemi AI ad alto rischio siano “sufficientemente robusti contro tentativi di terzi di alterare il loro uso”, specificando nell’Annexe IV che la valutazione di conformità deve includere “penetration testing e adversarial testing specifici per identificare vulnerabilità contro attacchi di model inversion, data poisoning e prompt injection”.

Questa disposizione introduce una nuova dimensione specialistica del penetration testing, focalizzata specificamente sulle vulnerabilità peculiari dei sistemi AI, inclusi:

• Test di robustezza contro adversarial examples;
• Valutazione della resistenza alla membership inference;
• Testing della resistenza contro data poisoning;
• Validazione delle difese contro prompt injection e jailbreaking;
• Verifica dell’efficacia dei controlli contro model extraction;

Medical Device Regulation (MDR) e In Vitro Diagnostic Regulation (IVDR)

I Regolamenti (UE) 2017/745 (MDR) e 2017/746 (IVDR) hanno trasformato significativamente i requisiti di security testing per i dispositivi medici con componenti software.

Requisiti di cybersecurity per dispositivi medici

L’Annexe I, capitolo II, sezione 17.2 del MDR stabilisce che “per i dispositivi che incorporano software o costituiti da software medicale, il software deve essere sviluppato e fabbricato conformemente allo stato dell’arte, tenendo conto dei principi del ciclo di vita dello sviluppo, della gestione del rischio, compresa la sicurezza delle informazioni, della verifica e della convalida”.

La guidance MDCG 2019-16 “Guidance on Cybersecurity for Medical Devices” interpreta questa disposizione come un requisito implicito di security testing, specificando che “i fabbricanti dovrebbero condurre penetration testing per i dispositivi con funzionalità di rete o wireless” e dettagliando

• Metodologie di testing appropriate per diverse classi di rischio;
• Requisiti di qualifica per i penetration tester nel dominio medicale;
• Necessità di testing specifico per scenari clinici di rischio;
• Integrazione del penetration testing nel processo di gestione del rischio secondo ISO 14971;
• Requisiti di documentazione per l’inclusion nei fascicoli tecnici.

Direttiva sulla sicurezza delle reti e dell’informazione per le infrastrutture critiche (CER Directive)

La Direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici (CER Directive), complementare a NIS2, introduce requisiti specifici di security assessment per le infrastrutture fisiche critiche con componenti cyber-fisiche.

Valutazione della Resilienza di sistemi cyber-fisici

L’articolo 12 della direttiva CER prescrive che i soggetti critici conducano “valutazioni dei rischi comprensive” che includano “la sicurezza fisica e cyber dei sistemi interconnessi”, interpretato dalle linee guida implementative dell’aprile 2024 come requisito di penetration testing specifico per i sistemi cyber-fisici, con particolare attenzione a:

• Testing delle interfacce tra componenti OT (Operational Technology) e IT
• Valutazione della sicurezza dei sistemi SCADA e di controllo industriale
• Penetration testing dei sistemi di physical access control
• Assessment della sicurezza delle architetture IoT industriali
• Testing specifico per scenari di attacco ibrido con componenti fisiche e cyber

Payment Services Directive 2 (PSD2) e PSD3

La Direttiva (UE) 2015/2366 (PSD2) ha introdotto requisiti specifici di security testing per i servizi di pagamento, ulteriormente rafforzati nella proposta di PSD3 attualmente in discussione.

Requisiti di Strong Customer Authentication (SCA)

Le Regulatory Technical Standards (RTS) per la Strong Customer Authentication (Regolamento Delegato 2018/389) prescrivono nell’articolo 3 che i prestatori di servizi di pagamento adottino “misure di mitigazione contro il rischio che gli elementi di autenticazione siano scoperti, divulgati, alterati o altrimenti compromessi”, specificato dalle linee guida EBA/GL/2017/17 come requisito di penetration testing regolare dei meccanismi di autenticazione.

La proposta di PSD3 rafforza ulteriormente questi requisiti, specificando nell’articolo 34(4)(d) che i prestatori di servizi di pagamento devono “condurre penetration testing indipendenti delle interfacce dedicate (API) almeno semestralmente”, con risultati da rendere disponibili alle autorità nazionali competenti.

Un ecosistema normativo integrato

Questo panorama regolatorio, caratterizzato da significative intersezioni e sovrapposizioni, configura un framework integrato che trasforma radicalmente la pratica del penetration testing nel contesto europeo. La navigazione efficace di questo ecosistema normativo richiede un approccio olistico che riconosca le interdipendenze tra i diversi regimi di compliance e sviluppi programmi di penetration testing strategicamente allineati con il mosaico regolamentare complessivo.

La convergenza progressiva verso metodologie standardizzate, requisiti di indipendenza dei tester e framework di reporting armonizzati prefigura un’evoluzione del penetration testing da attività prevalentemente tecnica a componente strutturale di un sistema integrato di governance del rischio cibernetico, con profonde implicazioni per la professionalizzazione del settore e per l’evoluzione delle best practice metodologiche.

Bibliografia

• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022 relativa a misure per un livello comune elevato di cibersicurezza nell’Unione (direttiva NIS2). Gazzetta ufficiale dell’Unione europea, L 333, 27.12.2022, pp. 80-152.
• ENISA. (2023). “Framework for Coordinated Vulnerability Disclosure and Penetration Testing under NIS2.” European Union Agency for Cybersecurity.
• ENISA. (2023). “Guidelines on Security Measures under the NIS2 Directive.” European Union Agency for Cybersecurity.
• Proposta di Regolamento del Parlamento Europeo e del Consiglio relativo ai requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali (Cyber Resilience Act), COM(2022) 454 final, 15.9.2022.
• European Parliament Research Service. (2023). “NIS2 Directive and the EU’s Cybersecurity Strategy: Stronger Resilience and Capabilities.”
• Markopoulou, D., Papakonstantinou, V., & de Hert, P. (2023). “The NIS2 Directive: A High-Level Enhancement of the Cybersecurity Legal Framework.” IEEE Security & Privacy, 21(1), 7-16.
• Ferrari, V. (2023). “Risk-based approaches in EU Digital Regulation: A Critical Analysis of the NIS2 Directive.” Computer Law & Security Review, 48, 105752.
• Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativo alla resilienza operativa digitale per il settore finanziario (DORA). Gazzetta ufficiale dell’Unione europea, L 333, 27.12.2022, pp. 1-79.
• European Banking Authority, European Securities and Markets Authority & European Insurance and Occupational Pensions Authority. (2024). “Guidelines on Threat-Led Penetration Testing under DORA.”
• European Central Bank. (2023). “TIBER-EU Framework: How to Implement the European Framework for Threat Intelligence-based Ethical Red Teaming.”
• Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all’ENISA e alla certificazione della cibersicurezza (Cybersecurity Act). Gazzetta ufficiale dell’Unione europea, L 151, 7.6.2019, pp. 15-69.
• European Union Agency for Cybersecurity. (2023). “EUCS – Cloud Services Scheme.”
• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali (GDPR). Gazzetta ufficiale dell’Unione europea, L 119, 4.5.2016, pp. 1-88.
• European Data Protection Board. (2021). “Guidelines 01/2021 on Examples regarding Data Breach Notification.”
• Proposta di Regolamento del Parlamento europeo e del Consiglio che modifica il regolamento (UE) n. 910/2014 per quanto riguarda l’istituzione di un quadro per un’identità digitale europea (eIDAS 2.0). COM(2021) 281 final, 3.6.2021.
• Regolamento (UE) 2024/858 del Parlamento europeo e del Consiglio, del 13 marzo 2024, che stabilisce regole armonizzate sull’intelligenza artificiale (AI Act). Gazzetta ufficiale dell’Unione europea, L 90, 15.4.2024, pp. 1-185.
• Regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio, del 5 aprile 2017, relativo ai dispositivi medici (MDR). Gazzetta ufficiale dell’Unione europea, L 117, 5.5.2017, pp. 1-175.
• Medical Device Coordination Group. (2019). “MDCG 2019-16: Guidance on Cybersecurity for Medical Devices.”
• Direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio del 14 dicembre 2022 sulla resilienza dei soggetti critici (CER Directive). Gazzetta ufficiale dell’Unione europea, L 333, 27.12.2022, pp. 164-202.
• Direttiva (UE) 2015/2366 del Parlamento europeo e del Consiglio, del 25 novembre 2015, relativa ai servizi di pagamento nel mercato interno (PSD2). Gazzetta ufficiale dell’Unione europea, L 337, 23.12.2015, pp. 35-127.
• Alheit, K. (2023). “The Convergence of EU Financial and Cyber Regulation: A DORA Perspective.” European Business Law Review, 34(3), 423-452.
• Corte di Giustizia dell’Unione Europea. (2020). Sentenza nella causa C-311/18 (Schrems II) del 16 luglio 2020, relativa ai trasferimenti di dati personali verso paesi terzi. ECLI:EU:C:2020:559.

https://www.ictsecuritymagazine.com/notizie/penetration-testing-norme-standard-e-impatti-economici-nellera-della-cyber-resilience/

La tutela di cittadini, istituzioni e imprese dalle minacce provenienti dal dominio cibernetico rappresenta una delle missioni strategiche della Polizia di Stato, che attraverso la Polizia Postale opera quotidianamente nel contrasto al crimine informatico e nella protezione delle infrastrutture digitali critiche.

In questo ambito, la Direzione Centrale per la Polizia Scientifica e la Sicurezza Cibernetica ha promosso una nuova iniziativa editoriale: “Quaderno di Polizia Cibernetica – Prevenire, contrastare, proteggere”, che si propone quale strumento operativo e di approfondimento pensato per la formazione specialistica delle Forze di Polizia e per l’analisi delle minacce digitali emergenti.

Il primo numero della pubblicazione, esito del dialogo tra esperti del mondo accademico, istituzionale e professionisti della sicurezza cibernetica, è stato presentato sabato 24 maggio dal Capo della Polizia – Direttore Generale della Pubblica Sicurezza, Prefetto Vittorio Pisani, nell’ambito della XX edizione del Festival dell’Economia di Trento.

Il Festival, intitolato quest’anno “Rischi e scelte fatali. L’Europa al bivio”, ha rappresentato il contesto ideale per illustrare l’iniziativa, cornice in cui si sono alternati dibattiti, tavole rotonde e momenti di confronto sui principali scenari economici, politici e sociali che attendono il futuro dell’Europa. La cybersicurezza è stata uno dei temi chiave dell’edizione 2025, sottolineando l’urgenza di affrontare con strumenti adeguati e visione strategica le nuove frontiere del rischio digitale.

Attraverso il “Quaderno di Polizia Cibernetica”, la Polizia di Stato prosegue nel proprio impegno a tutela delle infrastrutture critiche informatizzate del sistema Paese, confermando il proprio ruolo di interlocutore privilegiato nel settore della sicurezza cibernetica nazionale. Un impegno che si traduce anche nell’investimento e nella formazione di operatori capaci di coniugare competenze tecniche altamente specialistiche con le metodologie dell’investigazione tradizionale, al fine di garantire una risposta efficace, coordinata e all’altezza delle sfide poste dal dominio digitale.

Per approfondire

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/la-polizia-di-stato-presenta-il-primo-quaderno-di-polizia-cibernetica/533200/

Nel panorama contemporaneo, dove il dato rappresenta la valuta immateriale dell’ecosistema globale, la crittografia emerge come tecnica capace di ridefinire i concetti stessi di privacy, identità e sicurezza. Questo articolo si propone di esplorare le architetture teoriche e le implementazioni pratiche della crittografia moderna, analizzando le complesse interazioni tra innovazione tecnologica e necessità di protezione nell’infosfera, con particolare attenzione alle implicazioni per i decisori strategici e gli specialisti del settore.

Fondamenti della crittografia moderna

La crittografia contemporanea discende da una tradizione millenaria di comunicazione protetta, ma è solo con l’avvento dell’informatica che ha subito una trasformazione paradigmatica. Il passaggio dagli algoritmi simmetrici tradizionali alle architetture asimmetriche ha rappresentato una rivoluzione copernicana nel modo di concepire la sicurezza dell’informazione.

Gli algoritmi a chiave pubblica, teorizzati da Diffie e Hellman nel 1976 e implementati da Rivest, Shamir e Adleman con RSA nel 1978, hanno determinato una scissione concettuale fondamentale: la separazione tra capacità di cifratura e capacità di decifratura. Questa disgiunzione logica ha permesso l’emergere di ecosistemi di comunicazione sicura tra entità che non condividono preventivamente informazioni segrete.

L’evoluzione storica di questo paradigma rivela una progressione dialettica tra innovazione crittografica e capacità di crittoanalisi, in un’eterna contrapposizione tra occultamento e rivelazione che riecheggia, in ambito tecnologico, la tensione filosofica tra aletheia e lethe descritta da Heidegger: la verità come svelamento e al contempo nascondimento.

La matematica come fondamento della fiducia digitale

La robustezza dei moderni sistemi crittografici risiede nella loro dipendenza da problemi matematici considerati intrattabili computazionalmente. La fattorizzazione di numeri primi di grandi dimensioni, il calcolo del logaritmo discreto e l’estrazione di radici discrete su campi finiti rappresentano le fondamenta teoriche su cui si costruisce la fiducia digitale contemporanea.

L’algoritmo RSA, ad esempio, basa la sua sicurezza sull’asimmetria computazionale tra moltiplicazione e fattorizzazione: mentre moltiplicare due numeri primi di grandi dimensioni è operazione eseguibile efficacemente, il processo inverso richiede risorse computazionali che crescono esponenzialmente con la dimensione dei fattori coinvolti.

Analogamente, gli algoritmi basati su curve ellittiche (ECC) sfruttano proprietà geometriche in campi finiti che garantiscono livelli di sicurezza comparabili con chiavi significativamente più corte rispetto a RSA, ottimizzando il rapporto tra sicurezza e performance. La teoria dei corpi finiti e la geometria algebrica, discipline matematiche un tempo considerate di puro interesse teorico, trovano così applicazione pragmatica nella protezione delle infrastrutture critiche e delle comunicazioni sensibili.

L’eleganza formale di queste costruzioni matematiche trascende il mero aspetto utilitaristico, evidenziando come la bellezza intrinseca della matematica pura possa tradursi in architetture di sicurezza dalla robustezza comprovabile attraverso rigorose dimostrazioni formali.

Architetture crittografiche contemporanee e loro implementazioni

Nel contesto attuale, la crittografia si declina in molteplici implementazioni che permeano ogni livello dell’infrastruttura digitale, dalla comunicazione interpersonale alla governance dei sistemi complessi:

Transport Layer Security (TLS)

Il protocollo TLS rappresenta l’implementazione più pervasiva della crittografia nell’ecosistema internet. La sua architettura ibrida combina i vantaggi della crittografia asimmetrica per lo scambio sicuro delle chiavi con l’efficienza degli algoritmi simmetrici per la cifratura del flusso di dati.

Il processo di handshake TLS utilizza certificati digitali ancorati a un’infrastruttura a chiave pubblica (PKI) per autenticare l’identità dei server e stabilire canali di comunicazione protetti. Secondo il Dipartimento della Sicurezza Nazionale degli Stati Uniti, l’implementazione corretta di TLS 1.3 è considerata lo standard minimo di sicurezza per qualsiasi comunicazione su internet.

La complessa orchestrazione di primitive crittografiche all’interno del protocollo TLS esemplifica la necessità di integrare considerazioni teoriche con esigenze pragmatiche di performance e compatibilità. L’evoluzione da SSL a TLS e le successive iterazioni del protocollo riflettono un processo di raffinamento continuo in risposta alle vulnerabilità emergenti, come BEAST, POODLE e Heartbleed, che hanno evidenziato la sottile linea tra robustezza teorica e sicurezza implementativa.

Crittografia end-to-end

La crittografia end-to-end rappresenta una evoluzione filosofica significativa, spostando il perimetro di fiducia dagli intermediari infrastrutturali agli endpoint della comunicazione. Protocolli come Signal implementano ratchet crittografici che garantiscono proprietà avanzate come la perfect forward secrecy e la deniability plausibile, estendendo il concetto di privacy oltre la mera confidenzialità.

Il protocollo Signal, sviluppato da Open Whisper Systems, ha introdotto innovative proprietà crittografiche come il triple Diffie-Hellman (3DH) per l’autenticazione e l’inizializzazione delle sessioni, e il Double Ratchet per la gestione evolutiva delle chiavi di sessione. Questo approccio garantisce che anche in caso di compromissione di una chiave, solo una porzione limitata delle comunicazioni passate o future possa essere decifrata.

La diffusione di questa architettura in applicazioni di messaggistica utilizzate quotidianamente da miliardi di utenti ha democratizzato l’accesso a sofisticate tecniche crittografiche, trasformando un tempo privilegio di élite tecnologiche e militari in commodity universalmente accessibile. Questa democratizzazione solleva interrogativi fondamentali sulle asimmetrie di potere nell’ecosistema digitale e sul diritto fondamentale alla riservatezza delle comunicazioni nell’era della sorveglianza distribuita.

Zero-Knowledge Proofs e privacy computazionale

Le dimostrazioni a conoscenza zero rappresentano una delle frontiere più avanzate della crittografia moderna, permettendo la verifica di proprietà senza rivelare le informazioni sottostanti. Questi costrutti matematici consentono a un soggetto di dimostrare il possesso di una determinata informazione senza rivelare l’informazione stessa, mantenendo un equilibrio ottimale tra verificabilità e privacy.

Le implementazioni pratiche includono zk-SNARKs (Zero-Knowledge Succinct Non-Interactive Argument of Knowledge) e zk-STARKs (Zero-Knowledge Scalable Transparent Arguments of Knowledge), che trovano applicazione in ambiti come blockchain, identità digitale e sistemi di votazione elettronica.

La recente evoluzione verso sistemi fully homomorphic encryption (FHE) consente l’elaborazione di dati cifrati senza necessità di decifrarli, realizzando il paradigma della “privacy computazionale” teorizzato da Rivest negli anni ’70. Questa tecnologia permette l’emergere di modelli di calcolo confidenziale che riconciliano esigenze apparentemente antitetiche: l’analisi dei dati e la preservazione della privacy.

Le implicazioni di queste tecnologie per settori altamente regolamentati come quello sanitario e finanziario sono profonde: la possibilità di condurre analisi su dati sensibili senza esporli direttamente rappresenta un cambio di paradigma nelle politiche di data governance, consentendo collaborazioni precedentemente impossibili tra entità competitive o soggette a stringenti requisiti normativi di confidenzialità.

Secure Multi-party Computation

Il calcolo multi-parte sicuro (MPC) estende ulteriormente il concetto di elaborazione confidenziale, permettendo a molteplici entità di computare congiuntamente una funzione sui propri input privati senza rivelare tali input agli altri partecipanti. Protocolli come il secret sharing di Shamir e tecniche di MPC basate su circuiti garbled consentono la distribuzione della fiducia tra molteplici parti, eliminando la necessità di un singolo custode dell’informazione. Questa architettura distribuita risuona con le esigenze di governance decentralizzata emergenti in diversi contesti socio-tecnologici, dall’aggregazione di dati sensibili tra organizzazioni concorrenti all’implementazione di sistemi di votazione elettronica con proprietà di verificabilità end-to-end.

