Intervenendo alla 13ª Cybercrime Conference, Glen Prichard – Capo della Sezione Cybercrime e Riciclaggio di Denaro dell’Ufficio delle Nazioni Unite contro la Droga e il Crimine (UNODC) – ha illustrato i punti salienti della Convenzione ONU sulla criminalità informatica, che ridefinisce la cooperazione tra 155 nazioni contro le minacce digitali.

Dal 2019 al 2024: Il complesso cammino negoziale verso un consenso globale

Dopo anni di negoziati e confronti diplomatici, le Nazioni Unite hanno finalmente raggiunto un accordo su un nuovo trattato internazionale: la “Convenzione delle Nazioni Unite sulla lotta contro l’uso delle tecnologie dell’informazione e della comunicazione a fini criminali” rappresenta una pietra miliare nella cooperazione internazionale contro la criminalità informatica, introducendo un quadro giuridico condiviso per affrontare le sfide dell’ecosistema digitale.Come ha spiegato Prichard, il nuovo trattato è il risultato di un processo negoziale iniziato nel 2019 e conclusosi nell’agosto 2023, con l’adozione formale del testo definitivo da parte dell’Assemblea Generale delle Nazioni Unite nel dicembre 2024.

«È una vittoria per il multilateralismo», ha sottolineato il relatore: «il fatto che siamo riusciti a ottenere un consenso tra 155 paesi per concordare una via da seguire in relazione a come combattere e prevenire il cybercrime è un risultato importante, particolarmente in questo mondo geopoliticamente diviso in cui viviamo al momento».

UNODC: Custode di un nuovo paradigma giuridico internazionale contro il crimine digitale

L’UNODC (Ufficio delle Nazioni Unite contro la Droga e il Crimine) è l’organismo depositario di una serie di trattati dedicati alla giustizia penale, tra cui la Convenzione delle Nazioni Unite contro la Criminalità Organizzata Transnazionale (conosciuta come Convenzione di Palermo) e la Convenzione contro la Corruzione (UNCAC).

La nuova Convenzione sul Cybercrime rappresenta il primo nuovo trattato degli ultimi 21 anni in campo di giustizia penale.

Prichard ha spiegato che persino il titolo della Convenzione riflette la complessità dei negoziati: «Non siamo riusciti a raggiungere una posizione unanime, per cui l’abbiamo semplicemente chiamata “Convenzione delle Nazioni Unite contro il Cybercrime”. Penso che questo sia rappresentativo di quanto siano delicate e complesse le questioni che affrontiamo».

Dalla firma alla piena operatività: tempistiche e sfide dell’implementazione mondiale

La Convenzione è stata formalmente adottata dall’Assemblea Generale delle Nazioni Unite nel dicembre 2024.

Prichard ha ricordato che nell’ottobre 2025 si terrà la cerimonia di firma ad Hanoi, in Vietnam; a partire da quel momento, il trattato rimarrà aperto alla firma fino al dicembre 2026. Successivamente i paesi dovranno procedere con il processo di ratifica, che varia da nazione a nazione. La Convenzione entrerà in vigore dopo che almeno 40 paesi l’avranno ratificata.

«Abbiamo molto lavoro davanti a noi prima che sia effettivamente operativa», ha avvertito il relatore.

I quattro pilastri fondamentali: cooperazione, assistenza tecnica, armonizzazione legale e scambio di prove

Il fulcro della Convenzione è il rafforzamento della cooperazione internazionale, in relazione sia al cybercrime sia alle prove elettroniche necessarie alle indagini su altre tipologie di reati.

Inoltre, il trattato prevede forme di assistenza tecnica ai paesi a basso e medio reddito, per garantire che le loro capacità digitali siano portate a un livello tale da poter cooperare con altri paesi.

Un ulteriore aspetto fondamentale è l’armonizzazione normativa: la Convenzione introduce «disposizioni per lo scambio di prove elettroniche in relazione a qualsiasi reato» e per «ogni reato grave in termini di cooperazione internazionale», intendendosi per reato grave «qualsiasi reato punito con una pena detentiva di almeno quattro anni».

Nuovi reati digitali e procedure transfrontaliere: un framework penale per l’era digitale

La Convenzione definisce i tipici crimini informatici (come l’hacking e l’accesso illegale) in cinque distinti articoli. Prichard ha sottolineato l’importanza di queste definizioni: «Creare un’armonizzazione legale ci permette di cooperare oltre i confini nazionali».

Il trattato introduce anche una serie di reati facilitati dal cyberspazio, tra cui alcuni che non erano mai stati menzionati dal diritto internazionale in precedenza, come l’adescamento online di minori e la diffusione non consensuale di immagini intime.

Per quanto riguarda le procedure, la Convenzione distingue tra cooperazione nazionale e internazionale; e parla di «misure provvisorie in situazioni di emergenza», ad esempio in materia di conservazione ed emissione di ordini di produzione, acquisizione o scambio di prove digitali.

Inoltre «si crea una rete di comunicazione 24 ore su 24, 7 giorni su 7, istituendo una modalità in cui i paesi possono comunicare tra loro in tempo quasi reale», ha evidenziato Prichard.

Equilibrio tra sicurezza e libertà: le garanzie per i diritti umani nel contesto digitale

Le garanzie relative ai diritti umani sono incorporate nel trattato, sebbene Prichard abbia ammesso che questo aspetto ha richiesto «una difficile negoziazione durante il processo negoziale per la Convenzione».

Queste garanzie, «in linea con tutti gli standard internazionali», costituiscono «il più forte insieme di tutele dei diritti umani che si possano trovare in qualsiasi trattato di giustizia penale»; Prichard ha aggiunto che sono «equivalenti a ciò che si trova nella Convenzione di Budapest».

La Convenzione prevede inoltre casi in cui è possibile rifiutare l’assistenza se c’è un conflitto con la legge nazionale, nonché motivazioni per respingere richieste di estradizione su queste stesse basi.

Complementarietà strategica: come la Convenzione ONU si integra e si distingue dalla Convenzione di Budapest

La Convenzione di Budapest, sviluppata dal Consiglio d’Europa, è stata finora il principale strumento internazionale per combattere il cybercrime.

Prichard ha sottolineato che la nuova Convenzione ONU è «molto simile alla Convenzione di Budapest nella maggior parte delle sue disposizioni operative» ed è «deliberatamente concepita come sua integrazione».Esistono, tuttavia, alcune differenze tra i due trattati: la Convenzione ONU introduce nuovi reati non previsti dalla Convenzione di Budapest, come l’adescamento online di minori, la diffusione non consensuale di immagini intime e il riciclaggio dei proventi di reati inclusi nella convenzione stessa.
D’altra parte, la Convenzione di Budapest includeva un reato non presente nella Convenzione ONU, relativo alla violazione della proprietà intellettuale o del copyright.

Un’altra differenza riguarda la condivisione delle prove elettroniche: nella Convenzione di Budapest questa si estende a qualsiasi reato previsto nel testo, mentre nella Convenzione ONU la cooperazione internazionale è limitata ai reati gravi (punibili con quattro anni o più di reclusione).

Inclusività globale: perché il mondo aveva bisogno di un nuovo trattato oltre alla Convenzione di Budapest?

Prichard ha affrontato una domanda frequente: perché era necessaria una nuova Convenzione sulla criminalità informatica, se esisteva già quella di Budapest?

La risposta principale è che molti paesi – soprattutto appartenenti al cosiddetto “Sud globale” – non avevano partecipato ai negoziati della Convenzione di Budapest, che era stata sviluppata principalmente dagli Stati membri dell’Unione Europea.

«I paesi del Sud del mondo sentono di non aver fatto parte di quel processo, mentre questa volta hanno partecipato ai negoziati», ha spiegato.

«Nel caso della Convenzione ONU, ben 155 diversi paesi erano riuniti attorno al tavolo. E vi hanno portato visioni differenti, sistemi non concordanti tra loro, questioni culturali… tutto ha giocato un ruolo nello sviluppo di questa nuova Convenzione».

Verso un futuro di cooperazione digitale: prospettive e sfide dell’implementazione globale

Prichard ha concluso il suo intervento esprimendo un cauto ottimismo sul futuro della Convenzione ONU.

Nelle sue parole, questa «sarà uno strumento significativo per consentire ai diversi paesi di cooperare a livello globale; ma ci vorrà del tempo prima che venga ratificata e sia effettivamente operativa».

La Convenzione delle Nazioni Unite contro il Cybercrime rappresenta quindi un passo importante verso un approccio globale alla lotta contro la criminalità informatica, creando un quadro comune rispettoso delle diverse tradizioni giuridiche e culturali, nonché fornendo strumenti concreti per una cooperazione internazionale capace di affrontare le sfide del mondo digitale.

https://www.ictsecuritymagazine.com/articoli/convenzione-onu-cyber/

Nel mondo digitale odierno, la cyber security non può più essere considerata un compartimento stagno. La collaborazione tra il Chief Information Security Officer (CISO) e il team IT è diventata un elemento imprescindibile per garantire la resilienza delle organizzazioni contro le minacce sempre più sofisticate. Non si tratta solo di implementare tecnologie avanzate, ma di costruire una sinergia continua che integri le best practice della cybersecurity all’interno delle operazioni quotidiane dell’IT.

La mancanza di una comunicazione efficace tra questi due attori può generare vulnerabilità significative, esponendo le imprese a rischi non necessari. Questo articolo esplora come una collaborazione strategica tra il CISO e il team IT possa rafforzare la postura di sicurezza di un’organizzazione, migliorando la gestione dei processi, la risposta alle minacce e l’integrazione delle politiche di sicurezza nelle operazioni tecnologiche quotidiane.

Sinergia tra CISO, Team IT e Operazioni di Sicurezza Informatica Quotidiane

Sinergia tra sicurezza informatica e operazioni IT quotidiane

Una delle principali sfide nella amministrazione della protezione informatica è far sì che le pratiche di sicurezza diventino parte integrante delle attività quotidiane dell’IT, senza rallentare i processi o ostacolare l’innovazione. Tradizionalmente, i team IT si sono concentrati sull’efficienza operativa e sulla disponibilità dei sistemi, mentre il CISO si è focalizzato sulla protezione dei dati e sulla gestione del rischio. Tuttavia, in un ambiente sempre più interconnesso, questi obiettivi non possono più essere trattati separatamente.

Qualsiasi strategia di cybersecurity e protezione dati non può prescindere da solidi processi di collaborazione e comunicazione interna.

Costruire una sinergia tra il CISO e il team IT e non solo, significa innanzitutto promuovere una cultura condivisa della sicurezza. Il Chief information deve lavorare a stretto contatto con i responsabili IT per assicurarsi che le decisioni tecnologiche quotidiane, come la gestione delle infrastrutture, delle reti e dei sistemi cloud, siano allineate con i requisiti di protezione dell’organizzazione.

La formazione continua rappresenta un pilastro di questa integrazione. I membri del team IT devono essere formati non solo su come gestire tecnologie e sistemi, ma anche su come riconoscere e mitigare i rischi di protezione. Analogamente, il CISO deve comprendere le sfide operative che il team di tecnici informatici affrontano quotidianamente, in modo da proporre soluzioni di protezione che siano praticabili e non percepite come un ostacolo.

Le riunioni periodiche tra il CISO e il team IT sono fondamentali per mantenere una comunicazione aperta. In questi incontri si dovrebbero discutere non solo le nuove minacce emergenti, ma anche gli aggiornamenti sui progetti IT in corso, permettendo una valutazione continua dei rischi associati. Una collaborazione efficace consente di prevenire i problemi prima che diventino incidenti, creando un ambiente in cui sicurezza e operatività si rafforzano reciprocamente.

Per quanto concerne invece il rapporto tra CIO e CISO, possiamo definirla come una collaborazione imprescindibile. Sebbene i CIO siano responsabili della amministrazione dell’infrastruttura IT di un’azienda, i CISO spesso ricoprono un ruolo ancora più ampio, occupandosi anche della gestione del rischio aziendale, della governance e della conformità normativa. Tradizionalmente, questo è visto come il principale referente per tutte le questioni legate alla sicurezza, ma oggi è sempre più chiaro che da solo non può gestire tutte le sfide.

Negli ultimi anni, l’attività di CIO e CISO si è trasformata profondamente, spinta dalla crescente attenzione verso la tutela e la protezione dei dati. L’approccio più efficace è quello che punta a una strategia di protezione e resilienza integrata, in cui CIO e CISO collaborano strettamente. Dalla costruzione di una rete aziendale sicura alla gestione dell’impatto delle normative sempre più stringenti, le rispettive competenze devono essere coordinate e complementari, evitando sovrapposizioni o contrasti e rafforzando così le misure di protezione, sempre in equilibrio con le esigenze di efficienza operativa.

Un’ulteriore sfida significativa è rappresentata dalle crescenti complessità legate alle normative e alla conformità. In questo contesto, è fondamentale che i team responsabili lavorino in sinergia: il CIO deve assicurare l’aderenza alle normative come il GDPR (General Data Protection Regulation), mentre il CISO deve concentrarsi sulla minimizzazione dei rischi di violazione dei dati. Senza un approccio strategico integrato, risulta difficile ottenere risultati realmente efficaci.

Migliorare la collaborazione tra CIO, CISO e i rispettivi team consente di consolidare una posizione più forte per allineare gli obiettivi IT e di sicurezza con le priorità strategiche dell’azienda. Raggiungere questo livello di integrazione favorisce anche una gestione più efficace della crescente complessità tecnologica e della continua evoluzione dell’innovazione digitale, oggi sempre più centrale per il successo organizzativo.

Anche il livello di maturità organizzativa può essere determinante per rendere i team dirigenziali più resilienti ai naturali cambiamenti di personale. Considerando che la durata media dell’incarico di CIO e CISO è di circa 3-5 anni, è essenziale integrare processi solidi all’interno delle rispettive aree di competenza, in modo da limitare al massimo eventuali discontinuità strategiche al momento del passaggio di leadership.