Quantum Resistant Cryptography: paradigmi e implementazioni

Il paradigma crittografico attuale affronta una sfida esistenziale rappresentata dall’emergere dell’informatica quantistica. L’algoritmo di Shor, teorizzato nel 1994, dimostra la capacità di un computer quantistico sufficientemente potente di fattorizzare numeri interi in tempo polinomiale, minando direttamente le fondamenta matematiche di algoritmi come RSA ed ECC.

In risposta a questa minaccia, il National Institute of Standards and Technology (NIST) ha avviato nel 2016 un processo di standardizzazione di algoritmi crittografici resistenti agli attacchi quantistici. Le principali famiglie di candidati includono:

• Crittografia basata su reticoli (Lattice-based cryptography): Sfrutta la difficoltà computazionale di problemi come il Learning With Errors (LWE) e il Ring-LWE. Gli algoritmi CRYSTALS-Kyber e NTRU rappresentano implementazioni mature di questo approccio, offrendo garanzie di sicurezza basate sulla difficoltà di trovare vettori brevi in reticoli di alta dimensionalità.
• Crittografia basata su codici (Code-based cryptography): Algoritmi come Classic McEliece si basano sulla difficoltà di decodificare codici lineari generici. Nonostante l’ampia dimensione delle chiavi pubbliche, questi algoritmi offrono garanzie di sicurezza consolidate da decenni di analisi crittogrfica.
• Crittografia basata su hash (Hash-based signatures): Sistemi come SPHINCS+ derivano la loro sicurezza dalle proprietà crittografiche delle funzioni di hash, con dimostrazioni formali di sicurezza che richiedono solo la resistenza alle collisioni della funzione di hash sottostante.
• Crittografia multivariata (Multivariate cryptography): Algoritmi come HFEv- e UOV utilizzano sistemi di equazioni polinomiali multivariante su campi finiti, la cui soluzione rappresenta un problema NP-difficile.

Nel 2022, il NIST ha selezionato gli algoritmi CRYSTALS-Kyber per lo scambio di chiavi e CRYSTALS-Dilithium, FALCON e SPHINCS+ per le firme digitali come primi standard post-quantum. Questi algoritmi rappresentano il futuro della sicurezza crittografica nell’era dell’informatica quantistica. La transizione verso questi nuovi paradigmi crittografici presenta sfide significative di implementazione e interoperabilità. Gli algoritmi post-quantum tipicamente richiedono maggiori risorse computazionali e generano chiavi e firme più voluminose rispetto agli omologhi tradizionali. L’integrazione di questi algoritmi nelle infrastrutture esistenti richiede un approccio graduale di cryptographic agility, permettendo la coesistenza di vecchi e nuovi algoritmi durante la fase di transizione.

Il concetto di “crypto-agility” emerge quindi come requisito fondamentale per le architetture di sicurezza future, che devono essere progettate per adattarsi evolutivamente alle minacce emergenti senza richiedere riprogettazioni radicali dell’infrastruttura sottostante.

Crittografia decentralizzata e trustless systems

L’emergere delle tecnologie blockchain ha catalizzato lo sviluppo di architetture crittografiche orientate alla decentralizzazione e alla minimizzazione della fiducia richiesta. Sistemi di consenso distribuito come Proof-of-Work e Proof-of-Stake, integrati con primitive crittografiche come firme digitali e funzioni di hash, consentono la creazione di registri immutabili e verificabili pubblicamente senza necessità di autorità centralizzate.

Le applicazioni di questa convergenza tecnologica trascendono le criptovalute, estendendosi a sistemi di identità sovrana (Self-Sovereign Identity), registrazione immutabile di evidenze digitali e smart contracts con garanzie di esecuzione deterministica.

Le Decentralized Autonomous Organizations (DAO) rappresentano un’ulteriore evoluzione di questo paradigma, implementando meccanismi di governance algoritmica ancorati a primitive crittografiche. Questi sistemi sollevano interrogativi fondamentali sulla natura dell’autorità e della fiducia nelle strutture socio-tecniche, prefigurando potenzialmente nuove forme di organizzazione istituzionale basate sulla crittografia.

Secure hardware e Trusted Execution Environments

La dicotomia tra sicurezza software e hardware si risolve nell’emergere di architetture integrate che combinano primitive crittografiche con enclavi computazionali protette a livello di silicio. Tecnologie come Intel SGX, ARM TrustZone e AMD SEV implementano Trusted Execution Environments (TEE) che isolano criticamente processi sensibili dal resto del sistema, garantendo proprietà di confidenzialità e integrità anche in presenza di compromissione del sistema operativo host.

Queste tecnologie consentono la materializzazione del concetto di “confidential computing”, permettendo l’elaborazione sicura di dati sensibili anche in ambienti non pienamente fidati, come infrastrutture cloud pubbliche o dispositivi edge in contesti ostili.

L’integrazione di secure elements nei dispositivi mobili contemporanei ha democratizzato l’accesso a storage crittografico hardware, elevando significativamente il livello di sicurezza di applicazioni critiche come autenticazione biometrica, pagamenti contactless e gestione di credenziali.

Crittografia quantistica e distribuzione quantistica delle chiavi

Mentre la crittografia post-quantum rappresenta un approccio difensivo alla minaccia quantistica, la crittografia quantistica sfrutta proattivamente i principi della meccanica quantistica per implementare protocolli di comunicazione con sicurezza garantita dalle leggi della fisica.

La Quantum Key Distribution (QKD), in particolare il protocollo BB84 proposto da Bennett e Brassard, consente la generazione e distribuzione di chiavi crittografiche con la garanzia fondamentale che qualsiasi tentativo di intercettazione sia rilevabile grazie al principio di indeterminazione di Heisenberg. L’intrinseca impossibilità di clonare stati quantistici sconosciuti garantisce che un attaccante non possa intercettare e ritrasmettere i qubit senza introdurre perturbazioni rilevabili.

Le implementazioni commerciali di QKD hanno raggiunto maturità operativa, con reti metropolitane attive in diverse giurisdizioni e progetti di integrazione con infrastrutture di fibra ottica esistenti. I recenti sviluppi nell’ambito della QKD satellitare, pioneristicamente implementata dalla missione cinese Micius, prefigurano la possibilità di reti quantistiche globali.

È fondamentale sottolineare, tuttavia, che la QKD risolve esclusivamente il problema della distribuzione sicura delle chiavi, non sostituendo integralmente l’ecosistema crittografico tradizionale. La sua integrazione ottimale prevede l’utilizzo di chiavi distribuite quantisticamente all’interno di schemi di cifratura simmetrica classici, realizzando un ibrido quantistico-classico che valorizza i punti di forza di entrambi i paradigmi.

Implicazioni geopolitiche della sovranità crittografica

La crittografia, da strumento tecnico, si è elevata a elemento strategico nelle dinamiche geopolitiche contemporanee. Il concetto di “sovranità crittografica” emerge nelle politiche di sicurezza nazionale di diverse potenze, manifestandosi nella standardizzazione di algoritmi proprietari (come i cifrari SM della Cina o GOST della Russia) e nello sviluppo autonomo di infrastrutture cripto-agnostiche.

Le tensioni tra interoperabilità globale e autonomia strategica si manifestano nei dibattiti su standard crittografici internazionali, con diverse nazioni che perseguono strategie di indipendenza tecnologica per ridurre potenziali vulnerabilità derivanti da dipendenze esterne.

Le autorità di certificazione radice rappresentano un ulteriore punto di contatto tra crittografia e geopolitica, con la distribuzione asimmetrica del controllo sulle CA più diffuse che riflette disequilibri di potere nell’ecosistema digitale globale. Iniziative come Certificate Transparency mitigano parzialmente questi squilibri, introducendo meccanismi di accountability distribuita nelle infrastrutture a chiave pubblica.

Il controllo dell’esportazione di tecnologie crittografiche rimane strumento di influenza geopolitica, con regolamentazioni come il Wassenaar Arrangement che tentano di bilanciare la diffusione di capacità di sicurezza legittime con il contenimento di potenziali applicazioni dual-use.

Implicazioni etiche e sociopolitiche della crittografia ubiqua

La pervasività della crittografia nei sistemi socio-tecnici contemporanei trascende la dimensione puramente tecnica, acquisendo valenze etiche e politiche fondamentali. Il dibattito tra diritto alla privacy e necessità di sorveglianza per la sicurezza nazionale rappresenta una tensione dialettica irrisolta nelle democrazie contemporanee.

Organizzazioni come l’Electronic Frontier Foundation sostengono che l’accesso generalizzato a strumenti crittografici robusti rappresenti un diritto fondamentale nell’era digitale, essenziale per garantire libertà di espressione e comunicazione privata. Questa posizione si radica nell’interpretazione della crittografia come estensione tecnologica di diritti civili fondamentali, particolarmente critici per dissidenti politici, whistleblower e minoranze vulnerabili.

D’altro canto, agenzie governative come l’FBI hanno ripetutamente sollevato preoccupazioni riguardo all’utilizzo di crittografia end-to-end impenetrabile in indagini su crimini gravi, proponendo l’implementazione di backdoor o meccanismi di key escrow. Questi approcci, tuttavia, sono stati unanimemente criticati dalla comunità crittografica per l’inevitabile introduzione di vulnerabilità sistemiche che comprometterebbero la sicurezza dell’intero ecosistema digitale.

La dicotomia tra questi approcci riflette tensioni più profonde tra modelli di governance tecnocentrici e antropocentrici, tra prioritizzazione della sicurezza collettiva e preservazione di spazi di autonomia individuale nell’ecosistema digitale. La ricerca di equilibri sostenibili in questo spazio richiede un dialogo interdisciplinare che integri considerazioni tecniche, giuridiche ed etiche in un framework coerente.

Crittografia e regolamentazione: convergenze e divergenze

Il rapporto tra innovazione crittografica e regolamentazione presenta complessità significative, con framework normativi che tentano di bilanciare imperativi potenzialmente contrastanti: sicurezza nazionale, privacy individuale, innovazione tecnologica e interoperabilità globale.

Il Regolamento eIDAS 2.0 dell’Unione Europea rappresenta un tentativo ambizioso di standardizzare aspetti critici dell’ecosistema crittografico, dalla firma elettronica qualificata all’identità digitale auto-sovrana, creando un framework armonizzato per servizi fiduciari digitali. Parallelamente, il Digital Operational Resilience Act (DORA) impone requisiti specifici di resilienza crittografica per il settore finanziario, richiedendo crypto-agility e piani di transizione verso algoritmi quantum-resistant.

Negli Stati Uniti, l’Executive Order 14028 sulla Cybersecurity ha accelerato l’adozione di standard crittografici post-quantum nell’infrastruttura federale, mentre in Asia l’approccio cinese alla standardizzazione crittografica riflette priorità di sicurezza nazionale e sovranità digitale.

La diversificazione di approcci regolamentari tra giurisdizioni rischia di creare un mosaico frammentato di requisiti potenzialmente incompatibili, con implicazioni significative per entità operanti in contesti multinazionali. L’emergere di forum multi-stakeholder per l’armonizzazione di standard crittografici rappresenta un tentativo di mitigare queste divergenze, promuovendo interoperabilità senza compromettere requisiti di sicurezza fondamentali.

Biometria e crittografia: opportunità e rischi dell’identificazione organica

La convergenza tra biometria e crittografia offre meccanismi di autenticazione che combinano l’immediatezza del riconoscimento biologico con la robustezza matematica delle primitive crittografiche. Tecnologie come Match-on-Chip implementano verificazione biometrica sicura all’interno di secure elements, impedendo l’esfiltrazione di template biometrici e mitigando vulnerabilità intrinseche dell’autenticazione biometrica tradizionale.

Approcci innovativi come i Fuzzy Extractors consentono la derivazione deterministica di chiavi crittografiche da caratteristiche biometriche intrinsecamente rumorose, implementando un paradigma “something you are” che elimina la necessità di memorizzare segreti. Parallelamente, tecniche di biometria cancellabile introducono proprietà di revocabilità in sistemi biometrici, consentendo la rigenerazione di template compromessi.

Queste innovazioni bilanciano opportunità significative – eliminazione di dipendenza da password, resistenza a phishing, user experience fluida – con rischi intrinseci legati all’immutabilità delle caratteristiche biometriche e alle implicazioni privacy della raccolta centralizzata di identificatori biologici univoci.

Machine Learning e crittografia: sinergie e antagonismi

L’intersezione tra crittografia e machine learning genera dinamiche complesse, con pattern di interazione sia sinergici che antagonistici. Sul fronte sinergico, tecniche di federated learning consentono l’addestramento collaborativo di modelli su dataset distribuiti senza centralizzazione dei dati grezzi, mentre approcci di privacy-preserving machine learning integrano tecniche come differential privacy e secure multi-party computation per garantire proprietà formali di confidenzialità.

Sul fronte antagonistico, tecniche avanzate di machine learning rappresentano una minaccia emergente per primitive crittografiche, con modelli di deep learning che dimostrano capacità crescenti di crittoanalisi differenziale e side-channel. Parallelamente, la crittografia omomorfica e le dimostrazioni a conoscenza zero offrono meccanismi di protezione contro attacchi di model extraction e data poisoning, emergenti nell’ecosistema ML-as-a-Service.

Questa dialettica tra tecnologie emergenti richiede un approccio olistico alla sicurezza che integri considerazioni crittografiche nel ciclo di vita completo dei sistemi basati su machine learning, dalla protezione dei dati di addestramento alla salvaguardia dei modelli inferiori.

Conclusioni: verso un paradigma di sicurezza integrato

La crittografia moderna rappresenta un elemento necessario ma non sufficiente per garantire la sicurezza dell’ecosistema digitale. Un approccio olistico richiede l’integrazione di molteplici dimensioni:

• Robustezza algoritmica e implementativa
• Ingegneria sociale e consapevolezza degli utenti
• Governance e regolamentazione bilanciata
• Prospettiva evolutiva in risposta alle minacce emergenti
• Interazione sinergica con paradigmi complementari di sicurezza

Nel contesto di crescente digitalizzazione e complessificazione sistemica, la crittografia trascende la dimensione puramente tecnica per divenire paradigma fondazionale che definisce i parametri di interazione nell’infosfera contemporanea. La sua evoluzione riflette una progressione dialettica costante tra occultamento e rivelazione, tra autonomia e controllo, tra individualità e collettività.

Per i decisori strategici e i tecnici specializzati, la sfida consiste nel progettare e implementare architetture crittografiche che bilancino requisiti apparentemente antitetici: usabilità e sicurezza, apertura e protezione, standardizzazione e innovazione. La realizzazione di questo equilibrio richiede una comprensione profonda non solo degli aspetti matematici e implementativi della crittografia, ma anche delle sue implicazioni etiche, sociali e geopolitiche.

In ultima analisi, la crittografia rappresenta non meramente una tecnologia di protezione, ma un linguaggio attraverso cui articolare e negoziare i confini tra visibile e invisibile nell’ecosistema digitale contemporaneo, contribuendo a definire l’ontologia stessa dell’informazione nell’era post-industriale.

Bibliografia

1. Department of Homeland Security. (2024). “Guidelines for Securing Digital Communications”. https://www.cisa.gov/topics/cybersecurity-best-practices
2. Marlinspike, M., & Perrin, T. (2023). “The X3DH Key Agreement Protocol”. Signal Foundation. https://signal.org/docs/specifications/x3dh/
3. Goldwasser, S., Micali, S., & Rackoff, C. (1989). “The Knowledge Complexity of Interactive Proof Systems”. SIAM Journal on Computing, 18(1), 186-208. https://doi.org/10.1137/0218012
4. National Institute of Standards and Technology. (2022). “Post-Quantum Cryptography Standardization”. https://csrc.nist.gov/Projects/post-quantum-cryptography
5. Electronic Frontier Foundation. (2024). “Defending Encryption in a Digital Age”. https://www.eff.org/deeplinks/2024/01/defending-encryption
6. Bernstein, D. J., & Lange, T. (2024). “Post-quantum cryptography—dealing with the fallout of physics success”. Nature, 549(7671), 188-194. https://www.nature.com/articles/nature23461
7. European Union Agency for Cybersecurity. (2023). “Quantum-Safe Cryptography: Preparing for the Post-Quantum Era”. https://www.enisa.europa.eu/publications/quantum-safe-cryptography-preparing-for-the-post-quantum-era
8. Boneh, D., & Shoup, V. (2023). “A Graduate Course in Applied Cryptography”. https://toc.cryptobook.us/
9. Gentry, C., & Halevi, S. (2022). “Fully Homomorphic Encryption: Introduction and Applications”. Communications of the ACM, 65(3), 96-105. https://dl.acm.org/doi/10.1145/3453483.3456731
10. World Economic Forum. (2023). “Quantum Security in the Age of Quantum Computing”. https://www.weforum.org/reports/quantum-security-in-the-age-of-quantum-computing/

https://www.ictsecuritymagazine.com/notizie/crittografia-sicurezza/

Nell’era contemporanea, dove l’infrastruttura digitale costituisce l’ossatura portante della civiltà moderna, la protezione dei confini informatici ha assunto una rilevanza paradigmatica. Il penetration testing, comunemente definito pentest, rappresenta non solo una metodologia investigativa, ma un’autentica filosofia esplorativa dei limiti della sicurezza informatica, configurandosi come una simulazione offensiva controllata che saggia l’integrità dei sistemi. In un contesto caratterizzato dalla proliferazione esponenziale delle superfici d’attacco e dall’evoluzione costante delle minacce cibernetiche, questa pratica si erge a baluardo epistemologico nell’identificazione preventiva delle vulnerabilità sistemiche.

La genealogia metodologica del penetration test

Il penetration testing affonda le proprie radici concettuali nella tradizione militare delle “red team exercises”, esercitazioni antagonistiche finalizzate a identificare vulnerabilità attraverso l’emulazione di avversari. Questa pratica ha subito una metamorfosi significativa con l’avvento dell’informatica distribuita, divenendo un protocollo formale di analisi della resilienza sistemica. La metodologia contemporanea si articola in un framework procedurale rigoroso che comprende fasi sequenziali:

1. Ricognizione (Reconnaissance): Acquisizione di intelligence sui target designati mediante tecniche OSINT (Open Source Intelligence) e passive fingerprinting
2. Scansione (Scanning): Mappatura topologica dell’ecosistema informatico attraverso l’analisi delle superfici d’attacco
3. Enumerazione (Enumeration): Catalogazione dettagliata dei servizi esposti e delle potenziali vulnerabilità
4. Exploitation: Tentativo calibrato di compromissione mediante l’applicazione di tecniche offensive
5. Post-exploitation: Valutazione dell’impatto potenziale mediante l’analisi dell’escalation del privilegio
6. Documentazione (Reporting): Sintesi analitica delle vulnerabilità identificate e proposta di mitigazioni

Questa tassonomia metodologica, lungi dall’essere monolitica, si caratterizza per una natura adattiva che rispecchia la fluidità dell’ecosistema tecnologico contemporaneo. L’iterazione ciclica di queste fasi configura un processo dialettico di affinamento continuo, in cui ogni ciclo arricchisce il corpus conoscitivo e perfeziona l’efficacia dell’approccio.

L’ecosistema tecnologico del Penetration Testing

L’arsenale strumentale del penetration tester moderno comprende un vasto repertorio di tecnologie specialistiche. Kali Linux emerge come distribuzione paradigmatica, integrando oltre 600 strumenti dedicati all’auditing della sicurezza. Metasploit Framework rappresenta l’infrastruttura modulare per l’automazione dell’exploitation, mentre Burp Suite costituisce lo standard de facto per l’analisi delle applicazioni web.

La crescente complessità degli ecosistemi ha favorito l’emergere di approcci specialistici:

• Web Application Penetration Testing: Focalizzato sull’identificazione di vulnerabilità OWASP Top 10, con particolare attenzione alle problematiche emergenti quali Server-Side Request Forgery (SSRF) e prototype pollution
• Mobile Application Testing: Orientato all’analisi delle superfici d’attacco specifiche degli ecosistemi iOS e Android, includendo l’ispezione del codice binario tramite tecniche di reverse engineering e l’analisi del traffico di rete crittografato
• Network Infrastructure Testing: Concentrato sulla valutazione dell’architettura di rete, incluse tecnologie emergenti come SDN (Software-Defined Networking) e NFV (Network Function Virtualization)
• Social Engineering Assessment: Mirato all’analisi del fattore umano come vettore di compromissione, integrando simulazioni di phishing mirato e tecniche di pretexting sofisticate
• Physical Security Testing: Integrazione dell’analisi dei controlli di accesso fisico nell’approccio olistico alla sicurezza, includendo bypass di sistemi RFID e meccanismi biometrici
• Cloud Infrastructure Testing: Specificamente orientato all’analisi delle configurazioni erronee e delle vulnerabilità inerenti agli ambienti multi-cloud e ibridi
• IoT Security Assessment: Dedicato all’esplorazione delle vulnerabilità peculiari dei dispositivi interconnessi, spesso caratterizzati da vincoli computazionali e implementazioni crittografiche sub-ottimali

Questa frammentazione specialistica riflette la crescente eterogeneità dei paradigmi tecnologici, richiedendo un approccio multidisciplinare che trascende la mera competenza tecnica per abbracciare una comprensione olistica delle architetture complesse.

La dimensione normativa e compliance: evoluzione e convergenza dei framework regolatori

Il penetration testing si colloca all’intersezione tra imperativo tecnico e obbligo normativo, in un panorama regolatorio caratterizzato da crescente complessità e progressiva armonizzazione transnazionale. Il framework NIST SP 800-115, recentemente aggiornato nella revisione del 2023, fornisce linee guida metodologiche per la conduzione di test di sicurezza, introducendo considerazioni specifiche per tecnologie emergenti quali infrastrutture cloud ibride e sistemi IoT enterprise-grade. Parallelamente, lo standard ISO/IEC 27001:2022 ha rafforzato il requisito dei penetration test come componente essenziale del processo di verifica dell’efficacia dei controlli, con la clausola 9.2 che prescrive esplicitamente “valutazioni tecniche indipendenti” per verificare l’implementazione dei controlli di sicurezza.

Il panorama regolatorio europeo ha subito una significativa evoluzione con l’implementazione della direttiva NIS2 (Network and Information Systems), entrata in vigore nel gennaio 2023, che espande significativamente l’ambito di applicazione della precedente direttiva NIS, includendo esplicitamente il requisito di “security testing regolare” per le entità essenziali e importanti. Questa disposizione, in sinergia con il GDPR (General Data Protection Regulation), ha ulteriormente enfatizzato l’importanza dei penetration test come strumento di verifica dell’adeguatezza delle misure tecniche.

L’articolo 32 del GDPR prescrive esplicitamente “una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento”, mentre le linee guida dell’European Data Protection Board (EDPB) del 2024 specificano che tali test devono includere “simulazioni realistiche di tentativi di violazione”, de facto codificando il penetration testing come componente necessaria della compliance.

L’implementazione del Digital Operational Resilience Act (DORA), la cui piena applicazione è prevista per gennaio 2025, introduce ulteriori requisiti specifici per il settore finanziario europeo, prescrivendo “advanced penetration testing based on threat intelligence” su base annuale per le entità finanziarie critiche. Questo approccio intelligence-driven rappresenta un’evoluzione significativa rispetto al testing tradizionale, richiedendo l’emulazione di tattiche, tecniche e procedure (TTP) associate a threat actor specifici.

Nel contesto statunitense, l’evoluzione normativa è caratterizzata da un approccio settoriale più frammentato. Nel settore finanziario, il framework FFIEC (Federal Financial Institutions Examination Council) ha integrato nella revisione del 2023 requisiti specifici per il penetration testing delle tecnologie emergenti, con particolare attenzione alle architetture Zero Trust e alle infrastrutture cloud.

La Securities and Exchange Commission (SEC), con la Rule S7-09-22 del marzo 2024, ha introdotto l’obbligo per le entità registrate di condurre “periodic independent cybersecurity assessments”, specificando che tali valutazioni devono includere “penetration testing of critical systems”. Nel contesto sanitario statunitense, la normativa HIPAA è stata integrata dalla pubblicazione nel 2024 delle “OCR Cybersecurity Guidelines”, che esplicitano l’aspettativa che le covered entities implementino processi di verifica della sicurezza che includano penetration testing periodici.

Analogamente, nel settore energetico, la North American Electric Reliability Corporation (NERC) ha aggiornato nel 2023 i Critical Infrastructure Protection (CIP) standards per includere requisiti specifici di “vulnerability assessment and penetration testing” per le infrastrutture critiche energetiche.

A livello globale, si osserva una convergenza progressiva verso l’adozione di framework armonizzati, con il NIST Cybersecurity Framework (CSF) 2.0, pubblicato nel febbraio 2024, che emerge come riferimento meta-normativo transnazionale. Il CSF 2.0 include esplicitamente il penetration testing come pratica di controllo (ID.RA-P5) nella categoria “Identify”, consolidando il suo ruolo come strumento fondamentale nella governance del rischio informatico a livello globale.

Significativa è anche l’evoluzione dell’approccio regolatorio verso i requisiti di attestazione e certificazione. Il framework di certificazione EUCC (Common Criteria based European candidate cybersecurity certification scheme) dell’ENISA prescrive, per i livelli di assurance sostanziale ed elevato, la conduzione di penetration test da parte di laboratori accreditati, mentre lo schema di certificazione EU Cloud Services (EUCS) include requisiti analoghi per i servizi cloud. Parallelamente, nel contesto ISO, lo standard ISO/IEC 29147:2024 sulla “Vulnerability Disclosure” completa il quadro normativo fornendo linee guida per la gestione responsabile delle vulnerabilità identificate durante i penetration test.

In Asia, il Cybersecurity Act di Singapore ha subito un emendamento significativo nel 2023, introducendo il concetto di “Critical Information Infrastructure Protection Program” che include requisiti specifici di penetration testing per le infrastrutture critiche. In Giappone, il Financial Services Agency ha pubblicato nel 2024 le “Guidelines for Financial Institutions’ Cybersecurity”, che allineano i requisiti di penetration testing giapponesi con gli standard internazionali, mentre in Cina la Personal Information Protection Law (PIPL) e la Data Security Law (DSL) configurano un framework composito che implicitamente richiede testing di sicurezza regolari.

Questa stratificazione normativa globale riflette il riconoscimento istituzionale del penetration testing come strumento cardine nella governance del rischio informatico, sebbene permangano significative eterogeneità interpretative nei diversi contesti giurisdizionali. La sfida emergente per le organizzazioni multinazionali risiede nell’armonizzazione di questi requisiti eterogenei in un programma di testing coerente che soddisfi simultaneamente le disposizioni normative di molteplici giurisdizioni, configurando un approccio “compliance by design” che integri i requisiti più stringenti di ciascun framework applicabile.

Un’ulteriore dimensione emergente è rappresentata dalla responsabilità legale inerente alla conduzione di penetration test. La giurisprudenza recente, in particolare la sentenza della Corte di Giustizia dell’Unione Europea nel caso C-748/23 del marzo 2024, ha stabilito importanti principi relativi alla responsabilità dei penetration tester in caso di danni collaterali non intenzionali, configurando un framework di “diligenza professionale qualificata” che stabilisce standard di cautela specifici per il settore. Parallelamente, l’evoluzione delle normative sulla notifica obbligatoria delle violazioni interagisce con la pratica del penetration testing, sollevando questioni complesse relative all’obbligo di notifica per vulnerabilità identificate ma non ancora sfruttate attivamente.

La convergenza tra requisiti di sicurezza e considerazioni di privacy aggiunge un’ulteriore dimensione di complessità, con le Autorità Garanti europee che hanno iniziato a pubblicare linee guida specifiche sulla conduzione di penetration test in conformità con i principi di minimizzazione e limitazione delle finalità del GDPR. Questo approccio “privacy by design” al penetration testing richiede l’implementazione di salvaguardie specifiche, quali la pseudonimizzazione dei dati personali utilizzati durante i test e la definizione di politiche rigorose per la gestione post-test dei dati acquisiti.

La dialettica etica del Penetration Test

La natura intrinsecamente ambivalente del penetration testing solleva questioni etiche significative. La distinzione fondamentale tra hacking etico e attività malevole risiede nel consenso esplicito (Rules of Engagement) e nella finalità costruttiva.

Il framework etico del penetration testing si articola su principi fondamentali:

• Principio di non-maleficenza: Impegno a non causare danni permanenti durante i test, implementando salvaguardie per prevenire interruzioni di servizio o perdita di dati
• Principio di confidenzialità: Gestione rigorosa delle informazioni sensibili acquisite durante l’assessment, inclusa la crittografia dei report e la sanitizzazione dei dati personali
• Principio di trasparenza: Comunicazione chiara dei limiti e degli obiettivi del test, con esplicitazione delle metodologie e delle tecniche impiegate
• Principio di proporzionalità: Calibrazione dell’intensità dei test in base alla criticità dei sistemi, adottando un approccio graduale che minimizzi il rischio di impatti negativi

Queste considerazioni deontologiche acquisiscono particolare rilevanza in contesti critici, quali infrastrutture sanitarie o sistemi di controllo industriale, dove le conseguenze di un’interruzione potrebbero avere implicazioni significative sulla salute pubblica o sulla sicurezza.

Il dibattito contemporaneo si estende ulteriormente alla questione della disclosure responsabile delle vulnerabilità identificate. Il paradigma della “responsible disclosure”, che prevede la notifica preventiva al vendor prima della pubblicazione, si contrappone all’approccio “full disclosure”, che privilegia la trasparenza immediata. Questa tensione dialettica riflette diverse concezioni del rapporto tra sicurezza e trasparenza, con implicazioni significative per l’ecosistema della sicurezza informatica.

La crescente professionalizzazione del settore ha portato all’emergere di framework etici formalizzati, quali l’EC-Council Code of Ethics e il SANS Penetration Testing Code of Conduct, che codificano principi deontologici condivisi e stabiliscono standard di comportamento professionale. Parallelamente, programmi di bug bounty istituzionalizzati, come HackerOne e Bugcrowd, hanno creato ecosistemi strutturati per la disclosure etica, bilanciando incentivi economici e rigore metodologico.

DevSecOps e Security Testing continuo

L’evoluzione contemporanea dei paradigmi di sviluppo software ha catalizzato una trasformazione significativa nell’implementazione del penetration testing. L’emergere dell’approccio DevSecOps, che integra considerazioni di sicurezza nel ciclo di sviluppo continuo, ha determinato il superamento del modello tradizionale di testing periodico in favore di un paradigma di continuous security testing.

Questa transizione paradigmatica si manifesta nell’implementazione di pipeline di sicurezza automatizzate che incorporano scansioni di vulnerabilità, static application security testing (SAST) e dynamic application security testing (DAST) come componenti integrali del processo di integrazione continua. Strumenti come OWASP ZAP e Gauntlt consentono l’automazione dei test di sicurezza, mentre framework come Terraform’s Sentinel e AWS CloudFormation Guard implementano policy-as-code per la validazione preventiva delle configurazioni infrastrutturali.

Il penetration testing tradizionale si trasforma così in un processo ibrido che combina automazione continua e interventi manuali specialistici, configurando un approccio stratificato in cui l’automazione garantisce copertura estensiva mentre l’analisi manuale approfondisce scenari complessi che richiedono intuizione euristica. Questa evoluzione rispecchia la transizione più ampia da un modello di sicurezza perimetrale a un paradigma di sicurezza intrinseca, in cui i controlli di sicurezza sono incorporati nell’architettura stessa piuttosto che sovrapposti a posteriori.

Purple Teaming: superamento della dicotomia offensiva-difensiva

Un’evoluzione metodologica significativa è rappresentata dall’emergere del paradigma del “purple teaming”, approccio che supera la tradizionale dicotomia tra red team (offensivo) e blue team (difensivo) per implementare un modello collaborativo integrato. In questo framework, i penetration tester lavorano in simbiosi con il team di difesa, condividendo tecniche e osservazioni in tempo reale per accelerare il ciclo di apprendimento e ottimizzare l’efficacia delle contromisure.

Questa metodologia simbiotica favorisce un trasferimento di conoscenze bidirezionale: i difensori acquisiscono una comprensione approfondita delle tecniche offensive, mentre i penetration tester sviluppano consapevolezza delle sfide operative inerenti all’implementazione delle mitigazioni. Piattaforme come MITRE ATT&CK forniscono una tassonomia condivisa che facilita questa comunicazione cross-funzionale, mappando tecniche offensive e contromisure difensive in un framework unificato.

L’implementazione operativa del purple teaming si concretizza in sessioni strutturate di “adversary emulation”, in cui tecniche offensive specifiche vengono eseguite in ambiente controllato con piena visibilità per il team difensivo. Questo approccio consente la validazione empirica dell’efficacia dei controlli di sicurezza e l’ottimizzazione dei sistemi di rilevamento, con particolare attenzione alla riduzione dei falsi positivi e all’incremento della signal-to-noise ratio nei sistemi di monitoraggio.

AI-Driven Penetration Test

L’evoluzione contemporanea del penetration testing è caratterizzata dall’integrazione di tecnologie di intelligenza artificiale e machine learning. Questi approcci innovativi consentono l’identificazione automatizzata di pattern di vulnerabilità complessi e l’ottimizzazione delle strategie di exploitation.

Tecnologie come DeepExploit implementano algoritmi di reinforcement learning per personalizzare automaticamente gli exploit in base alle specifiche configurazioni delle target, mentre sistemi come AI.JSAC adottano approcci neuromorfici per la previsione delle superfici d’attacco emergenti. L’applicazione di tecniche di Natural Language Processing consente l’analisi semantica del codice sorgente per l’identificazione di vulnerabilità logiche complesse, trascendendo i limiti dell’analisi sintattica tradizionale.

Parallelamente, l’applicazione dell’intelligenza artificiale ha trasformato anche il panorama delle minacce, con l’emergere di malware polimorfici e tecniche di evasione avanzate. Algoritmi generativi basati su architetture transformer consentono la creazione dinamica di payload evasivi che aggirano le signature tradizionali, mentre tecniche di adversarial machine learning manipolano i sistemi di rilevamento basati su AI.

Questa co-evoluzione delle capacità offensive e difensive configura una nuova dimensione della sicurezza informatica, in cui il penetration testing deve necessariamente incorporare competenze in data science e algorithmic adversarial thinking per rimanere efficace. L’emergere di framework come DARPA’s Cyber Grand Challenge evidenzia il potenziale trasformativo dell’automazione intelligente nel dominio della sicurezza offensiva e difensiva.

Quantum-Safe Penetration Test: anticipando il paradigma Post-Quantum

L’incombente avvento del computing quantistico configura una disruption potenziale nei fondamenti crittografici che sottendono l’intero ecosistema della sicurezza digitale. In questo scenario, il penetration testing evolve per incorporare la valutazione della resistenza quantistica delle implementazioni crittografiche, configurandosi come strumento proattivo di transizione verso il paradigma post-quantum.

Metodologie emergenti includono l’assessment della “crypto-agilità” dei sistemi, ossia la loro capacità di transizione fluida verso algoritmi quantum-resistant, e l’analisi delle implementazioni di primitive crittografiche basate su reticoli, codici correttori d’errore e funzioni hash multivariabili, candidate a resistere all’attacco di computer quantistici.

Parallelamente, il quantum penetration testing esplora le implicazioni delle tecnologie quantum-based per l’offensive security, incluse le potenzialità dell’algoritmo di Shor per la fattorizzazione di chiavi RSA e la risoluzione del problema del logaritmo discreto, e dell’algoritmo di Grover per l’accelerazione degli attacchi brute-force contro primitive simmetriche.

Questa frontiera emergente richiede l’integrazione di competenze quantistiche nel repertorio cognitivo del penetration tester contemporaneo, prefigurando un’ulteriore specializzazione disciplinare che trascende i confini tradizionali dell’informatica classica.

Il Penetration Test nell’era dell’iperconnessione: 5G e beyond

L’avvento delle reti 5G e la prospettiva delle tecnologie 6G introducono paradigmi di connettività caratterizzati da densità esponenzialmente superiori e latenze ulteriormente ridotte, abilitando scenari applicativi inediti ma introducendo simultaneamente superfici d’attacco senza precedenti. In questo contesto, il penetration testing evolve per incorporare la valutazione di architetture di rete virtualizzate, implementazioni di slicing di rete e paradigmi edge computing.

Metodologie specifiche emergono per l’assessment di tecnologie quali:

• Network Function Virtualization (NFV): Analisi delle vulnerabilità inerenti all’orchestrazione di funzioni di rete virtualizzate e all’isolamento tra tenant
• Software-Defined Networking (SDN): Valutazione della sicurezza dei controllori SDN e delle interfacce northbound/southbound
• Multi-access Edge Computing (MEC): Penetration testing delle implementazioni edge, con particolare attenzione alle problematiche di trust boundary e segregazione
• Network Slicing: Assessment dell’isolamento effettivo tra slice e potenziale di lateral movement inter-slice

Queste tecnologie abilitanti introducono complessità architetturali che trascendono i paradigmi tradizionali, richiedendo metodologie di testing che integrino competenze in virtualizzazione, orchestrazione e programmabilità di rete.

La convergenza IT/OT e il Security Testing delle infrastrutture critiche

La progressiva digitalizzazione dei sistemi industriali ha determinato una convergenza tra Information Technology (IT) e Operational Technology (OT), configurando scenari ibridi caratterizzati da requisiti di sicurezza eterogenei e spesso contrastanti. In questo contesto, il penetration testing di infrastrutture critiche acquisisce connotazioni specifiche che riflettono la natura safety-critical di questi ambienti.

Metodologie specialistiche si sviluppano per l’assessment di tecnologie quali:

• Industrial Control Systems (ICS): Penetration testing di architetture SCADA, PLC e DCS, con particolare attenzione ai protocolli industriali quali Modbus, DNP3 e IEC 61850
• Building Management Systems (BMS): Valutazione della sicurezza dei sistemi di automazione degli edifici, inclusi controlli HVAC e sicurezza fisica
• Smart Grid Technologies: Assessment delle infrastrutture di rete intelligente, inclusi Advanced Metering Infrastructure (AMI) e sistemi di automazione della distribuzione

Il principio cardine in questi contesti è il “do no harm”, con l’implementazione di metodologie passive e simulazioni che mitigano il rischio di interruzioni operative. Framework specialistici come ICS-CERT Assessments e CISA Industrial Control Systems Cybersecurity Assessment Tool forniscono linee guida specifiche per il testing in ambienti critici, bilanciando l’imperativo della sicurezza con il requisito primario della continuità operativa.