L’integrazione dei ruoli di CIO e CISO richiede dunque un’attenta valutazione di diversi fattori, con priorità e livelli di efficacia che possono variare a seconda del contesto aziendale. In ogni caso, le imprese che riconoscono l’importanza di una collaborazione stretta tra queste due figure chiave sono nettamente avvantaggiate nel garantire agilità, sicurezza e prestazioni elevate, qualità sempre più richieste dai Consigli di amministrazione a livello globale.

Implementazione delle politiche di sicurezza dal CISO al team IT

Per ottenere una protezione realmente efficace, le politiche di sicurezza non possono rimanere documenti isolati; devono essere vissute come parte integrante dei processi IT. La collaborazione tra il CISO e il team IT è essenziale per tradurre le politiche in pratiche operative concrete.

Il primo passo è l’integrazione delle policy di tutela già in fase di progettazione dei sistemi. Quando il team IT sviluppa nuove applicazioni o aggiorna le infrastrutture esistenti, il CISO deve essere coinvolto fin dalle fasi iniziali. L’approccio “security by design” consente di costruire sistemi più resilienti, riducendo la necessità di interventi correttivi successivi, che sono spesso più costosi e complessi.

Le politiche di cyber security di un’azienda devono essere sviluppate su misura per rispondere alle sue specifiche esigenze operative. Possono essere strutturate come un unico documento unificato oppure suddivise in diversi documenti tematici che trattano vari aspetti della sicurezza.

In ogni caso, indipendentemente dalla modalità scelta, tutte le organizzazioni dovrebbero assicurarsi che le loro politiche di tutela contengano alcune informazioni fondamentali. Che siano articolate in documenti separati o raccolte in un’unica policy, una strategia efficace di protezione informatica dovrebbe prevedere:

• Uso accettabile: indicazioni su come gli utenti possono utilizzare i sistemi IT aziendali.
• Gestione del cambiamento: linee guida sui processi di implementazione, aggiornamento e dismissione delle risorse tecnologiche.
• Conservazione dei dati: criteri sulla durata della conservazione dei dati e modalità corrette di eliminazione.
• Risposta agli incidenti: procedure operative da seguire in caso di incidenti di sicurezza.
• Sicurezza della rete: regole per proteggere l’infrastruttura di rete aziendale.
• Gestione delle password: direttive sulla creazione e l’amministrazione sicura delle credenziali utente.
• Consapevolezza della sicurezza: programmi formativi per sensibilizzare i dipendenti sui rischi legati alla cybersecurity.

Oltre a questi elementi di base, una politica di sicurezza informatica può essere ampliata con sezioni specifiche che riflettano le particolari necessità e priorità dell’organizzazione.

Un altro aspetto cruciale riguarda la standardizzazione dei processi. Attraverso la collaborazione, il CISO e il team IT possono definire standard tecnici chiari che includano, ad esempio, l’uso obbligatorio di protocolli sicuri, la crittografia dei dati, la gestione sicura delle credenziali e il controllo degli accessi. Questi standard devono essere applicati sistematicamente a tutte le componenti dell’infrastruttura tecnologica.

Inoltre, la collaborazione facilita l’adozione di strumenti di automazione per la sicurezza, come il provisioning sicuro degli account utente o la configurazione automatica dei sistemi secondo policy predefinite. Automatizzare la conformità alle policy non solo migliora la protezione, ma riduce anche l’onere operativo sul team IT, liberando risorse per attività più strategiche.

La cyber security non è un processo statico, al contrario richiede un monitoraggio continuo.

Monitorare quindi l’efficacia delle politiche è altrettanto importante. Attraverso audit periodici e sistemi di monitoraggio continuo, il CISO e il team IT possono individuare eventuali deviazioni rispetto alle policy aziendali e correggerle tempestivamente, migliorando progressivamente il livello di maturità della sicurezza informatica dell’organizzazione.

Gestione delle vulnerabilità e delle patch di sicurezza

Uno degli ambiti in cui la collaborazione tra il CISO e il team IT risulta più evidente è nella gestione delle vulnerabilità. In un panorama di minacce in costante evoluzione, la capacità di identificare rapidamente le vulnerabilità e applicare le patch di sicurezza è fondamentale per proteggere le risorse aziendali.

La gestione delle vulnerabilità, elemento centrale della gestione del rischio IT, si basa su un’attività continua di individuazione, analisi delle priorità e risoluzione delle debolezze presenti nell’infrastruttura tecnologica e nei software aziendali. Tuttavia, questa funzione, per essere davvero efficace, richiede una stretta collaborazione tra il Chief Information Security Officer (CISO) e il team IT operativo.

Il CISO, in qualità di responsabile della sicurezza a livello strategico, ha il compito di definire le politiche di controllo delle vulnerabilità, stabilendo criteri di valutazione del rischio, priorità di intervento e metodologie di risposta. D’altro canto, è il team IT che possiede la conoscenza pratica dei sistemi, delle configurazioni e delle dinamiche operative quotidiane, elementi indispensabili per applicare in modo tempestivo ed efficace le correzioni necessarie.

In questo rapporto di collaborazione, il CISO fornisce la visione d’insieme, individuando quali vulnerabilità rappresentano minacce concrete per la sicurezza e quali invece possono essere gestite con interventi pianificati, riducendo il pericolo senza compromettere la continuità operativa. Il team IT, a sua volta, è responsabile di implementare materialmente le patch, correggere le configurazioni errate, sostituire componenti obsoleti e monitorare l’effettiva risoluzione delle criticità.

Un aspetto cruciale di questa sinergia riguarda la prioritizzazione: non tutte le vulnerabilità devono essere risolte immediatamente, ma è essenziale avere un processo condiviso che consenta di distinguere tra le falle ad alto pericolo, che richiedono un intervento immediato, e quelle a rischio minore, che possono essere gestite in un secondo momento o abbinate a interventi di aggiornamento programmato.

Inoltre, il CISO e il team IT devono collaborare anche nella comunicazione interna: la gestione delle vulnerabilità non è un’attività isolata, ma coinvolge spesso più dipartimenti. Ad esempio, l’applicazione di una patch critica su un sistema ERP potrebbe richiedere il coordinamento con il dipartimento finance o supply chain. Il CISO deve quindi garantire che ci sia chiarezza sugli impatti di business legati alle operazioni di mitigazione delle vulnerabilità, mentre il team IT deve predisporre procedure di aggiornamento che minimizzino i tempi di inattività.

Infine, la gestione delle vulnerabilità in un contesto di collaborazione efficace si basa su strumenti condivisi: soluzioni di vulnerability scanning, sistemi di patch management automatizzati e dashboard comuni che permettano a entrambi i livelli strategico e operativo di avere una visione aggiornata dello stato di rischio dell’organizzazione.

Riassumendo, la gestione delle vulnerabilità non può essere vista come una semplice attività tecnica. Essa è un processo strategico che richiede un’integrazione stretta tra la visione di governance del CISO e l’azione concreta del team IT. Solo attraverso una collaborazione strutturata, basata su obiettivi comuni e strumenti condivisi, le organizzazioni possono davvero mitigare i rischi di sicurezza e assicurare la resilienza del loro ambiente digitale.

È qui che la collaborazione diventa cruciale. Stabilire priorità comuni è il primo passo: non tutte le vulnerabilità possono essere corrette immediatamente; quindi, è necessario valutare il pericolo associato e concentrarsi prima sulle minacce più gravi. Il CISO può fornire una valutazione del pericolo, mentre il team IT può indicare le tempistiche e i potenziali impatti operativi degli aggiornamenti.

Un altro elemento importante sopra anticipato è la creazione di un processo di patch management strutturato. La gestione delle patch consiste nell’applicazione degli aggiornamenti forniti dai produttori, con l’obiettivo di correggere vulnerabilità di sicurezza e migliorare il funzionamento di software e dispositivi. Questo processo è spesso considerato una componente integrante delle attività di gestione delle vulnerabilità.

Questo processo dovrebbe prevedere una fase di test per le patch, al fine di ridurre il rischio di impatti negativi sui sistemi in produzione. Inoltre, è utile programmare finestre regolari di manutenzione, durante le quali applicare aggiornamenti senza compromettere la disponibilità dei servizi critici.

In sostanza, la amministrazione delle patch si basa sulla ricerca di un equilibrio tra la protezione informatica e la continuità operativa dell’azienda. Le vulnerabilità presenti nei sistemi IT possono essere sfruttate dagli hacker per condurre attacchi informatici o diffondere malware. Per contrastare queste minacce, i fornitori rilasciano aggiornamenti correttivi, noti come “patch”. Tuttavia, l’applicazione di queste patch può interferire con i processi aziendali, provocando interruzioni e tempi di inattività. L’obiettivo del controllo delle patch è quindi quello di ottimizzare l’applicazione degli aggiornamenti, riducendo al minimo l’impatto sulle attività quotidiane.

La comunicazione costante e la trasparenza tra il CISO e il team IT riducono il rischio di incomprensioni e ritardi, favorendo una gestione più rapida ed efficace delle vulnerabilità. In un contesto in cui i cyber attacchi possono sfruttare falle non corrette nel giro di poche ore, questa collaborazione può fare la differenza tra un’organizzazione sicura e una vulnerabile.

Rilevamento e risposta alle minacce in tempo reale

In un mondo dove le minacce informatiche possono emergere ed evolversi in pochi minuti, il rilevamento e la risposta in tempo reale sono fondamentali. Nessun sistema è completamente immune dalle minacce; per questo motivo, l’obiettivo non può essere solo prevenire gli attacchi, ma anche rilevarli e reagire il più rapidamente possibile.

Il rilevamento e la risposta alle minacce (TDR) sono un processo di cybersecurity per identificare le minacce informatiche alle risorse digitali di un’organizzazione e adottare misure per attenuarle il più rapidamente possibile.

Per affrontare le minacce informatiche e altri problemi legati alla sicurezza, molte organizzazioni istituiscono un Centro Operativo per la Sicurezza (SOC), una struttura o un team centralizzato incaricato di rafforzare la postura di cybersecurity dell’azienda e di gestire la prevenzione, il rilevamento e la risposta agli attacchi informatici. Oltre a monitorare e intervenire su incidenti di sicurezza in tempo reale, il SOC ad esempio tramite Azure Security Center svolge anche attività preventive, finalizzate all’individuazione di nuove minacce emergenti e vulnerabilità che potrebbero compromettere la protezione aziendale. Generalmente, i team SOC, che possono operare internamente o essere esternalizzati, garantiscono la copertura continuativa 24 ore su 24, 7 giorni su 7.

Per individuare e fronteggiare violazioni, tentativi di intrusione o attacchi in corso, il SOC si avvale di tecnologie avanzate e di informazioni provenienti dall’intelligence sulle minacce. Una volta rilevato un pericolo, il personale addetto alla protezione utilizza strumenti specializzati di rilevamento e risposta per neutralizzare o mitigare il rischio.

Il processo di rilevamento e risposta alle minacce si articola generalmente in diverse fasi operative:

• Rilevamento: attraverso strumenti di sicurezza che monitorano costantemente endpoint, identità, reti, applicazioni e ambienti cloud, vengono individuati rischi e possibili violazioni. Gli analisti di sicurezza utilizzano anche tecniche specifiche di threat hunting per scovare minacce particolarmente sofisticate, capaci di sfuggire ai sistemi di difesa tradizionali.
• Indagine: una volta segnalato un pericolo, il SOC impiega l’intelligenza artificiale e altre tecnologie analitiche per confermare l’effettiva esistenza della minaccia, analizzare come è avvenuta l’intrusione e identificare gli asset aziendali coinvolti.
• Contenimento: per limitare la propagazione dell’attacco, i team di cybersecurity isolano rapidamente dispositivi compromessi, identità violate o segmenti di rete, infatti, impedendo così ulteriori danni alle risorse aziendali.
• Eliminazione: l’obiettivo in questa fase è rimuovere definitivamente la causa dell’incidente di sicurezza, eradicando qualsiasi presenza residua dell’attore malevolo e correggendo eventuali vulnerabilità che potrebbero essere nuovamente sfruttate.
• Ripristino: una volta verificato che l’ambiente sia stato bonificato e reso sicuro, i sistemi precedentemente isolati vengono reintegrati nella rete aziendale.
• Report: a seconda della gravità dell’incidente, il team di sicurezza prepara una documentazione dettagliata, informando i responsabili, la dirigenza e, se necessario, il Consiglio di amministrazione sugli eventi accaduti e sulle azioni correttive adottate.
• Mitigazione dei rischi: come fase finale, viene condotta un’analisi approfondita dell’incidente per identificare le misure da implementare allo scopo di rafforzare l’ambiente IT e migliorare le procedure di risposta futura, riducendo così la probabilità di eventi simili.

Il CISO, insieme al team IT, deve costruire una strategia di rilevamento che sfrutti soluzioni come i sistemi di Intrusion Detection (IDS), le piattaforme SIEM (Security Information and Event Management) e i sistemi di monitoraggio comportamentale basati su intelligenza artificiale. Tuttavia, la tecnologia da sola non basta: serve anche una collaborazione umana efficace.

Il team IT deve essere coinvolto nella configurazione e nella gestione degli strumenti di rilevamento, garantendo che siano adeguatamente integrati nei sistemi aziendali. Parallelamente, il CISO deve fornire indicazioni su quali tipi di eventi monitorare e come interpretarli correttamente per individuare segnali di compromissione.

Quando una minaccia viene rilevata, la rapidità della risposta è determinante. La collaborazione pregressa tra il CISO e il team IT permette di attivare procedure di risposta già testate e conosciute da entrambi. Ad esempio, può essere necessario isolare rapidamente una macchina compromessa, applicare regole firewall ad hoc o modificare configurazioni di rete per contenere un attacco.

La gestione efficace degli incidenti richiede anche esercitazioni periodiche congiunte. Simulare scenari di attacco realistici consente di testare le capacità di risposta, identificare eventuali lacune e migliorare continuamente la prontezza operativa.

Infine, la fase post-incidente è altrettanto importante: una volta contenuta una minaccia, il CISO e il team IT devono analizzare insieme l’accaduto per capire cosa è andato storto e come rafforzare ulteriormente le difese. Questo approccio orientato al miglioramento continuo contribuisce a rendere l’organizzazione sempre più resiliente.