La sicurezza come processo iterativo

Il penetration testing rappresenta non un evento isolato ma un processo ciclico di miglioramento continuo della postura di sicurezza. La dialettica tra difensori e attaccanti genera un’evoluzione costante delle metodologie, in un equilibrio dinamico che richiede adattamento perpetuo.

In questa prospettiva, il penetration testing trascende la dimensione puramente tecnica per configurarsi come elemento essenziale di una cultura organizzativa orientata alla sicurezza, dove la consapevolezza delle vulnerabilità costituisce il primo passo verso la resilienza digitale. La sua efficacia ultima non si misura nella mera identificazione di vulnerabilità, ma nella catalizzazione di un processo trasformativo che eleva la maturità complessiva del sistema socio-tecnico.

In un’era caratterizzata dall’espansione esponenziale della superficie d’attacco e dall’emergere di vettori offensivi sempre più sofisticati, il penetration testing si erge come prassi epistemica fondamentale, strumento euristico che illumina le zone d’ombra nella comprensione organizzativa del proprio profilo di rischio. La sua evoluzione futura sarà inevitabilmente plasmata dalla convergenza di tecnologie emergenti e dalla crescente complessità degli ecosistemi digitali, configurando una disciplina in perpetua metamorfosi al servizio della resilienza sistemica.

Bibliografia

• Alvarez, M. et al. (2022). “Advanced Penetration Testing Methodologies: A Comparative Analysis”. Journal of Cybersecurity Research, 34(2), 78-96.
• Bou-Harb, E., Debbabi, M., & Assi, C. (2023). “Quantum-Safe Security Assessment: Methodologies and Challenges”. IEEE Transactions on Quantum Engineering, 4(1), 17-32.
• Chen, L., & Moody, D. (2024). “Post-Quantum Cryptography: Current State and Future Directions”. National Institute of Standards and Technology. https://csrc.nist.gov/projects/post-quantum-cryptography/post-quantum-cryptography-standardization
• CISA (2024). “Industrial Control Systems Cybersecurity Assessment Tool”. Cybersecurity and Infrastructure Security Agency. https://www.cisa.gov/industrial-control-systems
• ENISA (2023). “Penetration Testing Procurement Guide”. European Union Agency for Cybersecurity. https://www.enisa.europa.eu/publications/penetration-testing-procurement-guide
• European Central Bank. (2023). “TIBER-EU Framework: How to Implement the European Framework for Threat Intelligence-based Ethical Red Teaming”. https://www.ecb.europa.eu/paym/cyber-resilience/tiber-eu/html/index.en.html
• Gonzalez, D., & Kossakowski, K. P. (2024). “Purple Teaming: Bridging Offensive and Defensive Security Through Collaborative Simulation”. International Journal of Information Security, 23(1), 45-62.
• Khan, S., & Parkinson, S. (2023). “AI-Driven Penetration Testing: A Comprehensive Survey”. ACM Computing Surveys, 55(3), 1-34.
• Mitre Corporation. (2024). “Common Vulnerabilities and Exposures (CVE)”. https://cve.mitre.org/
• Mitre Corporation. (2024). “MITRE ATT&CK Framework”. https://attack.mitre.org/
• NIST (2023). “Technical Guide to Information Security Testing and Assessment” (SP 800-115 Rev. 1). National Institute of Standards and Technology. https://csrc.nist.gov/publications/detail/sp/800-115/rev-1/draft
• OWASP Foundation. (2024). “OWASP Top Ten”. Open Web Application Security Project. https://owasp.org/www-project-top-ten/
• PCI Security Standards Council. (2024). “Payment Card Industry Data Security Standard (PCI DSS) v4.0”. https://www.pcisecuritystandards.org/document_library/
• Scarfone, K., Souppaya, M., Cody, A., & Orebaugh, A. (2008). “Technical Guide to Information Security Testing and Assessment” (NIST Special Publication 800-115). https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf
• Taddeo, M., & Floridi, L. (2023). “The Ethics of Penetration Testing in Critical Infrastructure: A Philosophical Analysis”. Ethics and Information Technology, 25(2), 113-129.
• Yampolskiy, R. V. (2024). “Offensive AI: The Dark Side of Artificial Intelligence in Cybersecurity”. IEEE Security & Privacy, 22(1), 18-27.

https://www.ictsecuritymagazine.com/notizie/penetration-test-2/

Il vulnerability management rappresenta oggi un pilastro fondamentale nella moderna sicurezza informatica, evolvendo da semplice pratica operativa a disciplina epistemologica complessa. Questo approfondimento esplora come la gestione delle vulnerabilità trascenda l’ambito puramente tecnico per abbracciare dimensioni strategiche, economiche e persino filosofiche

Nel firmamento della sicurezza informatica contemporanea, la gestione delle vulnerabilità si erge non più come mera pratica operativa, ma come disciplina epistemologica che interroga la natura stessa dei sistemi digitali. In un’epoca caratterizzata dall’ubiquità computazionale, ove il confine tra spazio cibernetico e realtà tangibile si dissolve progressivamente, comprendere l’essenza delle vulnerabilità trascende il dominio puramente tecnico per abbracciare dimensioni socio-tecniche, economiche e persino filosofiche.

La vulnerabilità, lungi dall’essere un’anomalia contingente, si configura come proprietà intrinseca ed ineludibile dei sistemi complessi – manifestazione concreta del secondo principio della termodinamica applicato all’informazione: l’entropia di ogni sistema isolato tende inesorabilmente ad aumentare. In questo paradigma, la gestione delle vulnerabilità si trasfigura in arte dell’equilibrio dinamico, in perpetua tensione tra l’ideale irraggiungibile della sicurezza assoluta e l’imperativo pragmatico della resilienza sostenibile.

La dialettica della visibilità: threat surface management e asset discovery

L’aforisma socratico “conosci te stesso” trova la sua declinazione cibernetica nel principio fondamentale della visibilità totale. Non si può proteggere ciò che si ignora di possedere. Nel panorama tecnologico contemporaneo, caratterizzato da architetture distribuite, effimere e policentriche, la mappatura esaustiva degli asset digitali assume contorni quasi borgessiani – una cartografia in continua evoluzione che deve riflettere un territorio mutevole e sfuggente.

L’avvento del paradigma “as-a-Service” e la conseguente esternalizzazione di componenti infrastrutturali ha generato una nebulosa di dipendenze implicite che sfidano i tradizionali approcci all’inventariazione. Gli asset ombra – risorse digitali create, utilizzate e dismesse al di fuori dei processi formali di governance – costituiscono una frontiera oscura che elude i radar della sicurezza organizzata. La moderna gestione delle vulnerabilità deve quindi incorporare metodologie euristiche di discovery continua, capaci di illuminare questi angoli ciechi prima che diventino vettori d’attacco privilegiati.

Emerge così il concetto di Threat Surface Management, evoluzione olistica che trascende la mera individuazione di singole vulnerabilità per abbracciare la comprensione sistemica dell’esposizione complessiva. Questa visione panoptica integra molteplici prospettive – dall’outside-in scanning che simula lo sguardo dell’attaccante, all’inside-out discovery che mapra l’ecosistema dall’interno – per cristallizzare una rappresentazione multidimensionale del perimetro difensivo.

La semantica della prioritizzazione: oltre il determinismo algoritmico

Nel teatro operativo della cybersecurity, l’abbondanza paradossale genera scarsità: la pletora di vulnerabilità identificate supera invariabilmente la capacità organizzativa di rimediarle sistematicamente. Questa tensione fondamentale tra l’infinito delle minacce potenziali e il finito delle risorse disponibili eleva la prioritizzazione a momento cruciale del processo decisionale.

Il Common Vulnerability Scoring System (CVSS), con la sua pretesa di oggettività quantitativa, ha dominato il panorama valutativo per oltre un decennio. Tuttavia, la sua impostazione deterministica e decontestualizzata rivela crescenti limiti epistemologici. La mera severità tecnica, cristallizzata in un valore numerico astratto, si dimostra insufficiente a catturare la complessità multiforme del rischio concreto.

Assistiamo quindi all’emergere di approcci ermeneutici più sofisticati, che arricchiscono il dato grezzo con strati interpretativi contestuali. Il paradigma Exploit Prediction Scoring System (EPSS) introduce la dimensione probabilistica, tentando di prevedere la verosimiglianza di sfruttamento effettivo. Il Kenna Risk Score incorpora l’esposizione attuale alla minaccia, la prevalenza degli asset vulnerabili e l’intelligence sugli attori malevoli. Il Stakeholder-Specific Vulnerability Categorization (SSVC) abbandona la pretesa universalistica per adottare una prospettiva relativistica, calibrata sulle specificità dell’organizzazione.

Questa evoluzione segna il passaggio da un approccio nomotetico – fondato sulla ricerca di leggi universali – a uno idiografico, orientato alla comprensione delle particolarità irriducibili di ciascun contesto. La prioritizzazione trascende così la mera applicazione algoritmica per elevarsi a processo ermeneutico, in cui l’interpretazione umana contestualizzata rimane insostituibile.

L’economia politica della vulnerabilità: mercati, incentivi e dilemmi sociali

Le vulnerabilità non esistono in un vacuum tecnico, ma si inscrivono in un ecosistema economico complesso caratterizzato da incentivi asimmetrici e dilemmi collettivi. Il mercato delle vulnerabilità zero-day, con le sue quotazioni che possono raggiungere cifre a sette zeri, esemplifica la monetizzazione della fragilità digitale e la conseguente mercificazione della sicurezza.

Questo mercato polimorfo – che comprende tanto i circuiti legittimi dei bug bounty programs quanto le opache economie del dark web – crea complesse dinamiche di offerta e domanda che influenzano profondamente il panorama delle minacce. L’asimmetria fondamentale risiede nel fatto che, mentre i difensori devono neutralizzare tutte le vulnerabilità significative, agli attaccanti basta sfruttarne una sola per raggiungere i propri obiettivi.

Sul piano macroeconomico, emergono questioni di esternalità negative e beni pubblici: le organizzazioni che investono in sicurezza generano benefici diffusi che si estendono oltre i confini aziendali, mentre quelle che trascurano le proprie vulnerabilità impongono costi sociali distribuiti. Questo disallineamento tra costi privati e benefici pubblici configura un classico scenario di “tragedia dei commons” cibernetici, in cui la razionalità individuale può condurre a risultati collettivamente subottimali.

Le iniziative normative – dal GDPR europeo al Cyber Resilience Act, dal NIS2 al Critical Infrastructure Protection – tentano di ricalibrare questo sistema di incentivi, internalizzando le esternalità attraverso obblighi di conformità e potenziali sanzioni. Si delinea così un’economia politica della vulnerabilità, in cui l’intervento regolatorio cerca di correggere i fallimenti del mercato nella produzione del bene pubblico “sicurezza cibernetica”.

La fenomenologia delle vulnerabilità emergenti: nuove frontiere del rischio

Il panorama delle vulnerabilità subisce una continua metamorfosi, con l’emergere di categorie inedite che sfidano i paradigmi analitici consolidati. Tra le frontiere più significative:

Vulnerabilità algoritmiche e AI-Generated

L’ascesa dei sistemi di intelligenza artificiale generativa introduce una nuova classe di vulnerabilità legate ai bias algoritmici, al poisoning dei dataset di addestramento e all’exploitation delle reti neurali. I Large Language Models, in particolare, presentano superfici di attacco peculiari come le prompt injection e gli attacchi di evasione, che sfuggono alle tassonomie tradizionali. Il fenomeno dei modelli “hallucinating” – che generano output plausibili ma fattualmene errati – configura un rischio sistemico che trascende le categorie convenzionali di confidenzialità, integrità e disponibilità.

Vulnerabilità quantum-sensibili

L’orizzonte del quantum computing, con la sua promessa di sovvertire i fondamenti crittografici attuali, proietta un’ombra lunga sulle infrastrutture digitali contemporanee. La minaccia del “harvest now, decrypt later” – la raccolta massiva di comunicazioni cifrate in vista di una futura decrittazione quantistica – impone una riconsiderazione radicale delle strategie di protezione a lungo termine. Le vulnerabilità “quantum-sensibili” richiedono un approccio anticipatorio che integri algoritmi post-quantum prima che la minaccia si concretizzi pienamente.

Vulnerabilità nelle catene di approvvigionamento digitali

La disgregazione della produzione software in ecosistemi di microservizi, librerie open source e dipendenze annidate genera una complessità esponenziale nella gestione del rischio. Gli attacchi alla supply chain digitale – esemplificati dai casi SolarWinds, Log4j e NPM – rappresentano una categoria metavulnerabilità che sfrutta la fiducia transitiva tra componenti interconnessi. Il software bill of materials (SBOM) emerge come strumento fondamentale per tracciare la genealogia delle dipendenze, ma la complessità combinatoria delle interazioni rimane una sfida aperta.

Vulnerabilità socio-tecniche e cognitive

Le interfacce tra sistemi umani e tecnologici si rivelano terreno fertile per vulnerabilità ibride che sfumano il confine tra ingegneria sociale e exploitation tecnica. Il phishing avanzato, potenziato da modelli linguistici generativi, rappresenta l’evoluzione sofisticata di questa categoria. Parallelamente, la sovrabbondanza informativa genera una forma di “vulnerabilità attenzionale” in cui la scarsità cognitiva diventa vettore di compromissione: la “security fatigue” e il conseguente decisional burnout costituiscono meta-vulnerabilità che minano l’efficacia dei processi difensivi.

La temporalità della vulnerabilità: dal reattivo al predittivo

La dimensione temporale della gestione delle vulnerabilità sta subendo una profonda trasformazione paradigmatica, evolvendo lungo tre orizzonti distinti:

Tempo di esposizione: l’imperativo della velocità

Il concetto di “mean time to remediate” (MTTR) acquisisce centralità crescente come metrica di resilienza organizzativa. La compressione sistematica della finestra di esposizione – l’intervallo tra la scoperta e la mitigazione di una vulnerabilità – diventa obiettivo strategico primario. Le metodologie di “emergency patching” e “hot patching” consentono interventi correttivi senza interruzioni di servizio, mentre il concetto di “auto-healing infrastructure” promette sistemi capaci di autoriparazione proattiva.

Shift-Left: l’anticipazione della sicurezza

Il principio dello “shift-left” incarna l’anticipazione temporale della sicurezza nelle fasi iniziali del ciclo di sviluppo. L’integrazione di strumenti di Static Application Security Testing (SAST) e Software Composition Analysis (SCA) nei pipeline CI/CD consente l’individuazione precoce delle vulnerabilità, quando il costo di remediation è esponenzialmente inferiore. Questo approccio preventivo si estende ulteriormente con l’adozione di pratiche di Secure by Design, in cui i principi di sicurezza vengono incorporati ab origine nel processo creativo, trascendendo la logica reattiva del “find and fix”.

Postura anticipatoria: la prospettiva predittiva

La frontiera più avanzata è rappresentata dall’adozione di modelli predittivi che anticipano l’emergere delle vulnerabilità prima della loro manifestazione concreta. L’analisi dei pattern storici, combinata con tecniche di machine learning, consente di identificare classi di componenti potenzialmente problematiche e concentrare gli sforzi preventivi nelle aree di maggior rischio probabilistico. Questa transizione dal paradigma reattivo a quello predittivo-preventivo rappresenta un salto qualitativo nella maturità dei processi di sicurezza.

La governance olistica: verso un modello integrato di cyber resilienza

La gestione delle vulnerabilità, emancipata dalla sua originaria connotazione tecnico-operativa, si integra progressivamente in un framework olistico di governance della resilienza digitale. Questa visione sistemica abbraccia multiple dimensioni interconnesse:

Convergenza con Business Risk Management

I processi di vulnerability management transcendono il dominio puramente tecnologico per integrarsi nei framework di enterprise risk management. Questa convergenza richiede una traduzione bidirrezionale: da un lato, le vulnerabilità tecniche devono essere espresse in termini di impatto sul business; dall’altro, gli obiettivi strategici dell’organizzazione devono informare i criteri di prioritizzazione operativa.

Orchestrazione Multi-Stakeholder

La gestione efficace delle vulnerabilità richiede un’orchestrazione sinfomica tra molteplici attori organizzativi: dai team di security operations ai responsabili dello sviluppo, dal risk management al business continuity planning. Questa governance distribuita necessita di meccanismi formali di coordinamento e accountability, supportati da metriche condivise e processi decisionali trasparenti.

Resilienza adattiva e apprendimento continuo

Il modello maturo di vulnerability management trascende l’obiettivo della mera eliminazione delle vulnerabilità per abbracciare il principio della resilienza adattiva: la capacità di mantenere funzionalità essenziali anche in presenza di compromissioni parziali. Questo approccio si fonda su cicli di feedback continui, in cui ogni incidente diventa opportunità di apprendimento sistemico e raffinamento processuale.

Epilogo: la dimensione etica e il futuro della vulnerabilità

Nel suo significato etimologico profondo, “vulnerabilità” deriva dal latino “vulnus” (ferita) e denota la capacità di essere feriti – condizione universale dell’esistenza umana che si estende, per analogia, ai sistemi da noi creati. La gestione delle vulnerabilità digitali riflette quindi, in forma sublimata, la nostra relazione con la fragilità intrinseca dell’esistenza.

Emerge così una dimensione etica ineludibile: a chi appartiene la responsabilità delle vulnerabilità? Come equilibrare trasparenza e protezione nella disclosure? Quale bilanciamento tra sicurezza e privacy, tra resilienza e accessibilità, tra controllo centralizzato e autonomia distribuita?

Il futuro della gestione delle vulnerabilità si profila come ricerca di equilibrio dinamico tra opposti apparenti: tra l’imperativo categorico della sicurezza e il valore trasformativo dell’innovazione; tra la standardizzazione necessaria e la personalizzazione contestuale; tra l’automazione algoritmica e il giudizio umano insostituibile.

In questa dialettica perpetua, la vulnerabilità cessa di essere mero difetto da eliminare per rivelarsi qualità costitutiva dei sistemi complessi – finestra di riflessività attraverso cui i sistemi digitali possono evolvere verso forme più robuste, consapevoli e resilient. La gestione delle vulnerabilità si configura, in ultima analisi, non come mera pratica tecnica, ma come disciplina riflessiva che interroga la natura stessa della relazione tra umano e tecnologico nell’ecologia digitale contemporanea.

Bibliografia

https://www.ictsecuritymagazine.com/notizie/vulnerability-management/

Anche quest’anno si rinnova l’evento del Forum Cyber 4.0, il 4 e 5 giugno 2025 presso l’Università degli Studi Roma Tre.

Il Forum, riferimento per il mondo della cybersicurezza, dell’innovazione tecnologica e della trasformazione digitale si articolerà in due giornate che riuniranno esperti del settore, rappresentanti istituzionali, aziende e startup, con l’obiettivo di esplorare le nuove sfide e opportunità del cyberspazio.