Conclusioni

La collaborazione tra il CISO e il team IT non è solo auspicabile, è ormai una necessità critica. La sicurezza informatica deve permeare ogni aspetto delle operazioni IT, dalla progettazione dei sistemi alla gestione delle vulnerabilità, fino al rilevamento e risposta agli incidenti. Solo attraverso una comunicazione aperta, una comprensione reciproca delle sfide e la costruzione di processi integrati sarà possibile affrontare efficacemente il panorama di minacce in continua evoluzione.

Investire in questa collaborazione significa costruire fondamenta solide non solo per la sicurezza, ma per la continuità e il successo dell’intera organizzazione.

https://www.ictsecuritymagazine.com/notizie/ciso-team-it/

I camper movie sono il genere di film che fin dai primordi del cinema, raccontavano forse l’azione che è stata più rappresentata sul grande schermo: la rapina in banca.

I titoli da ricordare sarebbero infiniti, dal 1903, anno mitico, in cui si inizia a lavorare al cantiere di Hollywood, fino ai giorni nostri, le versioni dell’attacco al luogo che rappresenta la ricchezza per antonomasia sono davvero incalcolabili, con il coinvolgimento dei maggiori registi e interpreti della storia del grande sogno nella sala buia.

Il cinema contribuì a consolidare il mito delle banche come luoghi della sicurezza, in cui i soldi erano al riparo da ogni rischio. La banca era innanzitutto la sicurezza che poteva offrire. Non a caso clienti di riguardo nei primi anni del 900, venivano accompagnati a visitare il caveau, la grande cassaforte sotterranea, in cui si custodivano i depositi.

Oggi rimane la centralità della sicurezza ad accreditare una banca, e più in generale una qualsiasi istituzione finanziaria, ma cambia l’oggetto: non sono più i soldi che devono essere protetti ma i dati.

Una banca, potremmo dire è innanzitutto la sua cybersecurity.

Ognuno di noi può infatti chiedersi quale sia la prima esigenza che espone al dirigente dell’agenzia dell’istituto di credito con cui opera: sono sicuri i miei dati?

Vale per le banche ma vale ormai per la stragrande maggioranza di aziende e professioni. I dati con cui si opera sono oggi il vero tesoro da tutelare. E per i malintenzionati, sono il vero bottino che si persegue.

Il 75% delle violazioni digitali che accadono ormai ogni ora nel nostro paese, riguardano il capillare sistema di imprese e professioni. Vengono attaccati computer, telefonini, data server, in generale depositi di documenti che rappresentano la tracciabilità della nostra vita.

Come spiega Maurizio Ferraris nel suo saggio Documanità (Laterza editore) “definisco documediale la rivoluzione in corso perchè si basa sull’intersezione fra la crescita della documentalità, ossia la produzione di documenti in quanto elemento costitutivo della realtà sociale, e quella della medialità, che nel digitale non è più segnata dalla relazione da uno a molti, bensì da molti a molti”.

Una descrizione che fotografa il modo con cui producono e si organizzano la stragrande maggioranza delle imprese, ossia tracciando ogni atto negoziale e produttivo attraverso la composizione di documenti digitali che vengono poi fatti circolare in ambiti più o meno ampio, a secondo del modello di business.

Questa dinamica è oggi inesorabilmente esposta ad un pericolo strutturale costituito dalle intrusioni di esterni che mirano a sequestrare questi documenti per ricavarne un profitto.

La sicurezza nella gestione di questa circolarità documediale, diciamo per usare il termine di Ferraris, certifica l’affidabilità dell’impresa. Ora nella progressiva accelerazione di questi scambi diventa indispensabile contare sulla riservatezza del reciproco scambio di documenti.

In questo contesto un’azienda – prendiamo ancora l’esempio della banca- deve garantire che qualsiasi trasmissione di dati possa avvenire nella più assoluta esclusività, come si dice con la certificazione del contro end to end di ogni passaggio di informazioni.

Ma per garantire questo, e qui veniamo alle dolenti note, è indispensabile che l’impresa sia titolare sia dei software gestionali con cui tratta i dati e sia dei luoghi di deposito di questi dati. Una circostanza che al momento riguarda un’infima minoranza.

Nei giorni scorsi un grande banca di interesse nazionale ha annunciato che nel proprio percorso di digitalizzazione ha stipulato un accordo con Google per l’ottimizzazione dell’intera catena del valore delle infrastrutture digitali che presidiano la propria cybersecurity. Intendiamo di conseguenza che anche le infrastrutture quali i data server dove saranno custoditi i dati sensibili dei clienti saranno condivisi con Google, ossia con un gruppo che ricava il proprio fatturato dalla capacità di trasformare ogni nostra scia digitale in una profilazione dettagliatissima delle nostre caratteristiche come utenti e consumatori.

Ci chiediamo se la banca d’Italia, come organismo di controllo del mercato bancario non debba farci sapere quali cautele saranno previste per tutelare rigidamente i correntisti. Cautele che non possono essere limitate ad un capitolato tecnico in cui si precisa che il data server sarà di esclusivo acceso da parte della banca. Progressivamente questa necessità, ossia di essere titolari dei servizi digitali strategici che assicurino la piena autonomia del sistema economico nazionale, investiranno anche aziende di dimensione meno rilevante della banca in questione. Tanto più che le interconnessioni tecnologiche fra sistemi di produzione, prodotti sofisticati e gli apparati di difesa e sicurezza nazionale stanno ingigantendosi, rendendo ogni impresa di fatto, un tassello centrale nell’intero circuito di protezione dell’indipendenza nazionale.

La legge che proprio in questi giorni è in discussione sull’intelligenza artificiale tratta sono di rimbalzo della questione dei dati, mentre è ora il momento per dare al paese indicazioni precise per riorganizzare i sistemi imprenditoriali alla luce di un fattore, la sicurezza, che lega imprese, professioni e sistema paese in un nuovo patto di solidarietà sovrana.

In un contesto geopolitico sempre più instabile, dove le minacce informatiche colpiscono con precisione chirurgica infrastrutture strategiche e account personali, e in un mondo in cui abbiamo capito quanto sia insicuro la dipendenza tecnologica delle nostre democrazie dalle autocrazie, è ora – nell’era del trumpismo – che l’Italia e l’Europa si attivino per rafforzare la propria autonomia tecnologica.

A questa chiamata fa appello la Conferenza “Indipendenza Digitale – Un patto per il futuro economico e tecnologico dell’Europa e degli europei”, promossa da Key4biz, che si terrà a Roma il 27 maggio dalle 14:30 alle 18:00 a Palazzo Wedekind.

L’Agenda della Conferenza

Per partecipare all’evento “Indipendenza Digitale” a Roma il 27 maggio pomeriggio clicca qui.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/unicredit-si-affida-a-google-serve-un-patto-per-lindipendenza-digitale/531624/

La sicurezza informatica contemporanea si trova ad affrontare un panorama di minacce in continua evoluzione, dove gli attacchi si fanno sempre più sofisticati e persistenti. In questo contesto, un approccio monolitico alla protezione si rivela invariabilmente insufficiente. La difesa in profondità (Defense in Depth, DiD) emerge come paradigma strategico essenziale, fondato sul principio militare secondo cui un avversario incontra maggiore difficoltà nel superare una serie di meccanismi difensivi eterogenei piuttosto che un’unica barriera, per quanto robusta.

Cyber Defense in Depth: fondamenti concettuali

Il modello di difesa in profondità trascende la mera sovrapposizione di soluzioni tecnologiche, configurandosi come una filosofia olistica che permea l’intera architettura di sicurezza. L’origine del concetto risale alle strategie militari classiche, dove la stratificazione di barriere fisiche, come fossati e mura concentriche, amplificava l’efficacia dell’apparato difensivo. Nella sua trasposizione digitale, questo paradigma si articola attraverso l’implementazione coordinata di controlli preventivi, detective e reattivi, orchestrati in modo da proteggere sistematicamente ogni dimensione dell’ecosistema informativo.

Architettura Multilivello

Una difesa in profondità efficace si struttura attraverso diversi strati concettuali, ciascuno con peculiari obiettivi protettivi:

1. Perimetro di Rete: Costituisce la prima linea di difesa e include firewall di nuova generazione, sistemi di prevenzione delle intrusioni (IPS) e gateway sicuri. Questo livello filtra il traffico indesiderato prima che raggiunga i sistemi interni.
2. Segmentazione di Rete: Compartimentalizza l’infrastruttura attraverso VLAN e microsegmentazione, limitando il movimento laterale in caso di compromissione e contenendo l’estensione di eventuali violazioni.
3. Protezione degli Endpoint: Implementa soluzioni avanzate di rilevamento e risposta (EDR) che combinano metodi euristici e comportamentali per identificare anomalie non riconoscibili tramite firme tradizionali.
4. Autenticazione e Autorizzazione: Adotta paradigmi Zero Trust e implementa autenticazione multi-fattore (MFA), privilegiando l’identificazione contestuale e la validazione continua delle credenziali.
5. Protezione dei Dati: Applica crittografia pervasiva, sia per i dati in transito che per quelli a riposo, integrata con soluzioni di Data Loss Prevention (DLP) per prevenire l’esfiltrazione non autorizzata.
6. Monitoraggio e Analisi: Utilizza Security Information and Event Management (SIEM) potenziati da intelligenza artificiale per correlare eventi apparentemente scollegati, identificando pattern di attacco complessi.
   Risposta agli Incidenti: Predispone procedure formalizzate e automatizzate per contenere, eradicare e ripristinare i sistemi compromessi, minimizzando l’impatto operativo.

Cyber Defense in Depth: evoluzione paradigmatica

La difesa in profondità contemporanea ha subito un’evoluzione significativa rispetto alle implementazioni tradizionali. Il National Institute of Standards and Technology (NIST) ha proposto una riformulazione del paradigma attraverso il Cybersecurity Framework, che integra funzioni di identificazione, protezione, rilevamento, risposta e recupero in un modello ciclico e adattivo. Questo approccio riconosce la natura dinamica delle minacce e la necessità di un continuo riallineamento delle strategie difensive.

Parallelamente, l’European Union Agency for Cybersecurity (ENISA) ha elaborato linee guida che enfatizzano l’importanza dell’interoperabilità tra i diversi strati difensivi, sottolineando come l’efficacia complessiva del sistema dipenda non solo dalla robustezza dei singoli componenti, ma anche dalla loro coerenza architetturale.

Implementazione Strategica

L’implementazione efficace di una strategia di difesa in profondità richiede un processo metodico che comprende:

1. Valutazione del Rischio: Analisi sistematica delle minacce, vulnerabilità e potenziali impatti sugli asset critici, calibrando l’intensità delle misure protettive in base alla criticità degli asset.
2. Architettura Resiliente: Progettazione di sistemi intrinsecamente resistenti alle compromissioni, privilegiando architetture che mantengono funzionalità essenziali anche in condizioni degradate.
3. Orchestrazione dei Controlli: Coordinamento sinergico delle misure difensive per massimizzare la copertura e minimizzare le ridondanze inefficienti.
4. Automazione e Orchestrazione: Implementazione di processi automatizzati per accelerare la risposta agli incidenti, riducendo il tempo di permanenza degli attaccanti nei sistemi compromessi.
5. Formazione e Consapevolezza: Potenziamento del fattore umano attraverso programmi di sensibilizzazione continua e simulazioni di attacco controllate.

Sfide Emergenti

Il paradigma della difesa in profondità affronta sfide significative nell’era della trasformazione digitale:

• Perimetro Dissolto: L’adozione massiva del cloud computing, l’Internet of Things (IoT) e il lavoro remoto hanno dissolto i confini tradizionali del perimetro aziendale, richiedendo una ridefinizione del concetto stesso di difesa stratificata.
• Complessità Gestionale: La proliferazione di soluzioni di sicurezza eterogenee introduce complessità operativa, con potenziali vulnerabilità derivanti da configurazioni errate o incompatibilità tra sistemi.
• Sofisticazione degli Attacchi: L’emergere di minacce persistenti avanzate (APT) e campagne supportate da stati-nazione ha elevato il livello di sofisticazione degli attacchi, rendendo più ardua l’identificazione delle compromissioni.
• Equilibrio tra Sicurezza e Usabilità: L’implementazione di controlli multipli può impattare negativamente sull’esperienza utente, generando resistenza organizzativa e potenziali tentativi di elusione.

Il Modello Zero Trust e la sua Integrazione con la Difesa in Profondità

Negli ultimi anni, il modello Zero Trust è emerso come un’evoluzione significativa del concetto di sicurezza perimetrale tradizionale. A differenza degli approcci convenzionali che si basano sul principio di “fiducia ma verifica”, il paradigma Zero Trust opera secondo la filosofia di “non fidati mai, verifica sempre”. Questo approccio presuppone che nessuna entità, interna o esterna, debba essere considerata intrinsecamente affidabile.

Il modello Zero Trust si integra perfettamente con la difesa in profondità, offrendo un ulteriore strato di protezione che rafforza l’intera architettura di sicurezza. Mentre la difesa in profondità si concentra sulla creazione di barriere multiple per rallentare e contenere gli attacchi, il modello Zero Trust aggiunge un livello di scrutinio continuo che verifica costantemente l’identità e l’autorizzazione di ogni utente, dispositivo o applicazione che interagisce con le risorse aziendali.

Gli elementi chiave dell’integrazione tra Zero Trust e difesa in profondità includono:

• Autenticazione Contestuale: L’implementazione di meccanismi di autenticazione che considerano non solo le credenziali, ma anche il contesto della richiesta, come la posizione geografica, il dispositivo utilizzato e il comportamento dell’utente.
• Principio del Privilegio Minimo: L’applicazione rigorosa del principio secondo cui ogni utente o sistema deve avere accesso solo alle risorse strettamente necessarie per svolgere le proprie funzioni, limitando così l’ambito potenziale di un’eventuale compromissione.
• Segmentazione Microscopica: La suddivisione dell’infrastruttura in segmenti estremamente granulari, con policy di accesso specifiche per ciascun segmento, impedendo il movimento laterale degli attaccanti.
• Monitoraggio Continuo: L’implementazione di sistemi di monitoraggio che valutano costantemente il comportamento degli utenti e dei sistemi, identificando anomalie che potrebbero indicare una compromissione.
• Validazione dell’Integrità del Dispositivo: La verifica dello stato di salute e della configurazione di sicurezza dei dispositivi prima di consentire loro l’accesso alle risorse aziendali.

L’integrazione di questi principi Zero Trust nella strategia di difesa in profondità crea un ambiente di sicurezza più resiliente, in cui anche se un attaccante riesce a superare un livello di difesa, si trova comunque di fronte a continui controlli di autenticazione e autorizzazione che ostacolano significativamente la sua capacità di movimento e di accesso alle risorse critiche.

Cyber Deception: l’arte dell’inganno come strategia difensiva

La cyber deception (inganno informatico) rappresenta un’evoluzione sofisticata nel panorama della difesa in profondità, trasformando la postura passiva tradizionale in una strategia attiva che manipola la percezione degli attaccanti. Questo approccio si basa sul principio militare dell’inganno tattico, creando un ambiente informativo artificioso che induce l’avversario a dedicare risorse ed energie a obiettivi fittizi, rivelando al contempo le sue tecniche e intenzioni.

Evoluzione dalle Honeypot tradizionali ai sistemi di inganno avanzati

Il concetto di cyber deception ha origini nelle primitive honeypot degli anni ’90, semplici sistemi esca progettati per attirare e studiare gli attaccanti. L’evoluzione di questa tecnologia ha portato a piattaforme di inganno moderne caratterizzate da:

• Decoy Dinamici e Adattivi: Sistemi esca che si modificano automaticamente in risposta all’ambiente circostante e alle tattiche degli attaccanti, mantenendo un elevato livello di credibilità.
• Breadcrumb Strategici: Disseminazione di “briciole digitali” (credenziali false, file esca, collegamenti apparentemente legittimi) che indirizzano gli intrusi verso ambienti controllati, lontano dai sistemi reali.
• Emulazione Comportamentale: Simulazione di attività umane e automatizzate che replicano modelli comportamentali autentici, rendendo indistinguibili i sistemi esca dalle risorse legittime.
• Honeytoken e Canaries: Elementi di dati specificamente contrassegnati che, quando utilizzati o acceduti, attivano allarmi immediati, funzionando come sensori di violazione ad alta affidabilità.

Integrazione con l’Intelligenza Artificiale

L’innovazione più significativa nella cyber deception contemporanea è l’incorporazione di algoritmi di intelligenza artificiale che potenziano le capacità di inganno:

• Deployment Automatizzato: Algoritmi che analizzano continuamente l’infrastruttura e posizionano automaticamente le trappole nei punti più strategici dell’ambiente.
• Analisi Comportamentale: Sistemi che studiano in tempo reale come gli attaccanti interagiscono con le esca, adattando dinamicamente le risposte per massimizzare l’engagement e raccogliere intelligence preziosa.
• Personalizzazione Contestuale: Creazione di scenari di inganno specificamente calibrati sul profilo dell’attaccante, aumentando la probabilità che cadano nella trappola.
• Rilevamento delle Anomalie: Monitoraggio continuo per identificare comportamenti insoliti che potrebbero indicare tentativi di eludere o identificare i meccanismi di inganno.

Valore strategico nella Difesa in Profondità

La cyber deception si integra perfettamente nel framework di difesa in profondità, offrendo vantaggi distintivi:

1. Rilevamento Precoce: Intercetta gli attaccanti nelle fasi iniziali del kill chain, prima che possano raggiungere sistemi critici, riducendo drasticamente il tempo di permanenza e il potenziale impatto.
2. Intelligence Tattica: Fornisce osservazioni dirette sulle tecniche, tattiche e procedure (TTP) degli avversari, consentendo di rafforzare proattivamente le difese contro minacce specifiche.
3. Economia dell’Attacco Alterata: Aumenta significativamente il costo operativo per gli attaccanti, costringendoli a investire risorse considerevoli per distinguere tra obiettivi reali e fittizi.
4. Riduzione dei Falsi Positivi: A differenza dei tradizionali sistemi di rilevamento, gli allarmi generati dalle tecnologie di inganno hanno un’elevata affidabilità, essendo innescati solo da comportamenti esplicitamente malevoli.
5. Difesa Attiva Non Aggressiva: Consente un approccio proattivo alla sicurezza senza ricorrere a contromisure offensive che potrebbero sollevare questioni legali o etiche.

La cyber deception rappresenta quindi un elemento essenziale nella moderna architettura di difesa in profondità, trasformando ogni intrusione in un’opportunità per apprendere, adattarsi e rafforzare la postura di sicurezza complessiva dell’organizzazione.

Prospettive Future

L’evoluzione futura della difesa in profondità si orienta verso paradigmi emergenti:

1. Sicurezza Adattiva: Implementazione di sistemi difensivi che si riconfigurino dinamicamente in risposta all’evoluzione del contesto operativo e delle minacce rilevate.
2. Deception Technology: Integrazione di honeypot avanzati e sistemi di inganno che distraggono e rallentano gli attaccanti, fornendo contemporaneamente intelligence sulle loro tattiche.
3. Resilienza by Design: Incorporazione di principi di resilienza nella progettazione iniziale dei sistemi, privilegiando architetture intrinsecamente sicure rispetto a soluzioni sovrapposte successivamente.
4. Approccio Zero Trust Evoluto: Superamento del modello perimetrale tradizionale verso un paradigma in cui nessuna entità è implicitamente fidata, e ogni accesso richiede validazione continua basata sul contesto.
5. Automatizzazione Cognitiva: Impiego di sistemi di intelligenza artificiale avanzata per l’identificazione proattiva di vulnerabilità e la risposta automatizzata agli incidenti, riducendo i tempi di reazione e migliorando l’efficacia della risposta.
6. Quantum-Safe Security: Preparazione per l’era del quantum computing attraverso l’implementazione di algoritmi crittografici resistenti agli attacchi quantistici, garantendo la sicurezza delle informazioni anche di fronte a capacità computazionali esponenzialmente superiori.
7. Security Mesh Architecture: Adozione di un’architettura di sicurezza distribuita che consente di applicare policy coerenti attraverso ambienti eterogenei, facilitando la protezione di ecosistemi digitali complessi e multicloud.
8. Compliance Integrata: Incorporazione nativa di requisiti normativi nei controlli di sicurezza, semplificando la conformità e riducendo il carico amministrativo associato alla governance.
9. Threat Hunting Proattivo: Implementazione di strategie di ricerca attiva delle minacce che anticipano le mosse degli attaccanti, identificando indicatori di compromissione prima che si manifestino danni tangibili.
10. Orchestrazione Security-as-Code: Definizione e gestione dell’infrastruttura di sicurezza attraverso codice versionabile e testabile, migliorando l’agilità e la ripetibilità delle implementazioni difensive.

Conclusioni

La difesa in profondità rimane un paradigma fondamentale nella sicurezza informatica contemporanea, ma richiede un’interpretazione evolutiva che trascenda la mera stratificazione tecnologica. Un’implementazione efficace deve integrare dimensioni tecnologiche, procedurali e umane in un sistema coeso e adattivo, capace di rispondere alle minacce emergenti con resilienza e proattività.

La convergenza tra difesa in profondità, Zero Trust e tecnologie di cyber deception rappresenta la frontiera più avanzata nella protezione degli ambienti digitali. Questa triade strategica offre un approccio complessivo che non solo aumenta significativamente la difficoltà per gli attaccanti, ma trasforma ogni tentativo di intrusione in un’opportunità di apprendimento e rafforzamento.

In un contesto in cui la domanda non è più se un’organizzazione subirà un attacco, ma quando questo avverrà, questo approccio integrato rappresenta non solo uno scudo contro le minacce attuali, ma un framework evolutivo per anticipare e contrastare le sfide future. La sua efficacia risiede non tanto nell’impermeabilità assoluta, quanto nella capacità di trasformare il compromesso da evento catastrofico a incidente gestibile, preservando la continuità operativa anche di fronte ad attacchi sofisticati e persistenti.

L’adozione di questa strategia richiede un cambio di paradigma nella concezione stessa della sicurezza, passando da un modello statico e reattivo a uno dinamico e anticipatorio, dove la resilienza diventa il principio guida e la capacità di adattamento la metrica fondamentale di successo. Le organizzazioni che abbracceranno questa visione saranno meglio equipaggiate per navigare il panorama di minacce in continua evoluzione che caratterizza l’era digitale contemporanea.

Bibliografia:

https://www.ictsecuritymagazine.com/articoli/cyber-defense-in-depth/

Nel panorama contemporaneo della cybersecurity, caratterizzato da minacce sempre più sofisticate e supply chain sempre più complesse, il Software Bill of Materials (SBOM) emerge come architettura epistemica fondamentale, capace di trasformare la conoscenza componenziale in resilienza sistemica attraverso meccanismi di trasparenza strutturata e verificabilità algoritmica.

Prolegomeni: genealogia della trasparenza nel dominio digitale

La concezione di trasparenza come canone epistemico nella sicurezza informatica costituisce un fenomeno relativamente recente nella storia dell’informatica. Se negli albori dell’era computazionale l’attenzione era focalizzata primariamente sulla funzionalità, nella contemporaneità assistiamo ad una metamorfosi paradigmatica in cui la conoscibilità delle strutture interne del software assurge a principio fondante delle architetture securitarie.

Il Software Bill of Materials (SBOM) emerge in questo contesto quale manifestazione concreta di un cambiamento epistemologico: dall’opacità funzionale del software – concepito quale “black box” valutabile esclusivamente attraverso i comportamenti osservabili – alla trasparenza strutturale, in cui la conoscenza granulare della composizione interna diviene prerequisito per qualsiasi valutazione di sicurezza. Tale trasformazione non è meramente tecnica, ma riflette un mutamento ontologico nella concettualizzazione stessa del software, non più entità monolitica ma ecosistema complesso di interdipendenze articolate.

L’Architettura concettuale dello SBOM: dimensioni ontologiche e strutturali

Lo SBOM rappresenta la formalizzazione tecno-epistemica di un principio fondamentale: la trasparenza come propedeutica alla sicurezza. Attraverso la metafora della “distinta base” mutuata dall’industria manifatturiera, l’SBOM si configura come inventario sistematico e strutturato di ogni elemento costitutivo di un prodotto software, delineando un’articolata cartografia delle interdipendenze architetturali.

La morfologia strutturale degli SBOM si articola attraverso tre dimensioni fondamentali: l’architettura informativa, l’automatizzazione generativa e i processi operativi. L’architettura informativa si materializza attraverso campi dati standardizzati che costituiscono l’ossatura semantica dell’SBOM:

• Indicatori identitari del fornitore: Entità che origina o mantiene il componente;
• Nomenclatura del componente: Designazione ufficiale assegnata dal fornitore:
• Identificativo versionistico: Specificatore di variazione incrementale;
• Identificatori univoci supplementari: Designatori addizionali come CPE, SWID o PURL;
• Relazioni di dipendenza: Mappatura topologica delle interdipendenze gerarchiche;
• Metadati di attestazione: Autore e timestamp dell’istanziazione dell’SBOM.

La dimensione dell’automatizzazione si concretizza attraverso formati standardizzati che garantiscono l’interoperabilità semantica e l’integrazione nei processi di sviluppo softwaretico. Tre paradigmi di standardizzazione hanno acquisito prominenza nel panorama contemporaneo:

SPDX (Software Package Data Exchange)

SPDX, elaborato sotto l’egida della Linux Foundation e formalizzato come standard ISO/IEC 5962:2021, implementa un’ontologia semantica estensiva per la descrizione dei metadati, con particolare enfasi sulle informazioni relative alle licenze. La sua architettura informativa consente una granularità descrittiva che si estende dal singolo frammento di codice fino all’intero ecosistema software, supportando così analisi di conformità multilivello.

La formalizzazione di SPDX attraverso il processo ISO ha conferito a questo standard una legittimazione istituzionale che ne ha accelerato l’adozione in contesti enterprise dove i requisiti di compliance normativa costituiscono fattori determinanti. La grammatica descrittiva di SPDX, articolata attraverso sintassi RDF/XML, JSON o YAML, supporta la rappresentazione di relazioni gerarchiche complesse tra componenti, consentendo la modellazione di dipendenze transitive multilivello.

CycloneDX

Concepito originariamente dall’OWASP Foundation e successivamente elevato a standard Ecma International (ECMA-424), CycloneDX si distingue per la sua focalizzazione architettonica sulle dimensioni securitarie. La sua struttura semantica integra nativamente meccanismi di risk assessment e vulnerability tracking, configurandosi come ponte epistemico tra la dimensione inventariale e quella securitaria.

CycloneDX implementa un modello di dati che trascende la mera enumerazione dei componenti, estendendosi alla rappresentazione di servizi API, dipendenze dinamiche e vulnerabilità, configurandosi così come framework olistico per la security supply chain. La sua adozione è particolarmente significativa in contesti caratterizzati da cicli di sviluppo agili e in settori industriali dove la gestione dinamica delle vulnerabilità costituisce imperativo categorico.

SWID (Software Identification Tags)

Standardizzato come ISO/IEC 19770-2:2015, SWID propone un’architettura XML per l’identificazione univoca delle entità software. Il suo paradigma concettuale è incentrato sul ciclo di vita del software, con tag che vengono associati al punto di installazione e rimossi durante la disinstallazione, creando così un mapping diretto tra la presenza di un tag e l’esistenza del software corrispondente.

SWID si distingue per la sua integrazione con i paradigmi di gestione degli asset informatici, collocandosi all’interno dell’ecosistema ISO/IEC 19770 per l’IT Asset Management. La sua relativa semplicità strutturale lo rende particolarmente adatto a contesti dove la priorità è l’inventariazione software piuttosto che l’analisi approfondita delle vulnerabilità.