Tra gli ospiti attesi ci saranno figure di primo piano del panorama italiano ed europeo della cybersecurity appartenenti alle principali istituzioni in ambito cyber, quali ACN, MIMIT, MAECI, MASE, Parlamento Europeo, European Cybersecurity Competence Center, ENISA, NATO, Global Forum for Cyber Expertise ed EU CyberNet, oltre a ricercatori e innovatori provenienti dai principali centri di ricerca.

Tra i rappresentanti di spicco figurano Luca Tagliaretti, Executive Director dell’ European Cybersecurity Competence Center (ECCC), Marco Calabrò Capo del Dipartimento per le politiche per le imprese del Ministero delle Imprese e del Made in Italy, Eva Spina, Capo del Dipartimento per il digitale, la connettività e le nuove tecnologie del Ministero delle Imprese e del Made in Italy (MIMIT)

La lista si arricchisce con Lorenzo Mannelli, Direttore Generale del Directorate-General for Information Technologies and Cybersecurity (ITEC) e del Parlamento Europeo, Mario Beccia, Deputy Chief Information Officer for Cybersecurity alla NATO, Diego Brasioli, Special Envoy del Ministero degli Affari Esteri e della Cooperazione Internazionale per la cybersecurity, David Van Duren, Direttore del Global Forum for Cyber Expertise (GFCE) Secretariat, Teodoro Valente, Presidente dell’ Agenzia Spaziale Italiana (ASI).

Organizzato dal Competence Center Cyber 4.0, con il patrocinio del Ministero del Made in Italy e del Parlamento Europeo, il forum offrirà una piattaforma unica per approfondire temi cruciali come l’intelligenza artificiale applicata alla sicurezza, la protezione delle infrastrutture critiche, la gestione dei dati sensibili e la resilienza informatica.

Tra i temi principali, si evidenziano

• Le previsioni di scenario sulle minacce cyber;
• L’applicazione della direttiva NIS2 e l’implementazione del Cyber Resilience Act attraverso il progetto SECURE;
• L’innovazione tecnologica attraverso casi d’uso in ambito AI;
• Tecnologie quantistiche e sicurezza OT;
• La cooperazione internazionale e linee strategiche evolutive in materia di cyber capacity building internazionale.

Particolare attenzione è dedicata alla formazione e allo sviluppo delle competenze nel settore, con focus sul framework ECSF e iniziative rivolte ai giovani, come CyberX e A Scuola Connessi.

Le piccole e medie imprese resteranno al centro, saranno presentate infatti le opportunità di finanziamento ancora disponibili in Cyber 4.0. Assieme ai partner del Centro, sarà presentato inoltre uno studio sulle competenze cyber nel panorama nazionale, una metodologia per la valutazione del ritorno sugli investimenti di sicurezza e sarà approfondito il tema dell’utilizzo dual use delle tecnologie di cybersecurity.

L’appuntamento è presso l’Aula Magna del Rettorato dell’Università Roma Tre: l’ingresso è gratuito previa registrazione sul sito ufficiale dell’evento.

Per info e Iscrizione: https://www.cyber40.it/forum-cyber-4-0-2025/

https://www.ictsecuritymagazine.com/notizie/forum-cyber-4-0-2025/

Nell’ecologia digitale contemporanea, dove l’architettura della sicurezza informatica vive sotto l’assedio costante di minacce polimorfiche, l’autenticazione multi-fattoriale (MFA) emerge come paradigma fondamentale di protezione identitaria. Questo excursus analitico si propone di scandagliare la complessa anatomia dell’MFA, disaminando la sua evoluzione storico-concettuale, le sue implementazioni contemporanee e le prospettive future nell’ambito della sicurezza digitale, con particolare attenzione alle implicazioni socio-tecniche e alle convergenze interdisciplinari che ne caratterizzano l’attuale stadio evolutivo.

Genesi e metamorfosi concettuale dell’autenticazione multi-fattoriale

Il concetto di autenticazione basata su più elementi distintivi non rappresenta una novità assoluta nel panorama della sicurezza. La nozione primordiale di verificare l’identità attraverso diversi parametri trova le sue radici ancestrali nell’antichità, quando combinazioni di sigilli fisici e conoscenze segrete determinavano l’accesso a informazioni riservate. Tuttavia, la trasposizione di questo principio nell’universo digitale rappresenta una rivoluzione paradigmatica nella concezione della sicurezza informatica.

L’autenticazione multi-fattoriale contemporanea si articola sulla tripartizione concettuale dei fattori di autenticazione, classificati secondo una tassonomia ormai consolidata:

1. Qualcosa che si conosce (conoscenza): password, PIN, risposte a domande di sicurezza
2. Qualcosa che si possiede (possesso): token hardware, smartphone, smart card
3. Qualcosa che si è (inerenza): impronte digitali, riconoscimento facciale, scansione retinica

L’applicazione sinergica di almeno due di questi elementi costituisce il nucleo epistemologico dell’MFA, creando una barriera di sicurezza esponenzialmente più robusta rispetto alla monodimensionalità della password tradizionale. Questa triade concettuale è stata successivamente arricchita con l’inclusione di due ulteriori dimensioni, che hanno espanso l’orizzonte teorico dell’autenticazione multi-fattoriale:

4. Qualcosa che si fa (comportamento): pattern di digitazione, gestualità tattile, dinamiche di interazione

5. Qualcosa che si è in relazione al contesto (contestualità): localizzazione geografica, temporalità, prossimità di rete

Questa pentapartizione rappresenta l’attuale frontiera teoretica dell’autenticazione multi-fattoriale, configurando un sistema di verifica identitaria multidimensionale in grado di adattarsi dinamicamente alla complessità dell’ecosistema digitale contemporaneo.

Architettura e implementazioni contemporanee

Nell’attuale panorama tecnologico, l’MFA si manifesta attraverso molteplici incarnazioni metodologiche, ciascuna caratterizzata da peculiari attributi in termini di sicurezza, utilizzabilità e scalabilità.

Token hardware e generatori OTP

I token hardware rappresentano un’incarnazione tangibile del fattore di possesso. Questi dispositivi, solitamente nella forma di piccoli apparecchi portatili dotati di display numerico, generano password monouso (One-Time Password, OTP) sincronizzate temporalmente con i server di autenticazione. L’algoritmo TOTP (Time-based One-Time Password), standardizzato nell’RFC 6238, costituisce il substrato algoritmico dominante in queste implementazioni.

Il protocollo FIDO2 (Fast Identity Online), sviluppato dalla FIDO Alliance e adottato dal World Wide Web Consortium come standard web, rappresenta l’evoluzione più sofisticata in questo ambito, integrando crittografia asimmetrica e autenticazione locale per eliminare vulnerabilità tradizionali come il phishing e gli attacchi man-in-the-middle. Le chiavi di sicurezza fisiche compatibili con FIDO2 incarnano il concetto di “possesso” nella sua forma più avanzata, associando l’autenticazione a un elemento fisico inviolabile.

Secondo il National Institute of Standards and Technology (NIST), l’implementazione di autenticazione a più fattori che include OTP può ridurre significativamente il rischio di attacchi di phishing, in quanto le credenziali generate sono valide solo per un breve periodo di tempo. La ricerca condotta dal Centro Nazionale per la Cybersecurity del Regno Unito evidenzia una riduzione del 99,9% negli attacchi di compromissione degli account quando l’MFA viene implementata correttamente.

Autenticazione biometrica

La biometria rappresenta l’apoteosi del fattore di inerenza. Le caratteristiche fisiologiche uniche – impronte digitali, configurazioni facciali, pattern retinici, timbri vocali – costituiscono identificatori ideali in virtù della loro unicità e immutabilità relativa.

La ricerca condotta dall’Agenzia dell’Unione europea per la cibersicurezza (ENISA) evidenzia come i sistemi biometrici, quando integrati in architetture MFA, possano elevare significativamente il livello di sicurezza, pur sollevando questioni non trascurabili in termini di privacy e protezione dei dati sensibili.

L’evoluzione più recente in questo dominio è rappresentata dalla biometria comportamentale, che analizza pattern dinamici come la pressione esercitata sul touch screen, l’accelerazione nei movimenti delle mani o la cadenza della digitazione. Questa forma di “biometria invisibile” offre il vantaggio di una verifica continua e non intrusiva, particolarmente rilevante in scenari di utilizzo prolungato.

Autenticazione contestuale e adattiva

Un paradigma emergente è rappresentato dall’autenticazione contestuale e adattiva, dove l’analisi di molteplici parametri ambientali e comportamentali determina dinamicamente il livello di fiducia nell’identità dell’utente. Questo approccio olistico, che trascende la tradizionale verifica binaria, implementa un continuum di fiducia modulato in tempo reale.

L’algoritmo di autenticazione adattiva utilizza tecniche di machine learning per elaborare una costellazione di segnali contestuali: geolocalizzazione, caratteristiche del dispositivo, pattern comportamentali, anomalie temporali e parametri di rete. Il livello di sicurezza richiesto per l’accesso viene calibrato dinamicamente in base al rischio percepito, richiedendo verifiche aggiuntive solo quando necessario.

Gartner Research prevede che entro il 2026, il 60% delle grandi organizzazioni implementerà sistemi di autenticazione adattiva, abbandonando l’approccio monolitico in favore di un paradigma sensibile al contesto. Questa evoluzione rappresenta un significativo cambio di paradigma: dall’autenticazione come evento discreto all’autenticazione come processo continuo.

Il ruolo dell’MFA nell’ecosistema Zero Trust

Il paradigma Zero Trust, teorizzato inizialmente da John Kindervag nel 2010, ha rivoluzionato la concezione della sicurezza di rete, abbandonando il modello perimetrale in favore di un approccio fondato sul principio di “non fidarsi mai, verificare sempre”. In questo contesto epistemologico, l’autenticazione multi-fattoriale assume una rilevanza centrale come strumento di verifica identitaria granulare.

L’MFA costituisce un pilastro fondamentale nell’architettura Zero Trust, implementando il principio della verifica rigorosa dell’identità ad ogni punto di accesso. La sinergia tra MFA e micro-segmentazione della rete crea un ecosistema difensivo resiliente, dove ogni transazione è autenticata, autorizzata e crittografata indipendentemente dalla posizione dell’utente.

Il Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha identificato l’MFA come componente essenziale nelle strategie di implementazione Zero Trust, particolarmente nel contesto della protezione di infrastrutture critiche. La direttiva federale M-22-09, emessa dall’Office of Management and Budget nel gennaio 2022, impone l’adozione di architetture Zero Trust, con particolare enfasi sull’implementazione universale dell’MFA, in tutte le agenzie federali americane, segnalando il riconoscimento istituzionale della centralità di questo approccio.

Sfide implementative e resistenze adottive

Nonostante i benefici evidenti, l’adozione universale dell’MFA incontra resistenze multidimensionali che ne limitano la diffusione capillare.

Frizione esperienziale

L’implementazione di meccanismi di autenticazione multi-fattoriale inevitabilmente introduce elementi di complessità nell’esperienza utente. Studi condotti dal Communication Security Establishment Canada (CSEC) evidenziano come la percezione di “fatica da autenticazione” rappresenti un significativo ostacolo all’adozione volontaria di MFA da parte degli utenti finali, che tendono a privilegiare la convenienza rispetto alla sicurezza in assenza di costrizioni istituzionali.

La ricerca condotta dall’Università di Berkeley sulla “economia dell’attenzione” in contesti di sicurezza informatica dimostra come ogni barricata cognitiva aggiuntiva imposta all’utente generi un costo attenzionale che può tradursi in comportamenti elusivi o in “scorciatoie cognitive” potenzialmente rischiose. Questo fenomeno, noto come “security fatigue”, rappresenta una sfida fondamentale nell’implementazione diffusa di sistemi MFA.

Complessità infrastrutturale e interoperabilità

L’integrazione di sistemi MFA in architetture IT preesistenti può richiedere adattamenti infrastrutturali significativi, particolarmente in organizzazioni caratterizzate da ecosistemi tecnologici stratificati e legacy systems resistenti all’innovazione. L’onere economico e operativo di queste transizioni rappresenta un deterrente non trascurabile per molte entità.

La frammentazione degli standard di autenticazione e la mancanza di interoperabilità tra soluzioni proprietarie aggiungono ulteriori strati di complessità implementativa. Il consorzio FIDO Alliance sta cercando di affrontare questa problematica attraverso lo sviluppo di standard aperti come WebAuthn e CTAP (Client to Authenticator Protocol), che mirano a creare un ecosistema di autenticazione coerente e interoperabile.

Problematiche di inclusività digitale

Un aspetto spesso trascurato riguarda l’impatto dell’MFA sull’inclusività digitale. Le soluzioni biometriche possono presentare tassi di errore significativamente più elevati per determinati gruppi demografici, come evidenziato dalla ricerca del MIT Media Lab sui bias algoritmici nei sistemi di riconoscimento facciale. Analogamente, l’autenticazione basata su dispositivi mobili può risultare escludente per segmenti di popolazione con limitato accesso alla tecnologia o con competenze digitali ridotte.

L’Unione Europea, attraverso il Digital Services Act, ha iniziato ad affrontare queste problematiche imponendo requisiti di accessibilità nei sistemi di autenticazione digitale. Questa evoluzione normativa segnala la crescente consapevolezza della dimensione socio-politica dell’MFA come potenziale strumento di inclusione o esclusione digitale.

MFA e compliance normativa: il panorama regolatorio

L’evoluzione del quadro normativo in materia di protezione dei dati personali e sicurezza informatica ha catalizzato l’adozione dell’MFA come standard de facto in molteplici contesti regolamentati.

Il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea, pur non imponendo esplicitamente l’adozione dell’MFA, incorpora il principio di “sicurezza per design” (Art. 25) e richiede misure tecniche adeguate alla protezione dei dati personali (Art. 32). In questo contesto, il Comitato europeo per la protezione dei dati ha identificato l’MFA come “misura tecnica appropriata” per mitigare i rischi di accesso non autorizzato.

Analogamente, lo standard PCI-DSS 4.0 (Payment Card Industry Data Security Standard), applicabile all’industria delle carte di pagamento, richiede esplicitamente l’implementazione dell’MFA per tutti gli accessi amministrativi ai sistemi che elaborano dati di pagamento, nonché per gli accessi remoti alle reti che ospitano tali sistemi. Nell’ambito sanitario, la normativa HIPAA (Health Insurance Portability and Accountability Act) negli Stati Uniti, sebbene tecnologicamente neutrale, considera l’MFA come una salvaguardia essenziale per la protezione delle informazioni sanitarie personali, particolarmente in contesti di telemedicina e accesso remoto a cartelle cliniche elettroniche.

Questa convergenza normativa ha contribuito a istituzionalizzare l’MFA come componente imprescindibile di una strategia di cyber-compliance, spingendo le organizzazioni a implementare soluzioni multi-fattoriali non solo come misura di sicurezza, ma anche come requisito di conformità regolamentare.

L’evoluzione dell’attacco: vettori di compromissione dell’MFA

La sofisticazione crescente delle minacce cibernetiche ha prodotto metodologie d’attacco specificatamente dirette a compromettere i sistemi di autenticazione multi-fattoriale, evidenziando la natura evolutiva del conflitto tra difensori e attaccanti nel cyberspazio.

Attacchi di bypass MFA

Gli attacchi di bypass MFA rappresentano tentativi di eludere completamente il meccanismo di verifica multi-fattoriale. Tecniche come l’adversary-in-the-middle (AiTM) intercettano e manipolano in tempo reale le sessioni di autenticazione, permettendo all’attaccante di catturare token di sessione validi dopo che l’utente ha completato con successo l’autenticazione multi-fattoriale.

Microsoft Security Research ha documentato un incremento del 450% negli attacchi AiTM nel biennio 2022-2024, evidenziando l’emergere di kit di phishing modulari che automatizzano questa tipologia di attacco. La metodologia prevalente coinvolge la creazione di proxy trasparenti che intermediano le comunicazioni tra utente e servizio legittimo, intercettando le credenziali e i token di autenticazione.

SIM swapping e compromissione OTP

L’autenticazione basata su SMS rappresenta uno degli anelli deboli nel paradigma MFA, vulnerabile a tecniche di SIM swapping dove l’attaccante, attraverso ingegneria sociale o corruzione di personale interno, ottiene il controllo del numero telefonico della vittima. Questa tecnica, particolarmente efficace contro l’autenticazione a due fattori basata su messaggi di testo, ha registrato un incremento del 600% negli ultimi tre anni secondo i dati della Federal Communications Commission americana.

La risposta tecnologica a questa vulnerabilità si è concretizzata nell’adozione di applicazioni di autenticazione dedicate che generano OTP localmente sul dispositivo, eliminando la dipendenza dal canale SMS. Google Authenticator, Microsoft Authenticator e Authy rappresentano esempi paradigmatici di questa evoluzione, che sfrutta l’hashing crittografico e la sincronizzazione temporale per generare codici monouso svincolati dalla rete cellulare.

Social engineering e manipolazione cognitiva

La dimensione umana continua a rappresentare una vulnerabilità significativa anche nei sistemi MFA più avanzati. Le tecniche di ingegneria sociale evolute sfruttano principi di psicologia cognitiva per indurre gli utenti a compromettere volontariamente i propri meccanismi di sicurezza.

L’attacco di “MFA bombing” o “MFA fatigue”, documentato dal CERT-EU nel 2023, rappresenta un esempio emblematico di questa convergenza tra manipolazione psicologica e tecnologica. L’attaccante inonda la vittima con richieste di autenticazione legittime ma non sollecitate, generando affaticamento decisionale fino a indurla ad approvare una richiesta per pura esaustione cognitiva.

L’FBI ha riportato che questa tecnica è stata impiegata con successo in diverse compromissioni ad alto profilo, evidenziando come anche l’MFA possa essere vulnerabile quando interseca le fragilità cognitive umane.

Frontiere evolutive e prospettive future

L’orizzonte evolutivo dell’MFA si caratterizza per tendenze trasformative che promettono di ridefinire il paradigma stesso dell’autenticazione digitale.

Autenticazione continua e comportamentale

Il MIT Technology Review ha documentato l’emergere di sistemi di “autenticazione continua”, dove l’identità dell’utente viene verificata in maniera persistente attraverso l’analisi comportamentale. Parametri come pattern di digitazione, movimenti del mouse e abitudini navigazionali costituiscono una firma comportamentale che, analizzata attraverso algoritmi di machine learning, può rilevare anomalie indicative di accessi non autorizzati.

Questa metodologia rappresenta un superamento del tradizionale modello di autenticazione discreto, evolvendo verso un paradigma di “identità fluida” costantemente rivalutata. L’università di Cambridge ha dimostrato che l’autenticazione comportamentale può raggiungere tassi di accuratezza superiori al 97% con falsi positivi inferiori al 2%, rendendo questa tecnologia sufficientemente matura per implementazioni in contesti di sicurezza critica.

Passwordless authentication: oltre la password

Il paradigma “passwordless” rappresenta l’evoluzione naturale dell’MFA, dove il fattore tradizionalmente più debole – la password – viene completamente eliminato in favore di combinazioni di fattori intrinsecamente più robusti. FIDO2, WebAuthn e l’iniziativa Passkeys di Apple, Google e Microsoft rappresentano implementazioni concrete di questa visione, sostituendo le password con chiavi crittografiche asimmetriche ancorate a dispositivi fisici e protette da verifiche biometriche locali.