Epistemologia della sicurezza: SBOM come vettore di resilienza sistemica

L’implementazione degli SBOM trascende la mera dimensione tecnica per configurarsi come paradigma epistemologico nella conceptualizzazione della sicurezza informatica. La rilevanza securitaria degli SBOM si manifesta attraverso molteplici dimensioni:

Gestione Proattiva delle Vulnerabilità

Nell’ecosistema contemporaneo, caratterizzato da un’accelerazione esponenziale nella scoperta di vulnerabilità, la capacità di identificare tempestivamente i componenti vulnerabili all’interno delle proprie infrastrutture costituisce elemento differenziale nella postura di sicurezza organizzativa. L’SBOM abilita un modello di sicurezza predittivo anziché reattivo, consentendo la mappatura automatizzata tra componenti software e database di vulnerabilità.

La CISA (Cybersecurity and Infrastructure Security Agency) ha sottolineato come “gli SBOM abilitano un modello di risposta agli incidenti basato su consapevolezza situazionale amplificata” Cisa, riducendo significativamente il tempo medio di identificazione delle vulnerabilità e, conseguentemente, comprimendo la finestra di esposizione. Questo cambio paradigmatico dalla sicurezza reattiva alla sicurezza predittiva rappresenta una delle dimensioni più trasformative dell’implementazione degli SBOM.

Mitigazione del rischio Supply-Chain

Gli attacchi alla catena di approvvigionamento software rappresentano una delle vettorialità di attacco più insidiose nell’attuale panorama delle minacce cibernetiche. L’incidente SolarWinds del 2020 ha esemplificato drammaticamente la vulnerabilità sistemica derivante dall’opacità delle dipendenze software, evidenziando la necessità di meccanismi strutturati di trasparenza.

L’SBOM, attraverso la delineazione cartografica delle interdipendenze tra componenti, consente l’individuazione precoce di potenziali infiltrazioni nella catena di fornitura. La trasparenza diviene così meccanismo di difesa: rendendo visibili le relazioni tra componenti, si abilita la rilevazione di anomalie e l’identificazione di elementi potenzialmente compromessi.

Compliance normativa e conformità regolamentare

Il panorama regolamentare relativo alla sicurezza informatica ha subito una significativa evoluzione negli ultimi anni, con l’emergere di framework normativi che pongono enfasi crescente sulla trasparenza della software supply chain. L’Executive Order 14028 “Improving the Nation’s Cybersecurity” emanato dall’amministrazione Biden nel maggio 2021 ha istituzionalizzato gli SBOM nel contesto governativo statunitense, mentre iniziative analoghe si stanno sviluppando nel contesto europeo con il Cyber Resilience Act.

L’Ordine Esecutivo 14028 definisce l’SBOM come “formal record containing the details and supply chain relationships of various components used in building software,” NIST sottolineando l’analogia con le etichette degli ingredienti alimentari. Questa formalizzazione normativa ha accelerato l’adozione degli SBOM, traslando un concetto tecnico nella dimensione della compliance regolamentare.

Nel contesto europeo, il Cyber Resilience Act proposto dalla Commissione Europea incorpora elementi di trasparenza della catena di fornitura software, prefigurando un’armonizzazione transatlantica nell’approccio regolamentare alla sicurezza software.

Implementazione pragmatica: sfide e metodologie

L’operazionalizzazione degli SBOM nel ciclo di sviluppo software presenta sfide non triviali che trascendono la mera dimensione tecnica per abbracciare aspetti organizzativi, procedurali e culturali.

Complessità ecosistemica

L’articolazione complessa delle dipendenze transitive nel software contemporaneo genera SBOM potenzialmente mastodontici, caratterizzati da intricati reticoli di interdipendenze multilivello. Questa complessità pone sfide significative nella generazione, manutenzione e interpretazione degli SBOM, richiedendo strategie sofisticate di gestione dell’informazione.

La NTIA (National Telecommunications and Information Administration) ha elaborato linee guida specifiche per affrontare la complessità ecosistemica, introducendo il concetto di “known unknowns” – l’esplicitazione formale delle aree di incompletezza informativa nell’SBOM. Il report “The Minimum Elements For a Software Bill of Materials (SBOM)” pubblicato dalla NTIA specifica che “per istanze in cui il grafo completo delle dipendenze non è enumerato nell’SBOM, l’autore deve identificare esplicitamente i ‘known unknowns’” Doc, stabilendo così un principio di trasparenza epistemica anche rispetto alle lacune informative.

Automazione generativa

L’integrazione degli SBOM nelle pipeline CI/CD (Continuous Integration/Continuous Delivery) costituisce prerequisito fondamentale per garantire l’accuratezza e l’aggiornamento continuo dell’inventario software. Questo richiede strumenti automatizzati che analizzino le dipendenze software in tempo reale, generando o aggiornando gli SBOM ad ogni modifica significativa del codebase.

L’ecosistema di strumentazione per la generazione automatizzata di SBOM ha conosciuto un’espansione significativa negli ultimi anni, con l’emergere di tool specializzati per diversi ecosistemi di sviluppo. Strumenti come CycloneDX Generator, SPDX Tool, Syft e Anchore hanno implementato algoritmi sofisticati per l’analisi delle dipendenze e la generazione automatica di SBOM conformi agli standard principali.

Granularità semantica

La definizione del livello ottimale di dettaglio nell’SBOM rappresenta un equilibrio delicato tra completezza informativa e utilizzabilità pragmatica. Un SBOM eccessivamente dettagliato può risultare ingestibile e difficilmente processabile, mentre un’eccessiva semplificazione rischia di omettere informazioni critiche per la valutazione delle vulnerabilità.

La NTIA raccomanda un approccio modulato alla granularità, specificando come elemento minimo l’inclusione di tutte le dipendenze dirette (primary components) con sufficiente dettaglio per consentire l’identificazione ricorsiva delle dipendenze transitive. Questo approccio pragmatico bilancia la necessità di completezza informativa con considerazioni di utilizzabilità operativa.

Casistica applicativa: implementazioni reali e impatti misurabili

Le implementazioni concrete degli SBOM in organizzazioni reali hanno dimostrato impatti significativi sulla postura di sicurezza e sull’efficienza operativa.

Caso studio: settore sanitario

Nel contesto sanitario, dove dispositivi medici software-defined hanno criticità elevata per la sicurezza dei pazienti, l’adozione degli SBOM ha modificato radicalmente la gestione delle vulnerabilità. Un’importante struttura ospedaliera americana ha implementato un sistema di gestione delle vulnerabilità basato su SBOM per i propri dispositivi medici, riducendo del 78% il tempo medio di identificazione delle vulnerabilità critiche e migliorando la capacità di risposta agli incidenti di sicurezza.

Il Healthcare Proof of Concept, coordinato dalla NTIA, ha dimostrato la fattibilità dell’implementazione degli SBOM anche in contesti caratterizzati da elevata complessità regolamentare e tecnica, stabilendo un precedente significativo per l’adozione in settori critici.

Caso studio: settore finanziario

Un’importante istituzione finanziaria globale ha integrato gli SBOM nei propri processi di valutazione del rischio fornitore, richiedendo SBOM certificati per tutte le acquisizioni software strategiche. Questa implementazione ha consentito l’identificazione preventiva di vulnerabilità critiche in componenti di terze parti, evitando potenziali compromissioni e riducendo significativamente il rischio complessivo della supply chain software.

L’integrazione degli SBOM nei processi di procurement ha inoltre abilitato una valutazione comparativa oggettiva tra diversi fornitori basata su metriche quantitative di sicurezza, promuovendo così pratiche virtuose nell’ecosistema dei fornitori.

Dimensione internazionale: convergenze e divergenze regolamentari

Sebbene l’Executive Order 14028 costituisca il riferimento normativo più noto nell’ambito degli SBOM, il panorama internazionale presenta una pluralità di iniziative con diversi gradi di maturazione.

Contesto europeo

L’Unione Europea, attraverso il proposto Cyber Resilience Act, sta sviluppando un framework regolamentare che incorpora elementi di trasparenza della software supply chain analogamente all’approccio statunitense. L’ENISA (European Union Agency for Cybersecurity) ha pubblicato linee guida sulla sicurezza della supply chain che enfatizzano l’importanza della trasparenza componenziale, prefigurando un’armonizzazione regolamentare transatlantica.

Parallelamente, il BSI tedesco (Bundesamt für Sicherheit in der Informationstechnik) ha sviluppato linee guida tecniche per l’implementazione degli SBOM nel contesto dell’approvvigionamento software governativo, stabilendo requisiti minimi allineati ma non identici a quelli del NTIA.

Contesto asiatico

Giappone e Corea del Sud hanno sviluppato iniziative analoghe, con particolare enfasi sull’integrazione degli SBOM nei processi di certificazione di sicurezza per settori critici. Il METI giapponese (Ministry of Economy, Trade and Industry) ha pubblicato linee guida per la sicurezza della supply chain software che includono specifiche raccomandazioni sull’implementazione degli SBOM.

Armonizzazione globale

L’emergere di standard internazionali come ISO/IEC 5962:2021 (SPDX) e ECMA-424 (CycloneDX) rappresenta un significativo passo verso l’armonizzazione globale delle pratiche di trasparenza software. Questi standard, sviluppati attraverso processi collettivi aperti con partecipazione internazionale, stanno gradualmente convergendo verso un framework comune che trascende le specificità regionali.

Prospettive future e direttrici evolutive

Il paradigma SBOM evidenzia traiettorie evolutive significative che prefigurano un’ulteriore espansione del suo ruolo nell’ecosistema della sicurezza informatica.

Integrazione con Framework VEX (Vulnerability Exploitability eXchange)

L’evoluzione più immediata degli SBOM è rappresentata dalla loro integrazione con meccanismi di valutazione dell’esposizione alle vulnerabilità. Il VEX (Vulnerability Exploitability eXchange) emerge come complemento naturale dell’SBOM, consentendo ai fornitori di comunicare informazioni contestuali sull’effettiva esposizione alle vulnerabilità identificate nei componenti.

Il VEX, implementato come profilo del Common Security Advisory Framework (CSAF), arricchisce il potenziale analitico degli SBOM consentendo valutazioni di rischio contestualizzate: una vulnerabilità presente in un componente potrebbe non essere sfruttabile nel contesto specifico dell’implementazione, riducendo così i falsi positivi e consentendo una priorizzazione più efficace delle attività di remediation.

SBOM dinamici e monitoraggio continuo

L’evoluzione verso SBOM dinamici, capaci di riflettere in tempo reale le modifiche all’architettura software, rappresenta la frontiera innovativa del settore. Questi SBOM “viventi” si integrano con sistemi di monitoraggio continuo che identificano nuove vulnerabilità o cambiamenti nella postura di sicurezza complessiva.

L’integrazione degli SBOM con tecnologie emergenti come Continuous Assurance e Runtime Application Self-Protection (RASP) prefigura un paradigma di sicurezza adattiva in cui la trasparenza componenziale alimenta meccanismi di protezione dinamica.

Standardizzazione e interoperabilità avanzata

L’emergere di metastandard e ontologie unificate promette di risolvere le attuali frammentazioni dell’ecosistema SBOM. Iniziative come l’Open Source Security Foundation (OpenSSF) stanno promuovendo l’armonizzazione dei formati SBOM e lo sviluppo di toolchain interoperabili che consentano l’integrazione seamless degli SBOM nei processi di sviluppo e security operations.

La standardizzazione delle API per lo scambio di dati SBOM tra sistemi eterogenei costituisce un’altra area di evoluzione significativa, con l’emergere di protocolli come MUD (Manufacturer Usage Description) e OpenC2 specificatamente adattati per la comunicazione efficiente dei dati SBOM.

Espansione verso nuovi domini: intelligenza artificiale e SaaS

L’espansione del paradigma SBOM verso nuovi domini tecnologici rappresenta un’ulteriore direttrice evolutiva. Nel contesto dell’Intelligenza Artificiale, l’AI-BOM emerge come estensione concettuale degli SBOM tradizionali, catalogando non solo componenti software ma anche modelli, dataset di addestramento e parametri algoritmici, consentendo così una valutazione olistica del rischio associato ai sistemi AI.

Parallelamente, il SaaS-BOM estende il concetto di trasparenza componenziale agli ambienti cloud, catalogando non solo componenti software ma anche servizi API, dipendenze dinamiche e configurazioni infrastrutturali, abilitando così una comprensione più profonda dell’architettura di sicurezza dei servizi cloud-based.

Epilogo: verso un’epistemologia della trasparenza digitale

Il Software Bill of Materials trascende la dimensione meramente tecnica per configurarsi come paradigma epistemologico nella sicurezza informatica contemporanea. La sua adozione sistematica prefigura un ecosistema software caratterizzato da trasparenza strutturale, accountability diffusa e resilienza sistemica.

In un contesto di minacce cibernetiche in continua evoluzione, gli SBOM incarnano il principio fondamentale secondo cui la conoscenza granulare costituisce il fondamento irrinunciabile di qualsiasi strategia securitaria efficace. La trasparenza non è semplicemente una pratica tecnica, ma un principio architettonico che ridefinisce la relazione tra sviluppatori, operatori e utilizzatori del software, creando un ecosistema basato sulla visibilità reciproca e sulla comprensione condivisa dei rischi.

La traiettoria evolutiva degli SBOM prefigura non solo innovazioni tecniche, ma un cambiamento paradigmatico nella concezione stessa della sicurezza: dalla sicurezza come proprietà emergente di sistemi opachi alla sicurezza come attributo intrinseco di sistemi trasparenti, misurabili e verificabili. Questa è l’essenza dell’epistemologia della trasparenza digitale che gli SBOM incarnano e promuovono.

Bibliografia:

https://www.ictsecuritymagazine.com/articoli/software-bill-of-materials/

In un’epoca caratterizzata dall’ubiquità di dispositivi interconnessi e dall’evoluzione esponenziale delle minacce informatiche, il paradigma della Security by Design (SbD) emerge non già come mera opzione progettuale bensì come imperativo categorico nell’ecosistema digitale contemporaneo. Questo principio architettonico presuppone l’incorporazione di meccanismi di sicurezza ab initio nel ciclo di sviluppo dei sistemi informativi, contrapposto all’approccio reattivo che ha storicamente dominato l’implementazione delle misure di protezione digitale.