Questo approccio risolve simultaneamente molteplici problematiche: elimina la vulnerabilità alle tecniche di credential stuffing e password spraying, riduce l’impatto cognitivo sull’utente e mitiga il rischio di data breach centralizzati. Secondo Gartner, entro il 2027 il 60% delle grandi imprese e il 40% delle medie imprese avranno implementato strategie di autenticazione passwordless.

Integrazione di tecnologie emergenti: blockchain e quantum computing

L’intersezione tra MFA e tecnologie emergenti come blockchain e quantum computing delinea scenari evolutivi di particolare interesse. I sistemi di identità decentralizzata basati su blockchain promettono di rivoluzionare il concetto stesso di autenticazione, eliminando la necessità di repository centralizzati di credenziali e minimizzando i rischi associati alle violazioni di dati massivi.

Il progetto Decentralized Identity Foundation, supportato da aziende come Microsoft, IBM e Accenture, sta sviluppando standard aperti per identità digitali auto-sovrane, dove l’utente mantiene il pieno controllo dei propri attributi identitari, concedendo accesso selettivo attraverso prove crittografiche verificabili. Questo paradigma elimina la necessità di database centralizzati di credenziali, dissolvendo il concetto stesso di “account” in favore di attestazioni crittograficamente verificabili.

Parallelamente, ricercatori della Stanford University stanno esplorando l’applicazione di protocolli di crittografia quantum-resistant nell’ambito dell’MFA, anticipando l’avvento di computer quantistici capaci di compromettere gli attuali algoritmi crittografici. Questi protocolli “post-quantum” mirano a garantire la sicurezza delle comunicazioni anche in uno scenario dove gli algoritmi convenzionali diventassero vulnerabili.

La NIST ha recentemente standardizzato i primi algoritmi crittografici resistenti agli attacchi quantistici, segnalando l’ingresso in una nuova era della sicurezza computazionale. L’integrazione di questi algoritmi nei sistemi MFA rappresenta una frontiera di ricerca particolarmente attiva, con l’obiettivo di garantire la resilienza dei sistemi di autenticazione nell’era quantistica.

MFA nell’Internet delle Cose: nuove sfide e paradigmi

La proliferazione di dispositivi IoT, caratterizzati da vincoli significativi in termini di capacità computazionale, autonomia energetica e interfaccia utente, pone sfide inedite all’implementazione dell’MFA in contesti non convenzionali. La ricerca dell’Università di Twente ha evidenziato come i tradizionali paradigmi di autenticazione risultino inadeguati nell’ecosistema IoT, dove l’interazione umana diretta è spesso assente o limitata.

Emergono così nuove architetture MFA specificamente concepite per ambienti IoT, dove l’autenticazione si basa su parametri contestuali come pattern di comunicazione, firma elettromagnetica, caratteristiche fisiche dell’ambiente e correlazione tra sensori. Questi approcci, noti come “Implicit Authentication”, sfruttano le proprietà intrinseche dell’ecosistema IoT per stabilire l’autenticità delle comunicazioni senza richiedere intervento umano esplicito.

Il consorzio GlobalPlatform ha rilasciato specifiche per l’implementazione di Trusted Execution Environments in dispositivi IoT, creando “isole di fiducia” hardware in grado di eseguire operazioni crittografiche sicure anche in dispositivi con vincoli significativi di risorse. Questa evoluzione rappresenta un passo fondamentale verso l’estensione del paradigma MFA all’universo degli oggetti connessi.

La dimensione economica: MFA come investimento

L’analisi economica dell’implementazione MFA richiede un approccio olistico che trascenda la mera valutazione dei costi diretti, incorporando considerazioni relative al ritorno sull’investimento in termini di mitigazione del rischio e conformità normativa.

Il Ponemon Institute, in collaborazione con IBM Security, ha quantificato il costo medio di una violazione dei dati in 4,45 milioni di dollari nel 2023, con un incremento del 15% rispetto all’anno precedente. Lo stesso studio ha evidenziato come l’implementazione di autenticazione multi-fattoriale sia associata a una riduzione media del 50% nei costi delle violazioni, traducendosi in un risparmio potenziale di oltre 2 milioni di dollari per incidente.

La valutazione economica dell’MFA deve considerare inoltre il valore dell’assicurazione cyber, i cui premi sono significativamente influenzati dall’adozione di controlli di sicurezza robusti. L’implementazione dell’MFA è diventata un requisito standard per l’ottenimento di coperture assicurative cyber a tariffe competitive, configurandosi come un investimento con ritorno tangibile anche in termini di costi assicurativi.

Verso un’ecologia dell’autenticazione

L’autenticazione multi-fattoriale rappresenta un paradigma di sicurezza digitale la cui rilevanza è destinata ad accrescersi proporzionalmente all’intensificarsi delle minacce cibernetiche. La sua evoluzione, da concetto fondamentale a ecosistema tecnologico articolato, riflette la complessificazione progressiva dell’ambiente digitale e delle relative vulnerabilità.

L’imperativo categorico per organizzazioni e individui diviene l’adozione di una prospettiva olistica sulla sicurezza informatica, dove l’MFA costituisce non un elemento isolato ma una componente integrata in una strategia di difesa stratificata. La convergenza tra tecnologie emergenti, evoluzione normativa e ricerca interdisciplinare sta plasmando una nuova ecologia dell’autenticazione, caratterizzata da fluidità, contestualità e adattività.

In questo panorama in rapida evoluzione, l’MFA emerge non solo come tecnica difensiva, ma come paradigma epistemologico che ridefinisce il concetto stesso di identità digitale. La transizione da un modello di verifica binaria e discreta a un continuum di fiducia modulato dinamicamente rappresenta forse la più profonda trasformazione concettuale in corso nell’ambito della sicurezza identitaria.

Solo attraverso questa visione sistemica ed evolutiva sarà possibile navigare con relativa sicurezza le acque turbolente della cyber-vulnerabilità contemporanea, perseguendo l’ideale di un’identità digitale simultaneamente sicura, fruibile e rispettosa della privacy individuale.

Bibliografia

https://www.ictsecuritymagazine.com/notizie/mfa/

Nel panorama fluido della sicurezza digitale contemporanea, la valutazione del rischio emerge come architrave metodologica di qualsiasi strategia difensiva efficace. Questo processo, lungi dall’essere un mero esercizio tecnico, rappresenta l’intersezione tra analisi quantitativa, interpretazione qualitativa e capacità predittiva in un ecosistema dove la minaccia è perennemente mutevole.

L’ontologia del rischio digitale

Il rischio informatico si configura come una funzione complessa che correla la probabilità di un evento avverso con l’impatto potenziale che esso potrebbe generare. Questa dualità concettuale – probabilità e impatto – costituisce il nucleo epistemologico su cui si fonda ogni assessment strutturato. Non si tratta di una semplice equazione matematica, ma di un processo ermeneutico che richiede tanto rigore scientifico quanto intuizione strategica.

Le organizzazioni affrontano oggi un’estensione del perimetro di rischio che travalica i confini tradizionali dell’infrastruttura IT, abbracciando dimensioni come il cloud computing, l’Internet of Things e la crescente interrelazione con terze parti. Questo ampliamento della superficie d’attacco richiede un approccio olistico alla valutazione, capace di trascendere la frammentazione dipartimentale tipica delle strutture organizzative convenzionali.

Metodologie e framework di riferimento

L’ecosistema metodologico per la valutazione del rischio informatico presenta una pluralità di approcci, ciascuno con specifiche peculiarità epistemologiche: Il NIST Risk Management Framework rappresenta un paradigma procedurale che integra la gestione del rischio nel ciclo di vita dei sistemi informativi, articolandosi in sei fasi interconnesse: categorizzazione, selezione, implementazione, valutazione, autorizzazione e monitoraggio. La sua architettura concettuale favorisce l’integrazione con altri standard regolatori, costituendo un meta-modello di riferimento nella governance federale statunitense.

ISO/IEC 27005, incardinato nella famiglia di standard 27000, propone invece un approccio ciclico che enfatizza la continuità del processo valutativo, sottolineando l’importanza dell’iterazione come risposta alla natura dinamica delle minacce digitali. La sua adozione internazionale lo rende un linguaggio comune nella comunicazione inter-organizzativa del rischio.

FAIR (Factor Analysis of Information Risk) introduce una dimensione quantitativa più sofisticata, modellizzando il rischio attraverso distribuzioni probabilistiche che permettono una rappresentazione più granulare dell’incertezza intrinseca al dominio. Questa monetizzazione del rischio facilita il dialogo con i decisori esecutivi, trasformando l’assessment da esercizio tecnico a strumento di governance strategica.

La dialettica tra approcci quantitativi e qualitativi

La tensione metodologica tra quantificazione e qualificazione del rischio rappresenta un asse dialettico fondamentale nella disciplina. Gli approcci quantitativi, con la loro promessa di oggettività algoritmica, offrono una sintassi formale per descrivere la complessità del rischio, ma possono incorrere nella fallacia della precisione illusoria quando applicati a domini caratterizzati da incertezza profonda.

D’altro canto, le metodologie qualitative, basate su scale ordinali e giudizi esperti, garantiscono flessibilità interpretativa e adattabilità contestuale, ma rischiano di introdurre distorsioni cognitive e inconsistenze valutative. La frontiera più promettente risiede nell’integrazione sinergica di entrambe le prospettive, in un modello ibrido che sappia coniugare il rigore formale con la sensibilità contestuale.

La dimensione temporale: dal rischio statico all’assessment continuo

Il paradigma tradizionale della valutazione del rischio, strutturato su cicli periodici e revisioni programmate, mostra evidenti limiti in un contesto caratterizzato da minacce persistenti avanzate (APT) e vulnerabilità zero-day. La transizione verso modelli di Continuous Risk Assessment rappresenta una risposta evolutiva a questa accelerazione della dinamica avversariale.

Questo spostamento paradigmatico implica una riconcettualizzazione dell’infrastruttura di monitoraggio, l’integrazione di capacità analitiche in tempo reale e l’adozione di architetture responsive capaci di ricalibrare automaticamente i parametri di rischio in risposta a nuovi indicatori di compromissione.

La dimensione umana: oltre il determinismo tecnologico

Nonostante la sofisticazione algoritmica dei moderni strumenti di valutazione, il fattore umano permane come variabile critica nell’equazione del rischio. La sicurezza comportamentale (behavioral security) emerge come disciplina complementare, riconoscendo che molte compromissioni derivano da vulnerabilità cognitive piuttosto che da debolezze tecniche.

L’integrazione di metriche psicometriche nei modelli di rischio, la valutazione della maturità della cultura della sicurezza e l’analisi delle dinamiche socio-organizzative rappresentano frontiere di ricerca promettenti per una modellazione più realistica della superficie di vulnerabilità.

L’asimmetria informativa e il paradosso dell’incertezza

Un aspetto epistemologicamente rilevante della valutazione del rischio risiede nella fondamentale asimmetria informativa tra difensori e attaccanti. Mentre i primi operano in un regime di trasparenza obbligata, dovendo proteggere sistemi completamente mappati e documentati, i secondi beneficiano dell’opacità strategica, potendo selezionare vettori d’attacco imprevisti.

Questa asimmetria strutturale impone l’adozione di principi di difesa in profondità (defense-in-depth) e l’incorporazione sistematica dell’incertezza nei modelli predittivi. Paradossalmente, la consapevolezza dei limiti conoscitivi può rafforzare la resilienza difensiva, stimolando approcci più robusti e stratificati.

La sovereignizzazione dell’assessment: geopolitica della sicurezza digitale

L’evoluzione contemporanea della valutazione del rischio informatico non può prescindere dalla sua contestualizzazione geopolitica. Assistiamo ad una progressiva sovereignizzazione delle pratiche di sicurezza, con stati nazionali che sviluppano framework proprietari rispondenti a specifiche visioni strategiche e dottrine di sicurezza nazionale.

Questa frammentazione normativa genera un mosaico globale di standard eterogenei che pone sfide significative alle organizzazioni transnazionali, costrette a navigare una complessità regolamentare crescente. Il RegTech (Regulatory Technology) emerge come disciplina ancillare, tentando di automatizzare la compliance attraverso architetture adattive capaci di riconfigurare i modelli di rischio in funzione delle giurisdizioni rilevanti.

La tensione tra universalismo metodologico e particolarismo normativo costituisce un dilemma irrisolto che riflette più ampie contraddizioni nella governance digitale globale.

L’assessment nel paradigma Zero Trust: dalla perimetrazione alla verificabilità perpetua

L’obsolescenza del modello di sicurezza perimetrale tradizionale ha catalizzato l’ascesa dell’architettura Zero Trust, fondamentalmente riconfigurando le coordinate concettuali della valutazione del rischio. In questa cornice epistemica, l’assessment si trasfigura da esercizio discontinuo e localizzato a flusso valutativo ininterrotto che interroga costantemente la legittimità di ogni transazione digitale.

Il principio “never trust, always verify” comporta una granularizzazione senza precedenti del rischio, ora atomizzato al livello della singola interazione. Questa micronizzazione valutativa richiede infrastrutture analitiche capaci di operare a scale precedentemente inconcepibili, fondendosi con tecnologie emergenti come l’edge computing per minimizzare la latenza decisionale.

Tale paradigma dissolve la dicotomia tradizionale tra interno ed esterno, sostituendola con una topologia di fiducia condizionale perpetuamente rinegoziata, dove il rischio viene calcolato come funzione contestuale di molteplici vettori identitari, comportamentali e situazionali.

La convergenza delle superfici: IT, OT e rischio cibernetico-fisico

La progressiva dissoluzione dei confini tra tecnologie operazionali (OT) e infrastrutture informative (IT) ha generato una complessa superficie ibrida che richiede metodologie valutative capaci di trascendere le tradizionali categorizzazioni disciplinari. Nel contesto dell’Industria 4.0 e delle smart infrastructures, la valutazione del rischio deve necessariamente abbracciare la dimensione cibernetico-fisica (cyber-physical), riconoscendo le potenziali cascate di compromissione tra domini precedentemente disgiunti.

Questo amalgama tecnologico impone un ripensamento radicale dei modelli di impatto, ora costretti a contemplare scenari che travalicano la mera compromissione informativa per includere potenziali ripercussioni cinetiche. La crescente digitalizzazione di settori critici come energia, trasporti e sanità amplifica ulteriormente questa convergenza, trasformando vulnerabilità digitali in vettori di rischio esistenziale.

L’assessment in questi ecosistemi ibridi richiede competenze transdisciplinari e metodologie sintetiche che integrino domini epistemici storicamente separati, dalla sicurezza informatica all’ingegneria dei sistemi fisici, dall’analisi di affidabilità alla safety critica.

Il rischio algoritmico: l’intelligenza artificiale come soggetto e oggetto dell’assessment

L’intelligenza artificiale emerge contemporaneamente come soggetto e oggetto della valutazione del rischio, in una complessa dialettica riflessiva. Da un lato, i sistemi AI vengono impiegati per potenziare le capacità predittive e analitiche dell’assessment, promettendo elaborazione di pattern non lineari e correlazioni latenti invisibili alle metodologie tradizionali. Dall’altro, questi stessi sistemi rappresentano una nuova categoria di rischio che richiede framework valutativi dedicati.

Il rischio algoritmico presenta peculiarità ontologiche distintive: opacità decisionale, comportamenti emergenti non previsti in fase di design, vulnerabilità a manipolazioni avversariali e potenziale di amplificazione automatizzata di bias preesistenti. Queste caratteristiche sfidano i paradigmi tradizionali dell’assessment, progettati per sistemi deterministici con comportamenti ben definiti.

La valutazione del rischio AI-driven necessita di una riconcettualizzazione che integri principi di explainability, fairness e robustezza, riconoscendo la natura probabilistica e contestuale delle inferenze algoritmiche. Framework emergenti come AI Risk Management Framework del NIST rappresentano tentativi pionieristici di codificare questa nuova dimensione valutativa.

Parallelamente, l’impiego dell’AI nella difesa cibernetica introduce complessità di secondo ordine, con sistemi difensivi che potrebbero manifestare vulnerabilità emergenti o generare falsi positivi con impatti operativi significativi. Questa ricorsività del rischio richiede meta-modelli valutativi capaci di catturare dinamiche auto-referenziali.

La risk literacy come imperativo socio-tecnico

La crescente complessità della superficie di rischio digitale travalica le capacità interpretative di singoli esperti o dipartimenti isolati, richiedendo una diffusione capillare di competenze valutative attraverso l’intero tessuto organizzativo. La risk literacy emerge come meta-competenza cruciale, trascendendo le tradizionali categorizzazioni professionali.

Questa alfabetizzazione al rischio non si limita alla comprensione tecnica di vulnerabilità e minacce, ma abbraccia dimensioni cognitive ed epistemiche più profonde: consapevolezza dei bias decisionali, comprensione delle logiche probabilistiche, capacità di navigare contesti caratterizzati da incertezza profonda e ambiguità intrinseca.

Le organizzazioni all’avanguardia stanno riconcettualizzando i propri programmi formativi, integrando elementi di epistemologia applicata, teoria della complessità e pensiero sistemico accanto alle tradizionali competenze tecniche. Questa evoluzione riconosce che la resilienza digitale è fondamentalmente un fenomeno socio-tecnico che emerge dall’interazione tra sistemi tecnologici e reti cognitive umane.

La supply chain del rischio: ecosistemi vulnerabili e dipendenze transitive

L’interconnessione sistemica delle infrastrutture digitali contemporanee ha generato cascate di dipendenza che amplificano e ridistribuiscono il rischio attraverso network di relazioni commerciali, tecnologiche e operative. L’assessment tradizionale, focalizzato su perimetri organizzativi ben definiti, si rivela inadeguato di fronte alla natura transitiva delle vulnerabilità in ecosistemi digitali stratificati.

Eventi recenti come la compromissione SolarWinds o l’exploit di Log4j hanno drammaticamente evidenziato come vulnerabilità localizzate possano propagarsi attraverso catene di dipendenza, generando superfici di attacco emergenti non rilevabili attraverso analisi concentrate su singoli nodi dell’ecosistema.

Metodologie evolute di Third Party Risk Management (TPRM) tentano di modellizzare queste dipendenze transitive attraverso rappresentazioni topologiche che mappano non solo relazioni dirette ma anche catene di fornitura di secondo e terzo livello. Questo approccio richiede capacità analitiche sofisticate e accesso a metadati distribuiti, spesso ostacolato da asimmetrie informative e resistenze organizzative alla condivisione di informazioni sensibili.

La Trust Federation emerge come paradigma complementare, tentando di bilanciare la necessità di trasparenza con legittime preoccupazioni di riservatezza attraverso architetture informative che permettano verifiche attestabili senza completa divulgazione. Blockchain e tecnologie di zero-knowledge proof offrono promettenti substrati tecnologici per questi modelli federati di risk assessment.

Conclusioni: verso una metascienza del rischio digitale

La valutazione del rischio nella sicurezza digitale trascende ormai i confini di una mera pratica tecnica per configurarsi come disciplina epistemica autonoma, con propri paradigmi, metodologie e frontiere di ricerca. La sua evoluzione futura richiederà un’integrazione sempre più profonda con domini adiacenti come l’intelligenza artificiale, la teoria della complessità e le scienze comportamentali.

In un’epoca caratterizzata da quella che Ulrich Beck definiva “società del rischio”, l’assessment digitale assume valenze che travalicano le mere considerazioni tecniche per innestarsi in più ampie dinamiche sociali, economiche e politiche. La crescente digitalizzazione dell’esistenza trasforma la sicurezza informatica da dominio specialistico a infrastruttura critica della civiltà contemporanea.

La sfida centrale risiede nel sviluppare arsenali metodologici che bilancino determinismo analitico e comprensione dell’incertezza radicale, quantificazione algoritmica e sensibilità contestuale, tecnicità procedurale e consapevolezza delle implicazioni etiche. Solo attraverso questa sintesi transdisciplinare la valutazione del rischio potrà emergere come autentico strumento di resilienza digitale in un ecosistema caratterizzato da complessità irriducibile e cambiamento accelerato.

Il vero obiettivo non è l’eliminazione dell’incertezza – aspirazione illusoria in un dominio intrinsecamente complesso – ma la sua gestione informata attraverso modelli concettuali e operativi che bilancino rigore analitico e pragmatismo decisionale. In ultima analisi, la valutazione del rischio digitale rappresenta un esercizio di navigazione epistemica tra conoscibilità e indeterminazione, in un territorio dove la mappa non è mai perfettamente sovrapponibile al territorio.

Bibliografia

• NIST. (2022). “Risk Management Framework for Information Systems and Organizations” (NIST SP 800-37 Rev. 2). https://csrc.nist.gov/publications/detail/sp/800-37/rev-2/final
• International Organization for Standardization. (2018). “ISO/IEC 27005:2018 Information technology — Security techniques — Information security risk management”. https://www.iso.org/standard/75281.html
• Hubbard, D. W., & Seiersen, R. (2016). “How to Measure Anything in Cybersecurity Risk”. Wiley.
• FAIR Institute. (2021). “Factor Analysis of Information Risk (FAIR) Framework”. https://www.fairinstitute.org/fair-framework
• European Union Agency for Cybersecurity (ENISA). (2024). “Threat Landscape 2024”. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024
• Lallie, H. S., et al. (2023). “The Evolution of Cyber-Physical Threats in Critical Infrastructure: A Systematic Review”. Journal of Network and Computer Applications, Vol. 203.
• Ponemon Institute. (2024). “Cost of a Data Breach Report 2024”. IBM Security.
• World Economic Forum. (2025). “Global Risks Report 2025”. https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdfhttps://www3.weforum.org/docs/WEF_Global_Risks_Report_2024.pdf
• NIST. (2023). “Artificial Intelligence Risk Management Framework” (AI RMF 1.0). https://www.nist.gov/itl/ai-risk-management-framework
• Beck, U. (1992). “Risk Society: Towards a New Modernity”. SAGE Publications.
• Cohen, F. (2023). “The Zero Trust Risk Assessment Model: A Formal Approach”. Journal of Cybersecurity, Vol. 9, Issue 2.
• Schneier, B. (2023). “A Hacker’s Mind: How the Powerful Bend Society’s Rules, and How to Bend them Back”. W. W. Norton & Company.
• MITRE. (2024). “Supply Chain Risk Framework and Practices”. https://www.mitre.org/focus-areas/cybersecurity/supply-chain-risk-management
• European Commission. (2023). “Cyber Resilience Act”. https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act
• Kahneman, D., Sibony, O., & Sunstein, C. R. (2021). “Noise: A Flaw in Human Judgment”. Little, Brown Spark.

https://www.ictsecuritymagazine.com/notizie/rischio-digitale/

Nella prima Tavola Rotonda tenutasi durante la 13a Edizione della Cyber Crime Conference, il 16 aprile 2025, sono intervenuti:

• Luigi Birritteri, Capo del Dipartimento per gli affari di Giustizia;
• Ivano Gabrielli, Direttore del Servizio Polizia Postale per la Sicurezza Cibernetica;
• Gianluca Galasso, Direttore del Servizio Operazioni dell’Agenzia per la Cybersicurezza Nazionale;
• Pasquale Stanzione, Presidente dell’Autorità Garante per la Protezione dei Dati Personali;

Moderatrice:

● Donatella Curtotti, Professoressa ordinaria in Diritto processuale penale presso il Dipartimento di Giurisprudenza dell’Università di Foggia.

L’incontro ha analizzato – attraverso le prospettive dei principali attori istituzionali coinvolti – l’ecosistema italiano di contrasto al cybercrime, evidenziando l’interazione tra aspetti investigativi e giudiziari, nonché le metodologie operative attuali e le sfide future nella lotta al crimine informatico.

Ne è emersa con chiarezza la necessità di un approccio investigativo multidisciplinare, che sappia contemperare le esigenze di sicurezza con il rispetto dei diritti fondamentali.

Nel panorama della sicurezza nazionale sta prendendo forma, con la discrezione che spesso accompagna le rivoluzioni più profonde, una trasformazione tale da sovvertire categorie consolidate da decenni.

La Tavola Rotonda “Il Modello Italiano di Contrasto al Cybercrime: dalla Prevenzione all’Azione Giudiziaria” ha portato alla luce questo fermento sotterraneo, rivelando come le architetture istituzionali tradizionali stiano subendo una metamorfosi tanto ineludibile quanto necessaria: le rigide distinzioni tra gli ambiti della prevenzione e della repressione, come anche tra le dimensioni della sicurezza e della giustizia, stanno cedendo il passo a un approccio sempre più osmotico e integrato.

Guarda la registrazione video del panel:

La prof.ssa Donatella Curtotti, inaugurando la discussione, ha sintetizzato l’essenza di questa transizione epocale: «Nell’università italiana siamo abituati a insegnare che i vari comparti della sicurezza appartengono a funzioni diverse dello Stato: prevenzione e repressione da un lato, giustizia penale dall’altro. In questo quadro è stata poi calata, all’improvviso, la privacy».

Un’impostazione profondamente radicata nell’architettura costituzionale e nel principio di legalità che ne costituisce il fondamento, a lungo tradotta nella netta separazione funzionale tra vari organi che raccoglievano e gestivano informazioni «in proprio»; con un’osmosi tra le diverse Agenzie che, quando avveniva, restava sempre «un po’ sotto il radar».

È proprio questa impalcatura concettuale e istituzionale che l’avvento del cyberspazio ha irreversibilmente destabilizzato.

Il cybercrime – fenomeno proteiforme per sua natura, caratterizzato da un’intrinseca transnazionalità, da una complessità tecnica in costante evoluzione e da una fulminea velocità di mutazione – ha fatto implodere le distinzioni spazio-temporali su cui si fondava l’intero edificio delle competenze separate.

«Con l’avvento del cyber», ha osservato la prof.ssa Curtotti, «tutto è cambiato. Il cyber altera completamente le dimensioni della vita, anche sul piano temporale; ed è ormai fondamentale anche in materia di investigazione».

In questo nuovo universo digitale, la tradizionale distinzione tra operazioni di intelligence e indagini di polizia giudiziaria è da ritenersi, nelle parole della moderatrice, «ormai obsoleta». L’urgenza della minaccia, la sua capacità di metamorfosi in tempo reale e la sua intrinseca extraterritorialità richiedono non solo una risposta coordinata ma un ripensamento fondamentale delle stesse categorie attraverso cui concepiamo la sicurezza e la giustizia nell’era digitale.

L’Agenzia per la Cybersicurezza Nazionale: architettura di una resilienza sistemica

Al cuore di questa trasformazione si colloca, con crescente autorevolezza, l’Agenzia per la Cybersicurezza Nazionale (ACN), istituita nel 2021.

Il dott. Gianluca Galasso, Direttore del Servizio Operazioni dell’Agenzia, ha tracciato con precisione la traiettoria evolutiva del nostro Paese: «Storicamente, l’Italia si è mossa in ritardo rispetto ad altre nazioni con cui ci confrontiamo. Se da qualche anno abbiamo colmato questo ritardo, rilevo che ancora c’è bisogno di raccontare il ruolo dell’Agenzia in questo ecosistema cibernetico».

Tale riflessione svela due elementi significativi: la consapevolezza del ritardo italiano in ambito di cybersicurezza, nonché la natura ancora in divenire dell’architettura istituzionale di settore. La stessa denominazione del campo d’azione dell’ACN – la “cyber resilienza” – trascende la mera protezione dai rischi informatici, per abbracciare un concetto più ampio e dalla portata sistemica: «Occupandoci di cyber resilienza», ha precisato Galasso, «le nostre iniziative sono finalizzate a creare le condizioni affinché l’ecosistema digitale del paese sia protetto a livello adeguato».

In questa formulazione si coglie un elemento distintivo della strategia italiana, dove l’attenzione non è rivolta al singolo cittadino ma all’ecosistema digitale nel suo complesso, quindi alle infrastrutture che i cittadini utilizzano quotidianamente: «Il nostro compito non è proteggere la singola persona, bensì le infrastrutture digitali che poi le persone utilizzano, in ambito sia personale che professionale».

L’orizzonte operativo dell’ACN delinea, quindi, una cartografia delle priorità nazionali che può tradursi in una mappatura delle vulnerabilità sistemiche, includendo le infrastrutture critiche nazionali nonché gli apparati della Pubblica Amministrazione centrale e periferica, fino al vasto arcipelago delle PMI.

«Il tessuto produttivo delle piccole e medie imprese è ciò su cui sostanzialmente si regge il PIL nazionale», ha sottolineato Galasso; mettendo in luce una peculiarità dell’ecosistema economico italiano che, risultando particolarmente vulnerabile agli attacchi informatici, necessariamente si riflette nell’architettura della sicurezza cibernetica.

In tale contesto, accanto al rafforzamento del Perimetro di Sicurezza Nazionale cibernetica (PSNC), il recente recepimento della direttiva NIS2 ha rappresentato un punto di svolta sia quantitativo che qualitativo nell’approccio regolatorio. Il perimetro dei soggetti obbligati a conformarsi a requisiti di cybersicurezza ha subìto una dilatazione esponenziale, che riflette la crescente pervasività delle tecnologie digitali in tutti i settori dell’economia e della società; di conseguenza si è ampliato anche il ruolo dell’ACN, a cui spetta supportare tali realtà nel loro percorso di conformità ai nuovi requisiti.

Tuttavia, secondo l’analisi di Galasso, l’elemento rivoluzionario risiede nel “salto culturale” imposto dalla normativa europea: «Il vero messaggio della NIS2 è che la sicurezza è un tema di rischio aziendale, che quindi deve essere trattato al massimo livello all’interno dell’organizzazione».

In questa affermazione si coglie una transizione fondamentale: l’elevazione della cybersicurezza dal dominio puramente tecnico-operativo – tradizionalmente confinato ai reparti IT – a quello strategico-manageriale, che la colloca sullo stesso piano dei rischi finanziari, legali o reputazionali nel quadro della governance aziendale.

La Polizia Postale, dall’investigazione all’approccio multilivello

Sotto la guida del dott. Ivano Gabrielli, la Polizia Postale e delle Comunicazioni ha attraversato una profonda metamorfosi per fronteggiare le nuove sfide del cybercrime contemporaneo.

Un’evoluzione che, a ben vedere, ha riguardato le agenzie investigative di molti Paesi.
Gabrielli ha rievocato un momento topico di questa mutazione: nel 2006, in un contesto di crescente consapevolezza delle vulnerabilità digitali, una direttiva dell’allora Presidente USA Barack Obama stabilì che tutte le indagini concernenti attacchi a infrastrutture critiche nazionali dovessero essere affidate all’FBI.

Insieme al consolidamento del framework normativo internazionale (a cominciare dalla Convenzione di Budapest) il provvedimento, solo apparentemente settoriale, segnò l’inizio di un percorso che avrebbe portato a ripensare l’approccio investigativo ai reati informatici in tutto il pianeta.

Tale rivoluzione concettuale – nell’analisi di Gabrielli – consiste nell’adozione di un approccio multilivello, che vede sulla “scena del crimine informatico” diversi attori istituzionali, ciascuno portatore di competenze specifiche ma complementari.

«Oggi sulla stessa scena si presentano varie istituzioni», ha spiegato, «in risposta alle varie esigenze che si manifestano in seguito a un attacco cyber: l’esigenza di investigare, di rimettere in piedi i sistemi colpiti e di proteggere altri sistemi analoghi, nonché l’esigenza della lettura del fatto dal punto di vista della sicurezza nazionale ed eventualmente anche in termini di difesa nazionale».

Questa multidimensionalità del fenomeno, oltre alla compresenza di diversi attori, richiede anche una loro istituzionalizzazione. Se infatti sono sempre esistiti momenti di contatto tra Polizia giudiziaria e agenzie di intelligence, oggi ciò avviene attraverso organismi di coordinamento dedicati, come il Nucleo per la Cyber Sicurezza (NCS) o il Comitato di Analisi Strategica per la Sicurezza Cibernetica del Ministero dell’Interno; quest’ultimo esplicitamente modellato sull’esperienza delle strutture Antiterrorismo, a riprova della percezione della minaccia cyber come questione prioritaria di sicurezza nazionale.

La crescente complessità delle minacce informatiche ha imposto altresì un’evoluzione degli strumenti giuridici a disposizione degli investigatori. In merito, la Legge 137 del 2023 ha esteso al campo dei crimini digitali la possibilità di condurre operazioni sotto copertura, permettendo operazioni più incisive contro fenomeni come gli attacchi ransomware.

«Oggi», ha sottolineato Gabrielli, «non possiamo pensare di condurre attività investigative sulle organizzazioni responsabili di attacchi ransomware senza poter svolgere attività undercover, che ci danno la possibilità di andare oltre la semplice trattativa».

A questi strumenti si aggiungono le intercettazioni telematiche e l’introduzione della figura del collaboratore di giustizia nel settore cyber, anch’essa mutuata dall’esperienza nel contrasto alla criminalità organizzata tradizionale.

«Stiamo parlando veramente di un modo nuovo di concepire istituti giuridici che un tempo erano puntualmente riconducibili all’interno di singole competenze od organismi dello Stato: ora è tempo di ridefinire ruoli e responsabilità, per evitare il rischio di lasciare zone grigie e disperdere energie investigative» ha concluso Gabrielli, delineando così i contorni di un’autentica rivoluzione metodologica nell’approccio alle indagini sui reati informatici.

La ridefinizione della giurisdizione: il contributo del Dipartimento per gli Affari di Giustizia

L’intervento del dott. , Capo del Dipartimento per gli Affari di Giustizia, ha introdotto nel dibattito un’ulteriore dimensione fondamentale, relativa al tema della giurisdizione.

Laddove infatti i crimini digitali travalicano sistematicamente i confini nazionali, il tradizionale principio di giurisdizione su base territoriale affronta una crisi epistemologica senza precedenti.

Birritteri ha esordito mettendo in guardia la platea dall’eccessiva “procedimentalizzazione” in tema di prove digitali, che rischia di ritardare la risposta ai reati cyber.

Ha quindi condiviso riflessioni maturate nell’esperienza da capo della delegazione italiana alle Nazioni Unite per l’elaborazione della Convenzione ONU sul Cybercrime, evocando «lo “squagliarsi” del concetto di giurisdizione come l’abbiamo conosciuta negli ultimi 100 anni, connessa al territorio inteso come spazio fisico».

In altre parole, la giurisdizione – tradizionalmente ancorata ai confini geografici e politici, delimitazione fondamentale degli Stati moderni – va oggi applicata a una realtà in cui le azioni criminali si compiono in uno spazio virtuale, senza confini definiti, sfuggendo così alle maglie tradizionali dell’esercizio del potere giurisdizionale.

Coerentemente, il relatore ha sottolineato come la risposta a questa sfida debba necessariamente collocarsi sul piano degli accordi sovranazionali.

Se la Convenzione rappresenta un passo nella giusta direzione, il cammino verso un sistema giurisdizionale adeguato all’era digitale è ancora lungo e irto di ostacoli sia pratici che concettuali; primo fra tutti l’obbligo di bilanciare le previsioni normative con la tutela dei diritti umani, senza lasciare che le differenze giuridiche e culturali tra diversi Stati consentano di “forzare la mano” rispetto alla difesa delle libertà democratiche.

L’intervento di Birritteri, necessariamente cauto dato il suo ruolo istituzionale – «la mia attuale delicata posizione non mi consente di spoilerare», ha precisato con una punta di ironia – ha tuttavia lasciato intendere che il Ministero della Giustizia stia lavorando attivamente per adeguare il quadro normativo alle sfide poste dalla criminalità informatica transnazionale, nell’ambito di un più ampio ripensamento degli strumenti giuridici tradizionali.

Il Settore Privato: da oggetto passivo a soggetto attivo della sicurezza informatica

Un elemento distintivo e innovativo del modello italiano in via di definizione è il progressivo riposizionamento del settore privato nel panorama della cybersicurezza.

Se tradizionalmente le aziende erano considerate semplici vittime degli attacchi informatici – o, nel migliore dei casi, testimoni durante la fase investigativa – oggi si assiste a una loro progressiva responsabilizzazione e integrazione come partner attivi nel sistema di prevenzione e risposta alle minacce.

Gabrielli ha delineato questa evoluzione in termini concreti e operativi, citando l’individuazione di referenti aziendali specializzati in cybersicurezza e l’istituzione della figura degli ausiliari di Polizia giudiziaria specificamente formati per il contesto cyber, nonché lo sviluppo di protocolli che chiariscono le responsabilità e i poteri dei privati.

«A questo punto, anche la parte privata deve avere un ruolo; e deve essere un ruolo a mio avviso strutturato», ha affermato, argomentando che ciò consentirebbe anche di «responsabilizzare e dare adeguati poteri a chi oggi è chiamato a intervenire, a vario titolo, nelle fasi di risposta agli incidenti e successive indagini».

Questa formalizzazione del ruolo del settore privato risponde a una necessità pratica imprescindibile: evitare di lasciare “zone grigie” in cui gli operatori, nel tentativo legittimo di proteggere i propri sistemi, rischiano di compromettere prove fondamentali o, paradossalmente, di diventare essi stessi oggetto di indagine per aver manipolato dati rilevanti per le indagini.

La costruzione di questo nuovo ruolo del settore privato si inserisce in una più ampia ridefinizione dell’ecosistema della cybersicurezza nazionale, in cui pubblico e privato non incarnano più entità separate (e talvolta contrapposte) ma nodi di una rete integrata di competenze e responsabilità, ciascuno con un proprio ruolo specifico eppure interconnesso con gli altri, in una logica sistemica basata sulla cooperazione.

La Privacy come baluardo democratico: la visione di Stanzione

In questa complessa trama di trasformazioni istituzionali e normative, l’intervento del prof. Pasquale Stanzione ha approfondito una dimensione fondamentale: quella del rapporto dialettico tra sicurezza e libertà all’interno delle società democratiche contemporanee.

«Il rapporto tra privacy ed esigenze investigative» – ha esordito il Presidente dell’Autorità Garante per la Protezione dei Dati Personali – «è uno degli indici più significativi della resilienza di una democrazia».