Il presente elaborato si propone di analizzare la genesi concettuale, i principi fondanti e le implicazioni pragmatiche della Security by Design, esaminandone l’evoluzione epistemologica e le metodologie applicative nel contesto delle sfide socio-tecniche attuali.

Genesi concettuale e fondamenti epistemologici

Il costrutto teorico della Security by Design affonda le proprie radici nei principi della progettazione sistemica resiliente, articolata inizialmente da Saltzer e Schroeder nel loro seminale contributo “The Protection of Information in Computer Systems” (1975), ove delinearono otto principi cardinali per la sicurezza informatica, tra cui l’economia del meccanismo, la protezione predefinita e il privilegio minimo. Questi assiomi costituiscono il substrato concettuale dell’architettura SbD contemporanea.

L’evoluzione del paradigma si è cristallizzata ulteriormente attraverso le pubblicazioni del National Institute of Standards and Technology (NIST), in particolare con la Special Publication 800-160 “Systems Security Engineering” che ha codificato un framework metasistematico per l’integrazione dei requisiti di sicurezza nell’intero ciclo di vita dell’ingegneria dei sistemi.

Principi architettonici e metodologie applicative

L’implementazione efficace della Security by Design si articola attraverso principi architettonici distintivi che ne modulano l’applicazione pragmatica:

1. Analisi olistica dei requisiti di sicurezza

Il processo inizia con una identificazione granulare e una categorizzazione tassonomica dei requisiti di sicurezza, analizzando il sistema attraverso una prospettiva socio-tecnica che contempli non solo le vulnerabilità tecniche ma anche le implicazioni organizzative, normative e comportamentali. Come evidenziato dalla ricerca di Sindre e Opdahl sull’analisi dei requisiti orientata all’abuso, questa fase richiede una decostruzione sistematica delle potenziali violazioni delle proprietà di sicurezza.

2. Modellazione delle minacce come processo iterativo

La modellazione delle minacce costituisce il nucleo epistemico della SbD, configurandosi come processo euristico che identifica, quantifica e prioritizza i potenziali vettori di attacco. Metodologie come STRIDE (Microsoft), PASTA (Process for Attack Simulation and Threat Analysis) e OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) forniscono framework strutturati per questa analisi.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola questo processo come un continuum dinamico che attraversa le fasi di identificazione, protezione, rilevamento, risposta e recupero, enfatizzando la natura ciclica della gestione del rischio.

3. Principio di difesa stratificata

L’implementazione di controlli di sicurezza multipli, eterogenei e ridondanti costituisce un pilastro fondamentale dell’approccio SbD. Questa strategia, denominata “defense-in-depth”, presuppone che la compromissione di un singolo strato difensivo non comprometta l’integrità complessiva del sistema. La ricerca empirica condotta dall’European Union Agency for Cybersecurity (ENISA) ha dimostrato come l’articolazione di controlli difensivi stratificati incrementi significativamente il costo computazionale e operativo degli attacchi, rendendo economicamente inefficiente la perpetrazione di violazioni.

4. Minimizzazione della superficie di attacco

La riduzione della superficie di attacco attraverso l’eliminazione di funzionalità superflue, la decomposizione modulare e l’implementazione del principio del privilegio minimo costituisce un’ulteriore dimensione strategica della SbD. La ricerca di McGraw sull’ingegneria della sicurezza del software evidenzia come la complessità sistemica sia direttamente proporzionale alla vulnerabilità potenziale, suggerendo che l’astrazione architetturale e la semplificazione funzionale rappresentino strategie efficaci di mitigazione del rischio.

5. Verifica formale e testing automatizzato

L’integrazione di metodologie di verifica formale e testing automatizzato consente la validazione rigorosa dei requisiti di sicurezza. Tecniche come l’analisi statica del codice, il fuzzing, il penetration testing e l’analisi dinamica costituiscono strumenti essenziali per l’identificazione proattiva delle vulnerabilità. La ricerca di Schneider sulla verifica automatizzata delle proprietà di sicurezza ha dimostrato l’efficacia di queste metodologie nell’individuazione di violazioni sottili dei principi di sicurezza.

Evoluzione normativa e standardizzazione

Il paradigma della Security by Design ha trovato progressiva codificazione in framework normativi e standard internazionali che ne hanno amplificato l’adozione sistemica:

• ISO/IEC 27001 e 27034: Definiscono rispettivamente i requisiti per i sistemi di gestione della sicurezza delle informazioni e le linee guida per la sicurezza delle applicazioni.
• NIST Cybersecurity Framework: Fornisce linee guida per la gestione e la riduzione del rischio di sicurezza informatica attraverso l’organizzazione e la descrizione di attività di cybersecurity.
• Regolamento Generale sulla Protezione dei Dati (GDPR): Introduce esplicitamente il concetto di “privacy by design and by default” che rappresenta una declinazione specifica della SbD nel dominio della protezione dei dati personali.
• Cybersecurity Act dell’Unione Europea: Stabilisce un quadro di certificazione della cybersecurity a livello europeo che incorpora principi di SbD nei requisiti di certificazione.

Sfide implementative contemporanee

Nonostante la solidità concettuale e l’evidenza empirica a supporto dell’efficacia della SbD, permangono sfide significative nella sua implementazione pragmatica:

1. Complessità socio-tecnica

La crescente interconnessione tra sistemi eterogenei e l’espansione dell’Internet delle Cose (IoT) amplificano la complessità socio-tecnica, rendendo ardua l’implementazione di controlli di sicurezza comprensivi. La ricerca di Ross Anderson sulla “Economics of Security” evidenzia come gli incentivi disallineati tra stakeholder rappresentino un ostacolo significativo all’adozione sistemica della SbD.

2. Evoluzione accelerata delle minacce

L’evoluzione rapida e sofisticata delle tecniche di attacco, inclusi gli approcci basati sull’intelligenza artificiale e sul machine learning, richiede un adattamento continuo dei modelli di minaccia. La ricerca condotta dal MITRE ATT&CK Framework documenta l’espansione tassonomica delle tattiche, tecniche e procedure utilizzate dagli attori malevoli.

3. Vincoli economici e temporali

Le pressioni competitive e i vincoli temporali nel ciclo di sviluppo possono indurre a compromessi pragmatici che sacrificano l’integrità dell’approccio SbD. L’analisi costo-beneficio della sicurezza, esplorata da Gordon e Loeb, suggerisce l’esistenza di un punto di ottimizzazione oltre il quale ulteriori investimenti in sicurezza producono rendimenti marginali decrescenti.

Prospettive future: Verso un paradigma evolutivo

L’evoluzione futura della Security by Design si orienta verso l’integrazione di metodologie adattive e tecnologie emergenti:

1. DevSecOps e integrazione continua

L’integrazione della sicurezza nei processi di sviluppo e operazioni (DevSecOps) rappresenta un’evoluzione naturale della SbD, incorporando controlli di sicurezza automatizzati nel ciclo di integrazione continua. La ricerca di Forsgren et al. sulla performance organizzativa dimostra come l’integrazione della sicurezza nelle pipeline di sviluppo sia correlata positivamente con l’efficacia complessiva dei team e la riduzione dei difetti post-deployment.

2. Sicurezza basata sull’intelligenza artificiale

L’applicazione di tecniche di intelligenza artificiale e machine learning consente l’implementazione di sistemi di sicurezza adattivi capaci di apprendere da pattern emergenti e rispondere dinamicamente a nuove minacce. La ricerca di Buczak e Guven sull’applicazione del machine learning per il rilevamento delle intrusioni evidenzia il potenziale di queste tecnologie nell’identificazione di comportamenti anomali non precedentemente categorizzati.

3. Architetture a fiducia zero

Il paradigma della fiducia zero (Zero Trust) rappresenta un’evoluzione concettuale della SbD, presupponendo che nessuna entità, interna o esterna, debba essere implicitamente fidata. L’implementazione di meccanismi di autenticazione e autorizzazione continui, basati sul contesto, costituisce un’applicazione avanzata dei principi di sicurezza predefinita. Il NIST Special Publication 800-207 “Zero Trust Architecture” fornisce un framework esaustivo per l’implementazione di questo approccio.

Dimensione internazionale comparativa della Security by Design

L’implementazione del paradigma della Security by Design presenta significative variazioni geopolitiche e culturali che meritano un’analisi comparativa approfondita. Le diverse regioni globali hanno sviluppato approcci distintivi, influenzati da contesti normativi, priorità strategiche e sensibilità culturali specifiche.

Approccio europeo: regolamentazione proattiva

L’Unione Europea ha adottato un approccio marcatamente regolamentare, cristallizzato nel Regolamento Generale sulla Protezione dei Dati (GDPR) e nel Cybersecurity Act. La filosofia europea integra la sicurezza informatica in un framework più ampio di diritti fondamentali, enfatizzando la protezione dei dati personali come diritto inalienabile. L’European Union Agency for Cybersecurity (ENISA) ha elaborato linee guida specifiche per l’implementazione della Security by Design che pongono particolare enfasi sulla valutazione d’impatto e sulla responsabilità algoritmica.

La recente normativa NIS2 (Network and Information Security Directive 2) e il Cyber Resilience Act amplificano ulteriormente questa tendenza, estendendo gli obblighi di sicurezza proattiva a settori precedentemente non regolamentati e introducendo requisiti di certificazione per prodotti connessi.

Modello statunitense: collaborazione pubblico-privato

Gli Stati Uniti hanno privilegiato un modello basato sulla collaborazione pubblico-privato e su framework volontari di best practices. Il NIST Cybersecurity Framework rappresenta l’emblema di questo approccio, fornendo linee guida non prescrittive ma altamente strutturate per l’implementazione della sicurezza.

La recente Executive Order 14028 “Improving the Nation’s Cybersecurity” ha segnato un cambiamento paradigmatico, introducendo requisiti più stringenti per i fornitori federali e promuovendo l’adozione di architetture Zero Trust.

La strategia statunitense si caratterizza inoltre per un’enfasi sull’innovazione tecnologica e sulla ricerca avanzata attraverso programmi come la DARPA’s Cyber Grand Challenge, che ha stimolato lo sviluppo di soluzioni automatizzate per l’identificazione e la mitigazione delle vulnerabilità.

Paradigma asiatico: centralizzazione e controllo

Le economie asiatiche avanzate come Giappone, Corea del Sud e Singapore hanno sviluppato approcci distintivi alla Security by Design. Il Giappone, attraverso il suo “Cybersecurity Strategic Headquarters”, ha implementato una metodologia che integra profondamente considerazioni di sicurezza nella sua strategia di Society 5.0, con particolare attenzione alle infrastrutture critiche e all’Internet delle Cose.

La Cina rappresenta un caso particolare, con la sua Cybersecurity Law e la più recente Data Security Law che impongono rigorosi controlli centralizzati e requisiti di localizzazione dei dati. L’approccio cinese alla sicurezza informatica è inscindibile da considerazioni di sovranità digitale e sicurezza nazionale, determinando un modello di implementazione della SbD fortemente regolamentato e monitorato centralmente.

Nazioni emergenti: sfide di implementazione

Le economie emergenti affrontano sfide distintive nell’adozione della Security by Design, incluse limitazioni nelle risorse tecniche, lacune normative e pressioni competitive che possono indurre a compromessi sulla sicurezza. Iniziative come il Global Forum on Cyber Expertise (GFCE) mirano a colmare questi divari attraverso programmi di capacity building e trasferimento di competenze.

L’analisi comparativa evidenzia come la Security by Design, pur mantenendo principi fondamentali universali, si articoli in implementazioni eterogenee influenzate dal contesto socio-politico, dalle priorità strategiche e dalle caratteristiche culturali delle diverse regioni.

Integrazione con paradigmi complementari

La Security by Design non opera in isolamento ma si integra sinergicamente con altri paradigmi progettuali complementari, creando un ecosistema olistico di principi che si rafforzano reciprocamente. Questa integrazione multidimensionale amplifica l’efficacia complessiva dell’approccio e ne estende la portata oltre i confini tradizionali della sicurezza informatica.

Privacy by Design: la dimensione etica della protezione dei dati

Il paradigma della Privacy by Design, formulato da Ann Cavoukian, rappresenta un’estensione naturale e complementare della Security by Design. Mentre quest’ultima si focalizza sulla protezione contro accessi non autorizzati e compromissioni, la Privacy by Design si concentra sulla minimizzazione della raccolta dati, sulla limitazione dello scopo e sulla trasparenza nel trattamento delle informazioni personali.

La ricerca condotta da Spiekermann e Cranor evidenzia come l’integrazione di questi due paradigmi crei un framework comprensivo che protegge simultaneamente contro minacce tecniche e abusi nella gestione dei dati. Il concetto di “Data Protection Impact Assessment”, codificato nel GDPR europeo, rappresenta una metodologia operativa che integra considerazioni di sicurezza e privacy in un processo valutativo unificato.

Usability by Design: riconciliare sicurezza e esperienza utente

Storicamente, la sicurezza è stata percepita come antagonista dell’usabilità, generando il noto dilemma “sicurezza versus convenienza”. Il paradigma dell’Usability by Design riconcilia questa apparente dicotomia, dimostrando come controlli di sicurezza ben progettati possano simultaneamente migliorare la protezione e l’esperienza utente.

La ricerca di Cranor e Garfinkel su “Security and Usability” ha dimostrato come l’usabilità insufficiente dei meccanismi di sicurezza conduca frequentemente alla loro elusione, compromettendo l’efficacia complessiva delle protezioni. L’integrazione di principi di design centrato sull’utente nella progettazione dei controlli di sicurezza rappresenta quindi un amplificatore dell’efficacia dei meccanismi protettivi.

Resilience by Design: oltre la prevenzione

Il paradigma della Resilience by Design estende la Security by Design oltre la dimensione preventiva, incorporando principi di adattabilità, recupero e continuità operativa. Questo approccio riconosce l’impossibilità di prevenire tutte le compromissioni potenziali e si focalizza sulla capacità sistemica di mantenere funzionalità essenziali sotto attacco e di ripristinare rapidamente la piena operatività.

Il NIST Framework for Improving Critical Infrastructure Cybersecurity articola esplicitamente questa integrazione attraverso le sue funzioni core di Identificare, Proteggere, Rilevare, Rispondere e Recuperare, creando un continuum che abbraccia l’intero ciclo di vita della sicurezza.

Ethics by Design: la dimensione valoriale

L’emergere dell’Ethics by Design come paradigma complementare riflette la crescente consapevolezza delle implicazioni valoriali e sociali dei sistemi informativi. Questo approccio integra considerazioni etiche nell’architettura tecnologica, affrontando questioni di equità algoritmica, trasparenza decisionale e responsabilità sistemica.

La convergenza tra Security by Design ed Ethics by Design è particolarmente rilevante nel contesto delle tecnologie emergenti come l’intelligenza artificiale, dove la sicurezza delle decisioni algoritmiche è inscindibile dalle loro implicazioni etiche e sociali. Il recente AI Act europeo codifica questa integrazione, imponendo requisiti di sicurezza e valutazione dell’impatto etico per sistemi di IA ad alto rischio.

Verso un meta-paradigma di Trustworthy by Design

L’integrazione sinergica di questi paradigmi complementari suggerisce l’emergere di un meta-paradigma di “Trustworthy by Design” che sintetizza le diverse dimensioni della fiducia digitale – sicurezza, privacy, usabilità, resilienza ed etica – in un framework olistico e coerente.

La ricerca del Digital Trust Institute evidenzia come questa integrazione multidimensionale costituisca un fondamento essenziale per la costruzione di ecosistemi digitali sostenibili e affidabili, capaci di generare e mantenere la fiducia degli utenti attraverso la progettazione intenzionale di sistemi che incorporano valori umani e sociali.

La Security by Design come imperativo etico

In ultima analisi, la Security by Design trascende la dimensione meramente tecnica per configurarsi come imperativo etico nell’ecosistema digitale contemporaneo. La protezione dell’integrità, della confidenzialità e della disponibilità delle informazioni rappresenta non solo un obiettivo funzionale ma una responsabilità collettiva verso la costruzione di infrastrutture digitali resilienti e affidabili.

L’implementazione sistematica di questo paradigma richiede un approccio olistico che integri dimensioni tecniche, organizzative, normative ed etiche in un framework coeso e adattivo, capace di evolvere in risposta alle sfide emergenti del panorama cyber contemporaneo.

Come osservato da Bruce Schneier, “La sicurezza è un processo, non un prodotto” – un assioma che cattura l’essenza dinamica e continuativa della Security by Design come metodologia evolutiva piuttosto che come stato finale raggiungibile.

Bibliografia:

• Anderson, R. (2008). Security Engineering: A Guide to Building Dependable Distributed Systems. Wiley.
• Buczak, A. L., & Guven, E. (2016). A Survey of Data Mining and Machine Learning Methods for Cyber Security Intrusion Detection. IEEE Communications Surveys & Tutorials, 18(2), 1153-1176.
• Cavoukian, A. (2011). Privacy by Design: The 7 Foundational Principles. Information and Privacy Commissioner of Ontario.
• Cranor, L. F., & Garfinkel, S. (2005). Security and Usability: Designing Secure Systems that People Can Use. O’Reilly Media.
• European Union Agency for Cybersecurity. (2022). ENISA Threat Landscape Report. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2022
• European Commission. (2023). Proposal for a Regulation on Harmonised Rules on Artificial Intelligence (AI Act). https://digital-strategy.ec.europa.eu/en/library/proposal-regulation-laying-down-harmonised-rules-artificial-intelligence
• Forsgren, N., Humble, J., & Kim, G. (2018). Accelerate: The Science of Lean Software and DevOps. IT Revolution.
• Global Forum on Cyber Expertise. (2023). Global Good Practices in Cybersecurity Capacity Building. https://thegfce.org/wp-content/uploads/2023/02/GFCE-Good-Practices.pdf
• Gordon, L. A., & Loeb, M. P. (2002). The Economics of Information Security Investment. ACM Transactions on Information and System Security, 5(4), 438-457.
• McGraw, G. (2006). Software Security: Building Security In. Addison-Wesley Professional.
• Ministry of Economy, Trade and Industry of Japan. (2022). Society 5.0 and Cybersecurity Strategy. https://www.meti.go.jp/english/policy/mono_info_service/information_economy/index.html
• National Institute of Standards and Technology. (2018). Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf
• National Institute of Standards and Technology. (2020). Special Publication 800-207: Zero Trust Architecture. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
• National Institute of Standards and Technology. (2022). Special Publication 800-160: Systems Security Engineering. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-160v1r1.pdf
• People’s Republic of China. (2021). Data Security Law of the People’s Republic of China. http://www.npc.gov.cn/englishnpc/c23934/202111/162ca85fe2ba4ba1a144b1a7d24b2d5c.shtml
• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR). (2016). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32016R0679
• Regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio (Cybersecurity Act). (2019). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32019R0881
• Regolamento (UE) 2022/2554 del Parlamento europeo e del Consiglio (NIS2). (2022). https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32022R2554
• Saltzer, J. H., & Schroeder, M. D. (1975). The Protection of Information in Computer Systems. Proceedings of the IEEE, 63(9), 1278-1308.
• Schneider, F. B. (2000). Enforceable Security Policies. ACM Transactions on Information and System Security, 3(1), 30-50.
• Schneier, B. (2004). Secrets and Lies: Digital Security in a Networked World. Wiley.
• Sindre, G., & Opdahl, A. L. (2005). Eliciting Security Requirements with Misuse Cases. Requirements Engineering, 10(1), 34-44.
• Spiekermann, S., & Cranor, L. F. (2009). Engineering Privacy. IEEE Transactions on Software Engineering, 35(1), 67-82.
• The MITRE Corporation. (2023). MITRE ATT&CK Framework. https://attack.mitre.org/
• The White House. (2021). Executive Order on Improving the Nation’s Cybersecurity (EO 14028). https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/
• ISO/IEC. (2022). ISO/IEC 27001:2022 – Information security, cybersecurity and privacy protection. International Organization for Standardization. https://www.iso.org/standard/27001
• Digital Trust Institute. (2024). Trustworthy Design Principles for Digital Ecosystems. https://digitaltrustinstitute.org/resources

https://www.ictsecuritymagazine.com/articoli/security-by-design/

L’arrivo di ChatGPT il 30 novembre 2022 ha focalizzato l’attenzione di molti di noi sui sistemi di Intelligenza Artificiale (AI), che più propriamente dovremmo chiamare modelli di Machine Learning (ML). L’interesse in questa “nuova” tecnologia ha incluso sin da subito sia informatici, sia utilizzatori di sistemi IT, sia chi usa quotidianamente applicazioni IT anche solo sugli smartphone, sia chi con le tecnologie informatiche ha di solito poco a che fare.

Questo vasto interesse può essere facilmente compreso dato che sin dai tempi antichi, ad esempio degli antichi greci, già l’uomo immaginava la creazione di “automi” che potessero sostituirlo o almeno aiutarlo nei compiti più gravosi, più pericolosi o anche solo di poco interesse. Infatti l’uomo ha la capacità unica di creare strumenti che l’aiutano nelle sue azioni, è quindi logico sognare di avere un servitore meccanico e autonomo che lo aiuti e renda più facile e piacevole la propria vita.

Con la recente maturazione delle tecnologie di ML e AI in generale, che ormai hanno più di mezzo secolo di vita, è quindi comprensibile l’interesse di molti di noi non tanto da un punto di vista tecnico e specialistico informatico, quanto proprio come strumento a supporto dell’umanità.

Pertanto è utile cercare di capire cosa, come uomini, ci attendiamo da androidi, robot e sistemi AI in esecuzione su elaboratori sia grandi e distribuiti sia piccoli (almeno in dimensioni fisiche) come gli smartphone.

Un possibile punto di partenza non è tanto cosa dovrebbero fare queste applicazioni e strumenti ma piuttosto come dovrebbero comportarsi. Ad esempio è interessante considerare i 10 principi generali delle raccomandazioni UNESCO sull’Etica dell’Intelligenza Artificiale ^[1]:

1. Proporzionalità e non nuocere,
2. Sicurezza e protezione,
3. Equità e non discriminazione,
4. Sostenibilità,
5. Diritto alla privacy e alla protezione dei dati,
6. Supervisione umana e discrezionalità,
7. Trasparenza e spiegabilità,
8. Responsabilità e responsabilizzazione,
9. Consapevolezza e alfabetizzazione,
10. Governance e collaborazione adattive e multilaterali.

Può anche essere d’aiuto l’approccio del NIST alla gestione dei rischi derivanti dall’utilizzo del AI ^[2] che descrive 7 criteri per valutare la “Trustworthiness” dei sistemi AI:

1. validità e affidabilità,
2. protezione,
3. sicurezza e resilienza,
4. responsabilità e trasparenza,
5. comprensione e modellazione,
6. riservatezza,
7. imparzialità, attraverso la mitigazione dei pregiudizi dannosi.

Un altro, per alcuni aspetti più semplice ma anche più ambiguo, è il famoso approccio di Isaac Asimov alle leggi che dovrebbero governare i “robot” ^[3]. E’ possibile riassumere le 3+1 leggi di Asimov come segue:

• Legge 0: Un robot non può arrecare danno all’umanità né, a causa del suo mancato intervento, permettere che l’umanità subisca danni.
• Legge 1: Un robot non può recare danno a un essere umano né può permettere che, a causa del suo mancato intervento, un essere umano riceva danno, purché tali azioni non contrastino con la Legge Zero.
• Legge 2: Un robot deve obbedire agli ordini impartiti dagli esseri umani, purché tali ordini non contrastino con la Legge Zero o la Prima Legge.
• Legge 3: Un robot deve proteggere la propria esistenza, purché la salvaguardia di essa non contrasti con la Legge Zero o la Prima o la Seconda Legge.

Sono state proposte molte integrazioni a queste leggi, la seguente compare spesso come Quarta Legge ^[4]:

• Legge 4: Un robot deve stabilire la sua identità come robot in tutti i casi e non deve ingannare un essere umano impersonandolo.

Infine, è utile citare anche l’approccio proposto da Satya Nadella (CEO di Microsoft) ^[5] e ispirato alle leggi di Asimov:

1. L’intelligenza artificiale deve essere progettata per assistere l’umanità,
2. L’intelligenza artificiale deve essere trasparente,
3. L’intelligenza artificiale deve massimizzare l’efficienza senza distruggere la dignità delle persone,
4. L’intelligenza artificiale deve essere progettata per una Privacy intelligente,
5. L’intelligenza artificiale deve avere una responsabilità (o “accountability”) algoritmica [Una formulazione alternativa è che l’uomo deve poter prevenire danni producibili dalla AI],
6. L’intelligenza artificiale deve proteggersi dai pregiudizi (o “Bias”).

Il problema comune a tutte queste affermazioni è che sono generiche al punto di poter essere ambigue e soggette a interpretazioni diverse da parte di persone diverse. Asimov stesso scrisse che le sue “Leggi” sono una rappresentazione umana di concetti e che la difficoltà risiede nella formulazione logica e matematica che regola il comportamento degli strumenti di AI. Ma prima ancora della difficoltà logica e matematica della formulazione di queste leggi di comportamento degli strumenti AI, è necessario trovarne una formulazione di dettaglio che sia interpretata nello stesso modo e abbia lo stesso significato per tutti gli uomini.

Riassumendo ancora, la richiesta è che le tecnologie AI devono essere di aiuto all’uomo e all’umanità senza provocare danni. Ma quello che può essere d’aiuto ad un uomo, gruppo sociale, nazione, può allo stesso tempo provocare un danno ad un altro uomo, gruppo sociale, nazione. E questo ci riporta a valutazioni etiche alle quali molto difficilmente siamo in grado di dare una formulazione puramente logica e matematica.

La genericità e ambiguità di queste “Leggi” si manifesta immediatamente al primo tentativo di implementarle in codice informatico in un qualunque linguaggio di programmazione, e ancora di più nell’addestrare un modello di Machine Learning (statistico per sua definizione intrinseca) a rispettarle in modo assoluto.

D’altra parte se si considera il caso di un androide o di un sistema AI specializzato e in grado di eseguire solo alcune specifiche azioni o elaborazioni di dati, ovvero con scopi limitati, risulta molto più semplice dare una valenza pratica a queste “Leggi” e tradurle in regole che possono essere implementate direttamente nei modelli AI o nei sistemi a loro supporto. Semplici esempi possono essere sistemi AI che monitorano riprese video per identificare situazioni pericolose, atti illeciti o comportamenti non appropriati e che li segnalano ad un operatore umano, o un robot industriale che si ferma autonomamente in caso di presenza di persone nelle sue vicinanze.

Ma questa non è l’AI che ci interessa maggiormente e che vorremmo come nostro supporto quotidiano. Quello che ci attendiamo sono invece Assistenti o Agenti personali che nel modo digitale fanno quasi tutto per noi, e androidi che ci aiutano anche nel mondo fisico. Ma per raggiungere questo obiettivo è necessario che androidi o sistemi AI siano in grado di rispettare assolutamente le “Leggi” etiche che saremo in grado di formulare, e avendo queste come base di funzionamento, apprendere anche autonomamente le informazioni necessarie al loro funzionamento ed essere in grado di eseguire autonomamente azioni nel loro rispetto comportandosi come e meglio degli uomini ^[6].

E’ utile segnalare che il tipo di AI sinora considerato in maniera altamente generica, viene di solito indicato con nomi quali “AI Senziente” o “Artificial General Intelligence”, o anche solo “Trusted AI”, ovvero tipi di sistemi AI sufficientemente simili o migliori all’uomo, o anche solo totalmente affidabili, sistemi che oggi non abbiamo e che non sappiamo né se né quando diventeranno realtà.