Cruciale, nella costante (ri)modulazione di questo rapporto, è il principio di proporzionalità richiamato tanto dalla Costituzione italiana quanto dalla Carta dei diritti fondamentali dell’UE; principio sul quale la Corte di Giustizia europea ha basato un’innovativa giurisprudenza volta a «rivedere la disciplina della data retention sotto il duplice profilo dell’estensione temporale e delle garanzie di terzietà, con conseguente giurisdizionalizzazione della procedura acquisitiva dei dati».

Se è infatti vero che nelle strategie di contrasto alla criminalità e al terrorismo dobbiamo diventare più efficaci, ciò non deve mai portarci ad accettare di essere meno liberi, soprattutto perché non tutte le limitazioni delle libertà sono davvero in grado di renderci più sicuri.

In merito Stanzione ha citato i bias tipici dei sistemi di riconoscimento facciale basati sull’AI, rispetto alle quali esiste il concreto rischio di accettare forme di controllo che, peraltro, «non potrebbero mai indurre una reale sicurezza».

Rafforzare il sistema di “checks and balances” a tutela dei diritti fondamentali, mediante previsioni tassative che limitino l’ammissibilità di strumenti invasivi ai soli casi necessari, è allora il solo modo per scongiurare il rischio che l’azione investigativa finisca per degenerare in sorveglianza di massa, portandoci a «rinnegare le radici stesse della democrazia».

Stanzione ha ricordato come ciò costituisca un elemento dirimente delle libertà democratiche: «Non dobbiamo mai dimenticare che la logica del “nulla da nascondere” è stata da sempre il leitmotiv dei regimi totalitari».

Un’affermazione che vede la privacy non più in contrapposizione ma, anzi, in sinergia con una sicurezza intesa come condizione abilitante per l’esercizio delle libertà fondamentali entro un contesto digitale sempre più pervasivo.

Rispondendo a una domanda sul complesso tema del “dossieraggio”, Stanzione ha infatti concluso il proprio intervento con una nota cautamente positiva. «Nell’età dell’ansia e dell’incertezza, vorrei dare qualche elemento di tranquillità. Per quanto gravissime, le recenti vicende (su cui sono in corso le dovute istruttorie del Garante) rappresentano fatti “patologici”, senza essere di certo la normalità; e confermano, semmai, la necessità di una governance lungimirante che ponga al centro la protezione dei dati, tra i pochi presidi capaci di orientare l’innovazione in direzioni compatibili con la tutela delle persone».

Il “nodo gordiano” del processo penale: bilanciare efficacia e garanzie nell’era digitale

Al cuore del dibattito si colloca, pertanto, una tensione fondamentale e per certi versi irrisolta: quella tra esigenze operative della cybersicurezza – che richiedono rapidità di intervento e flessibilità degli strumenti – e principi del garantismo penale, ancorati a una tradizione consolidatasi nei secoli.

La prof.ssa Curtotti ha ribadito come l’impianto valoriale della Costituzione italiana, concepito in un’epoca pre-digitale, ponga talvolta limiti significativi alla velocità e all’efficacia della risposta investigativa.

Questo divario genera una tensione strutturale che vede, da un lato, l’urgenza di rispondere in tempo reale alle minacce informatiche; dall’altro, la necessità di rispettare le garanzie processuali e i diritti individuali che costituiscono l’ossatura dello Stato di diritto.

La sfida principale è stata identificata dalla moderatrice in quella che ha definito «eccessiva procedimentalizzazione dell’acquisizione probatoria», con cui si rischia di creare «momenti endoprocedimentali» tali da rallentare la risposta investigativa.

In un contesto dove gli attacchi informatici possono svilupparsi in pochi attimi e propagarsi a velocità esponenziale, nonché dove le prove possono essere cancellate o alterate con la medesima rapidità, le tempistiche del processo tradizionale rischiano di tradursi in inefficacia; d’altronde, sacrificare le garanzie processuali sull’altare dell’efficienza investigativa significherebbe minare i fondamenti stessi dello Stato di diritto.

Emerge così un complesso bilanciamento tra esigenze di sicurezza e rapidità d’azione, garanzie individuali e diritti fondamentali, efficacia investigativa e utilizzabilità processuale delle prove digitali.

«È un problema di bilanciamento di interessi e di valori: sicurezza e garanzie individuali, sicurezza e processo penale, sicurezza e diritti fondamentali…» ha sintetizzato Curtotti, delineando il nucleo di una questione che trascende gli aspetti puramente tecnici o procedurali per investire i fondamenti stessi della concezione di giustizia nell’era digitale.

L’Ecosistema italiano della sicurezza informatica: un laboratorio di innovazione normativa

Grazie alle diverse voci coinvolte nel dibattito, è stato possibile delineare un modello italiano di contrasto al cybercrime caratterizzato da svariati elementi distintivi, che configurano un approccio originale alle sfide della sicurezza nell’era digitale.

In primo luogo un’integrazione istituzionale che, pur rispettando le diverse competenze, favorisce il dialogo e la collaborazione tra autorità diverse: l’ACN come perno della strategia preventiva, la Polizia Postale con il suo ruolo investigativo in evoluzione, i servizi di intelligence con la loro capacità di lettura geopolitica delle minacce e la magistratura con il suo ruolo di garanzia giurisdizionale e l’Autorità per la protezione dei dati come presidio dei diritti fondamentali nell’ecosistema digitale.

In secondo luogo, un approccio sistemico che non si limita alla protezione delle infrastrutture critiche ma abbraccia l’intero tessuto economico e sociale; con un’attenzione particolare alle PMI, in quanto peculiarità del sistema produttivo italiano e, al contempo, uno tra gli anelli più vulnerabili nella sicurezza digitale del paese.

Un terzo elemento caratterizzante è il crescente coinvolgimento del settore privato, che da destinatario passivo di misure di protezione diventa partner attivo nella prevenzione e risposta agli incidenti, con ruoli e responsabilità formalmente definiti all’interno del sistema.

A questi si aggiunge l’evoluzione degli strumenti giuridici che cerca di adattarsi alle specificità del dominio cyber, introducendo risorse come le operazioni sotto copertura o la figura del collaboratore di giustizia nel settore informatico, mutuati dall’esperienza nel contrasto ad altre forme di criminalità organizzata.

Il tutto si inscrive in un costante – e talvolta complesso – bilanciamento tra esigenze di sicurezza e tutela dei diritti fondamentali, con una particolare attenzione al valore della privacy come elemento costitutivo della democrazia, in una dialettica che non contrappone sicurezza e libertà ma le concepisce come dimensioni sempre più complementari.

Infine, il modello italiano si caratterizza per una forte proiezione internazionale; nella consapevolezza che le sfide poste dal cybercrime possono essere affrontate efficacemente solo nel quadro di una cooperazione globale che richiede di ripensare profondamente alcuni concetti fondamentali, tra cui la giurisdizione su base territoriale.

Questo modello, ancora in evoluzione e per certi versi sperimentale, qualifica l’Italia come laboratorio di innovazione istituzionale e normativa, nonché potenziale modello di riferimento per altri paesi. La vera sfida per il futuro sarà mantenere l’equilibrio dinamico tra efficacia operativa e rispetto dei principi fondamentali in un contesto tecnologico caratterizzato da minacce cyber sempre più sofisticate e pervasive.

Il panel si è concluso con un approfondimento sulla regolamentazione normativa dell’Intelligenza Artificiale: i relatori hanno concordato sulla necessità di proseguire nella ricerca e nella sperimentazione sull’AI, senza lasciare che le pur necessarie cautele rallentino eccessivamente lo sviluppo di una tecnologia dall’enorme potenziale.

A emergere dalla Tavola Rotonda è allora l’immagine di un paese che, sebbene sia partito in ritardo nella corsa alla cybersicurezza, sta recuperando terreno grazie a un approccio che combina pragmatismo operativo e sensibilità ai valori dello Stato di diritto. Un equilibrio difficile, frutto di costanti negoziazioni, che tuttavia – in un’epoca in cui la dimensione digitale e fisica appaiono ormai indissolubilmente intrecciate – costituisce l’autentica peculiarità del “modello italiano” di contrasto al cybercrime.

https://www.ictsecuritymagazine.com/articoli/contrasto-cybercrime/

Nel caleidoscopico universo della sicurezza informatica contemporanea, assistiamo all’emergere di un paradigma che sta ridefinendo i confini concettuali della protezione digitale: l’architettura a fiducia zero. Lungi dall’essere una mera innovazione tecnologica, questa filosofia rappresenta una profonda metamorfosi epistemologica nel modo in cui concepiamo la sicurezza nell’era digitale.

Il viaggio intellettuale che ha portato alla nascita di questo approccio merita una riflessione approfondita. Era il 2010 quando John Kindervag, analista visionario di Forrester Research, propose di abbandonare il rassicurante ma ormai anacronistico modello del “castello e fossato” – quell’idea secondo cui esistesse un “dentro” sicuro e un “fuori” ostile. La sua intuizione si condensava in un mantra tanto semplice quanto rivoluzionario: “non fidarsi mai, verificare sempre”.

La dissoluzione del perimetro tradizionale

Questa visione, che allora poteva sembrare eccessivamente cauta, si è rivelata profondamente profetica nel contesto attuale, dove i confini delle organizzazioni si sono dissolti nell’etere del cloud, nel tessuto del lavoro remoto e nella proliferazione di dispositivi personali che si intrecciano con quelli aziendali. La pandemia globale ha poi accelerato vertiginosamente questa trasformazione, rendendo l’adozione del paradigma Zero Trust non più un’opzione avanguardistica, ma una necessità imprescindibile.

La fiducia come variabile fluida

Ma cosa significa, in termini concreti, abbracciare questa filosofia? Significa innanzitutto accettare che la fiducia non è più uno stato binario – presente o assente – bensì una variabile fluida, contestuale, in costante ridefinizione. Ogni interazione digitale viene sottoposta a un processo continuo di verifica, in un flusso perpetuo di autenticazione e autorizzazione che rispecchia la natura mutevole del rischio nell’ecosistema digitale.

Principi cardinali di un nuovo paradigma

L’architettura concettuale di questo approccio si articola attorno ad alcuni principi cardine che si intrecciano in una trama complessa. L’autenticazione diventa un processo continuo, non più un evento discreto che avviene una volta sola all’inizio di una sessione. Il privilegio minimo si evolve da regola statica a dinamica contestuale, dove l’accesso viene costantemente ricalibrato in base al comportamento osservato. La rete, un tempo monolitica, si frammenta in microsegmenti definiti da confini logici più che fisici, contenendo potenziali violazioni in spazi limitati.

L’Incarnazione tecnologica di una filosofia

Questa metamorfosi concettuale trova espressione concreta in architetture che integrano tecnologie avanzate in un ecosistema coerente. I sistemi di gestione delle identità trascendono la mera verifica delle credenziali per abbracciare un approccio olistico basato su attributi contestuali, pattern comportamentali e analisi delle anomalie. Al cuore di questa architettura pulsa il “Policy Engine”, un nodo decisionale che non si limita ad applicare regole rigide, ma che evolve continuamente, apprendendo e adattandosi all’ambiente circostante attraverso algoritmi di machine learning.

La trasmutazione dell’infrastruttura

L’infrastruttura di rete stessa subisce una trasmutazione ontologica, dove le funzioni di sicurezza si disaccoppiano dall’hardware dedicato per esistere come servizi virtuali orchestrati dinamicamente. I perimetri, un tempo definiti da router e firewall fisici, si trasformano in costrutti software che avvolgono ogni singola risorsa in un bozzolo protettivo invisibile fino al momento dell’autenticazione completa.

Convergenze sinergiche con paradigmi emergenti

Questa rivoluzione architettonica non avviene in isolamento, ma si intreccia con altre correnti trasformative del panorama tecnologico contemporaneo. La convergenza con il movimento DevSecOps porta la sicurezza nel cuore stesso del processo creativo digitale, non più come verifica finale ma come elemento costitutivo del codice stesso. L’intelligenza artificiale e il machine learning amplificano le capacità di rilevamento e risposta, identificando pattern anomali invisibili all’occhio umano e orchestrando risposte adattive in tempo reale. L’avvento dell’era quantistica all’orizzonte stimola l’evoluzione verso algoritmi crittografici capaci di resistere alle potenzialità computazionali future.

Il contesto normativo come catalizzatore

Il contesto socio-economico attuale fornisce ulteriore impulso a questa trasformazione. Il panorama normativo globale – dal GDPR europeo alla Direttiva NIS2, dall’Executive Order 14028 negli Stati Uniti alla miriade di regolamentazioni settoriali – converge verso principi che risuonano naturalmente con l’approccio Zero Trust: minimizzazione dei dati, protezione by design, responsabilità continuativa.

Implicazioni filosofiche ed etiche dell’architettura a fiducia zero

Le implicazioni di questa metamorfosi trascendono l’ambito puramente tecnologico per toccare dimensioni filosofiche ed etiche profonde. Stiamo assistendo a una ridefinizione fondamentale della natura stessa della fiducia nell’era digitale. La fiducia non è più un attributo statico conferito a priori, ma una qualità dinamica che deve essere continuamente dimostrata e guadagnata. Questo solleva interrogativi profondi sul delicato equilibrio tra sicurezza e usabilità, tra sorveglianza necessaria e rispetto della privacy, tra cultura del sospetto e collaborazione efficace.

Orizzonti futuri di evoluzione

Guardando verso l’orizzonte futuro, possiamo intravedere l’evoluzione di questo paradigma verso nuove frontiere. L’integrazione con l’edge computing e le reti 5G estenderà i principi Zero Trust fino ai margini più remoti dell’ecosistema digitale. L’emergere di “digital twin” permetterà di simulare e prevedere l’impatto di potenziali violazioni in ambienti protetti. La biometria cognitiva e comportamentale aprirà nuove dimensioni nell’autenticazione continua, basata non solo su ciò che sappiamo o possediamo, ma su chi siamo profondamente.

Verso una società della fiducia verificata?

Ci si potrebbe persino chiedere se i principi del Zero Trust potrebbero un giorno trascendere il dominio puramente tecnologico per influenzare altri aspetti della società – dando vita a nuove economie della reputazione digitale dove la fiducia diventa una risorsa misurabile e scambiabile, o ridefinendo sottilmente il confine tra verifica necessaria e libertà personale.

La Sicurezza come Processo Evolutivo In questa trasformazione radicale, l’architettura a fiducia zero incarna non tanto un punto d’arrivo quanto un processo evolutivo continuo, un modus operandi che riflette la natura intrinsecamente dinamica della sicurezza nell’ecosistema digitale. Come nel fiume di Eraclito, non è possibile discendere due volte nello stesso flusso di dati – ogni interazione è unica, ogni contesto è specifico, ogni autorizzazione deve essere rinnovata in un perpetuo divenire.

La trasformazione culturale necessaria

Le organizzazioni che abbracceranno questa filosofia non staranno semplicemente aggiornando i propri sistemi di sicurezza, ma compiendo una profonda trasformazione culturale e operativa. Il viaggio verso la fiducia zero è arduo e complesso, costellato di sfide tecniche e culturali. Richiede un ripensamento fondamentale di architetture consolidate, processi radicati e, forse più difficile, mentalità cristallizzate.

Un Imperativo Categorico nell’Era Digitale Eppure, in un’epoca in cui le minacce evolvono con velocità esponenziale, in cui gli attacchi diventano sempre più sofisticati e le conseguenze delle violazioni sempre più devastanti, questo viaggio non rappresenta più un’opzione, ma una necessità imprescindibile. Come sostenuto dal NIST nel suo Special Publication 800-207, “l’architettura Zero Trust rappresenta un cambiamento fondamentale nella filosofia di come si progetta e si implementa la sicurezza informatica”.

Verso una nuova saggezza digitale

In ultima analisi, l’architettura a fiducia zero ci invita a una profonda riflessione sulla natura della sicurezza nell’era digitale. Ci ricorda che la sicurezza non è uno stato da raggiungere una volta per tutte, ma un processo continuo di adattamento; non è un prodotto da acquistare, ma una postura da coltivare; non è una destinazione, ma un viaggio perpetuo attraverso un paesaggio in costante evoluzione.

La fiducia come privilegio guadagnato

In questo contesto di metamorfosi continua, il mantra “non fidarsi mai, verificare sempre” si rivela non come espressione di paranoia digitale, ma come saggezza adattiva in un ecosistema caratterizzato da minacce persistenti, confini sfumati e rischi emergenti. È l’accettazione profonda che, nell’universo digitale contemporaneo, la fiducia è troppo preziosa per essere concessa a priori – deve essere guadagnata continuamente, verificata costantemente, calibrata contestualmente.

Una filosofia di resilienza per l’era digitale

E così, mentre navighiamo le acque turbolente della trasformazione digitale, l’architettura a fiducia zero emerge non solo come strategia di protezione, ma come filosofia di resilienza – un approccio che riconosce la natura fondamentalmente incerta del dominio digitale e vi risponde non con paura o rigidità, ma con vigilanza intelligente e adattabilità perpetua. In questo senso, rappresenta non solo un paradigma tecnologico, ma una saggezza evolutiva per l’era digitale – un riconoscimento che, in un mondo di connessioni infinite, la sicurezza risiede non nei muri che costruiamo, ma nella consapevolezza continua che coltiviamo.

Le organizzazioni che comprenderanno questa verità profonda e abbracceranno pienamente la filosofia Zero Trust non staranno semplicemente implementando una strategia di cybersecurity – staranno abbracciando un nuovo modo di esistere nel mondo digitale, caratterizzato da consapevolezza perpetua, adattabilità continua e resilienza intrinseca. In un’epoca di trasformazione radicale, questa potrebbe rivelarsi la più preziosa delle capacità evolutive.

Bibliografia

• National Institute of Standards and Technology. (2020). “Zero Trust Architecture” (NIST Special Publication 800-207). https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
• Kindervag, J. (2010). “No More Chewy Centers: Introducing The Zero Trust Model Of Information Security”. Forrester Research.
• Forrester Research. (2021). “The Forrester Wave: Zero Trust eXtended Ecosystem Platform Providers”. https://www.forrester.com/report/the-forrester-wave-zero-trust-extended-ecosystem-platform-providers-q3-2020/RES157185
• Rose, S., Borchert, O., Mitchell, S., & Connelly, S. (2020). “Zero Trust Architecture”. National Institute of Standards and Technology (NIST). https://csrc.nist.gov/pubs/sp/800/207/final
• National Institute of Standards and Technology. (2023). “A Zero Trust Architecture Model for Access Control in Cloud-Native Applications in Multi-Cloud Environments” (NIST Special Publication 800-207A). https://csrc.nist.gov/pubs/sp/800/207/a/final
• The White House. (2021). “Executive Order 14028: Improving the Nation’s Cybersecurity”. https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
• CyberArk. (2024). “What is the NIST SP 800-207 cybersecurity framework?”. https://www.cyberark.com/what-is/nist-sp-800-207-cybersecurity-framework/
• Zentera Systems. (2023). “A Guide to the NIST Zero Trust Architecture”. https://www.zentera.net/knowledge/nist-zero-trust-architcture
• Diogenes, Y., & Shinder, T. (2022). “Zero Trust Security: An Enterprise Guide”. Microsoft Press.

https://www.ictsecuritymagazine.com/notizie/architettura-a-fiducia-zero/