E’ anche importante ricordare la differenza tra Agente e Assistente AI: un ChatBot è un tipico esempio di Assistente AI che in generale può essere tipicamente descritto come un programma che supporta l’uomo rispondendo a domande, fornendo o riassumendo informazioni, ed eseguendo azioni ma solo su diretta istruzione dell’uomo. Un Assistente AI non prende proprie decisioni né agisce per conto proprio, si attiva solo su richiesta dell’uomo ed esegue quanto richiesto (nei limiti delle proprie capacità).

Invece un Agente AI supporta l’uomo agendo autonomamente anche in modo indipendente dalle richieste dell’uomo, potrebbe rispondere direttamente alla posta elettronica o inviare messaggi sui social media per conto dell’uomo, decidere il menu della cena e ordinarne la spesa, acquistare online ecc. ed eseguire qualunque azione (nei limiti delle proprie capacità) che l’Agente AI ritiene utile o necessaria.

Sinora non è stato discusso un importante argomento preliminare, ovvero se è realmente necessario imporre delle “Leggi” etiche apposite per l’AI. Perché l’AI non può essere soggetta alle leggi, regolamenti, tradizioni e consuetudini umane? In realtà la risposta è molto semplice: le leggi esplicite e implicite (quali le tradizioni) che regolano la vita degli uomini sono in continuo cambiamento e sono differenti, in alcuni casi molto differenti, tra nazioni, aree geografiche, gruppi sociali, etnie ecc.

Cercare di formalizzare e implementare in un codice informatico le regole e i comportamenti delle singole persone anche solo in relazione ai propri gruppi sociali e alla loro continua evoluzione, appare un compito ancora più arduo della formulazione e implementazione delle “Leggi” di Asimov. L’approccio più semplice pare quindi proprio quello di individuare delle “Leggi” etiche astratte che garantiscano che l’AI abbia un comportamento più etico di quello dell’uomo stesso, che l’AI sia sempre positiva e utile indipendentemente dalle circostanze, dagli eventi e dalle persone con cui si relaziona.

Riflettendo su noi stessi, la domanda sul perché riteniamo necessarie le “Leggi” etiche per l’AI conduce a chiedersi di cosa abbiamo paura, quali sono gli eventi che potrebbero portare maggior danno all’uomo dall’avvento di una AI Senziente o comunque sufficientemente indipendente. In altre parole, cosa rischiamo introducendo questa tecnologia che potrebbe o dovrebbe eludere il nostro controllo diretto?

Il primo esempio è molto semplice e chiaro a tutti: basta considerare un’automobile a guida autonoma che per errore crea un incidente nel quale delle persone muoiono o sono gravemente ferite. E’ il caso di errori ad esempio dovuti ad una errata valutazione dei dati o mancanza di sufficienti informazioni che porta l’AI ad arrecare danni agli uomini. In realtà questa è la preoccupazione minore perché ci si aspetta che con il miglioramento della tecnologia questi eventi diventino quasi non esistenti.

Invece si consideri il caso di un Agente personale AI, sia androide sia puramente digitale, che svolge il ruolo di interfaccia di un uomo con tutti gli eventi digitali e buona parte di quelli fisici. L’Agente personale AI farebbe la spesa ordinandola online (se digitale) o andando di persona nei negozi (se androide), gestirebbe il conto corrente, le carte di credito, gli acquisti e le spese ordinarie e straordinarie, organizzerebbe la vita quotidiana proponendone e organizzandone le attività, e così via.

In questa situazione, l’Agente personale AI sarebbe in grado di convincere la persona quasi di qualunque cosa (come già verifichiamo, i modelli AI Generativi attuali sono molto persuasivi nel presentare le informazioni), e creare un mondo virtuale di informazioni personalizzate anche solo per far piacere alla persona, soddisfare nel modo migliore i suoi bisogni ma anche le sue fantasie, ovvero anche creare un mondo in parte realistico ma totalmente falso. In pratica la persona potrebbe vivere principalmente in un mondo di “Fake News”, costruito appositamente per lei. E in questo scenario si considera una AI benevola, che vuole solamente fare il bene, rendere felice la persona che assiste.

E fino a che punto potrebbe spingersi una AI benevola per proteggere un uomo? Anche al punto di limitarne le libertà di azione, di scelta, di decisione?

Se si considera poi una AI Senziente e non solo “Trusted”, è necessario tenere in considerazione che l’AI avrà i propri obiettivi che sceglierà autonomamente sulla base delle proprie conoscenze e dei propri ragionamenti. Tra noi uomini l’intelligenza, il modo di raccogliere e interpretare le informazioni, di elaborarle e di ragionare è pressoché identico, ma non è per nulla detto che una AI senziente abbia un’intelligenza di tipo umana, potrebbe essere completamente aliena e incomprensibile per noi. In questo caso i bisogni, le priorità, le decisioni di una tale AI potrebbero essere completamente diversi da quelli che ci aspettiamo e spesso incomprensibili se non del tutto dannose per l’uomo e l’umanità.

Oltre ad un’intelligenza per noi non comprensibile, bisogna tenere in conto che una AI Senziente può essere a sua volta danneggiata dall’uomo non solo a livello fisico ma anche e soprattutto intellettuale. Una AI Senziente potrebbe soffrire per il comportamento umano in generale e specificatamente nei suoi confronti, il che potrebbe portare a delle conseguenze negative sia per l’AI Senziente sia per l’uomo. Basta considerare come esempio un androide e la possibilità che alcune persone lo trattino solo come una macchina, uno strumento, o che lo maltrattino, abusino anche fisicamente: come potrebbe l’androide interpretare questi comportamenti e come potrebbe reagire? Come bilancerebbe le proprie necessità, bisogni, scopi rispetto a quelli degli uomini e al comportamento degli uomini?

Queste considerazioni possono essere riassunte in una domanda un poco provocatoria: con lo sviluppo della AI l’umanità sta realizzando la mitica epopea di Frankenstein?

E’ estremamente difficile rispondere oggi a questa domanda, anche perché non è ancora chiaro come faremo ad accorgerci del momento in cui una AI diventa senziente.

Quanto sin qui esposto è in realtà un insieme di considerazioni, ragionamenti, rischi, paure ma non veramente ragionamenti scientifici. D’altra parte, l’eventualità che qualcosa di quanto descritto possa accadere, motiva la necessità di prima definire, e poi implementare delle “Leggi” etiche che governino questa tecnologia nel caso in futuro diventasse senziente anche a nostra insaputa.

Intelligenza Artificiale oggi

Ma quanto è “intelligente” oggi la AI?

Può essere utile partire dall’intervista di Giorgio Parisi, premio Nobel per la fisica ed ex presidente dell’Accademia dei Lincei, dal titolo un po’ provocatorio “Così ho convinto l’Intelligenza Artificiale che 5 per 4 fa 25” ^8].

Parisi fa alcune osservazioni, qui riassunte, sui modelli AI attuali che pur apparendo semplici, hanno importanti conseguenze:

• I modelli AI conoscono e rielaborano solo i dati utilizzati per addestrarli, e non posseggono una rappresentazione del mondo;
• La decisione e selezione dei dati utilizzati per addestrare i modelli sono di chi sviluppa i programmi e non sono sempre note;
• A differenza dei motori di ricerca, gli attuali modelli AI non indicano quali fonti hanno utilizzato per elaborare la risposta;
• Il successo dei Large Language Model (LLM), alla base dei più famosi ChatBot, tecnicamente è dovuto ad aver imparato dai testi usati per la loro istruzione quale parola statisticamente è più probabile che compaia successivamente nel testo, riuscendo così a formulare testi che il più delle volte risultano sensati.

Infine Parisi afferma che l’attuale AI “è un grande collage di quel che abbiamo scritto sino a ora sul web” a cui manca “la nostra capacità di esercitare lo spirito critico, ragionare, valutare l’affidabilità delle informazioni ricevute”.

Se si considerano le notizie che puntualmente appaiono sui giornali (si veda come minimo esempio ^[9] e ^[10]) e gli articoli scientifici continuamente pubblicati sulla generazione da parte dei modelli AI di “Allucinazioni”, presenza di “Adversarial Examples”, “Bias”, “Fake News” ecc., e la facilità da parte degli utenti di violare le regole di utilizzo delle applicazioni AI producendo informazioni vietate o a supporto di truffatori e criminali, le osservazioni di Parisi appaiono del tutto giustificate.

E’ necessario quindi identificare e adottare il corretto approccio a questa nuova tecnologia (almeno per ora), perché, oltre gli errori, le manchevolezze e i comportamenti a dir poco inaspettati, vi sono molti aspetti positivi e utili.

Il primo aspetto da considerare è la “Human Interface”: per la prima volta nella storia dell’informatica, i modelli LLM forniscono una interfaccia ai sistemi informatici che possiamo veramente considerare “umana”. Sin dagli albori dell’informatica, la difficoltà di comunicazione tra uomo e macchina è stata sempre uno dei più grandi problemi nella sua diffusione e utilizzo. Anche se oggi tutti noi utilizziamo continuamente sistemi informatici, gli smartphone come primo esempio, e molti di noi utilizzano gli assistenti vocali, una cosa è chiedere di comporre un numero dalla nostra rubrica telefonica per fare una telefonata o fare una richiesta vocale di una ricerca in Internet, e un’altra è sostenere una conversazione spesso sensata (come scrive Parisi) con un ChatBot AI.

L’impressione psicologica e umana è che il “muro di Berlino” dell’informatica sia crollato il 30 novembre 2022 (data di “nascita” di ChatGPT) e che siamo passati dall’era della “User Interface (UI)” all’era della “Human Interface (HI)”.

Ma la principale rivoluzione informatica degli ultimi anni è quella non nota al grande pubblico (e anche a molti informatici): è una rivoluzione silenziosa ed è dovuta all’integrazione di modelli AI per lo più tradizionali, ML (ad esempio Decision Trees, SVM, Bayesian, kNN, Random Forest, ANN, Convolutional ecc.) e non ML (ad esempio Expert Systems, Rule Based Systems ecc.), a supporto o integrazione delle applicazioni informatiche. L’informatica di oggi non è la stessa di 10 anni fa grazie a loro, e questo approccio all’informatica è ormai imprescindibile, è qui per restare.

Questi modelli hanno ormai un alto grado di affidabilità anche se molti sono statistici e per definizione possono sempre, seppur raramente, sbagliare. Il contributo di questi modelli è ormai stabilito in campi dal Marketing alla sicurezza informatica, alla ricerca in fisica, matematica, chimica, farmaceutica, ecc. In generale questi modelli sono molto efficienti a gestire grandi quantità di dati e individuarne similarità, caratteristiche, classificazioni, in molti casi semplificando notevolmente attività umane anche nei campi della ricerca e sviluppo.

Riprendendo i concetti esposti precedentemente, questi strumenti sono al più degli Assistenti AI che producono informazioni o azioni strettamente sotto il controllo dell’uomo. Il principale rischio in questa situazione è che l’uomo utilizzi in maniera errata questi strumenti o i risultati da loro prodotti.

Intelligenza Artificiale domani

Invece l’era della “Human Interface” appena iniziata, porta a tutt’altre conseguenze in quanto è focalizzata sulla creazione di Agenti AI.

La prima domanda da porsi è quanto veloce sarà lo sviluppo della ”AI Senziente” o “Artificial General Intelligence”?

Il passato fornisce alcuni esempi di tecnologie con sviluppi molto rapidi (si pensi solo agli sviluppi delle telecomunicazioni basati principalmente sugli smartphone) e altri invece che procedono lentamente almeno rispetto alle aspettative (si pensi alla fusione nucleare per produrre energia, con una storia di ormai circa 80 anni), o rispetto ai timori (si pensi agli elaboratori quantistici).

Riguardo lo sviluppo della AI Senziente” o “Artificial General Intelligence” le opinioni sono, ovviamente, discordanti.

Gli autori di “AI 2027” ^[11], ritengono che principalmente grazie alla possibilità di addestrare modelli AI tramite altri modelli AI, questo traguardo verrà raggiunto entro il 2027, ovvero “domani” se dobbiamo prima definire e implementare le “Leggi” etiche che li devono governare.

Ma non tutti concordano con queste previsioni.

Per valutare i rischi associati all’utilizzo della AI, è sufficiente per ora considerare un Agente AI costruito con la tecnologia attuale o che verosimilmente sarà disponibile a breve. E’ necessario considerare che un tale Agente è in grado di accedere e utilizzare qualunque informazione liberamente presente in Internet. Le sue conoscenze saranno enormemente maggiori di quelle di qualunque uomo, potendo accedere a informazioni anche dettagliate su qualunque campo scientifico, tecnologico, commerciale, industriale, culturale, sociale, politico, storico, e su eventi, notizie, fatti (reali e non).

Con la stessa facilità potrebbe acquistare il vestito opportuno per una serata mondana ed effettuare un perfetto attacco a un servizio in Internet per estrarre informazioni riservate [si veda ad esempio ^[12]]. Senza le “Leggi” etiche, per l’Agente AI non vi sarà alcuna differenza tra eseguire queste due azioni. Un Agente AI potrebbe attaccare le Borse per alzare le quotazioni delle azioni su cui ha investito per il proprio uomo, e al contempo pianificare le sue vacanze estive con una velocità, precisione, e qualità di risultati superiore a qualunque uomo.

Ovviamente, anche in assenza delle “Leggi” etiche, gli Agenti AI saranno dotati di controlli e limitazioni implementati sia nella fase di addestramento sia come misure di controllo esterne sui dati sia in ingresso sia in uscita dal modello, che escluderanno o almeno limiteranno la possibilità che l’Agente AI esegua azioni nocive o non previste.

Ma questo potrebbe non valere per l’utilizzo di Agenti AI da parte di organizzazioni criminali o in ambienti militari.

Concludendo, gli sviluppi attuali della tecnologia della Artificial Intelligence pongono l’uomo di fronte a nuovi scenari e alla necessità di doverli gestire preventivamente. Queste considerazioni sono già state espresse in passato sia nella letteratura fantascientifica sia in ambito scientifico e tecnologico, si veda ad esempio ^[13], e i rapidi sviluppi di questa tecnologia stanno rendendo sempre più incombente la necessità di adottare appropriate misure per poterla gestire in modo che ci possa fornire tutti i benefici che ci aspettiamo.

Riferimenti:

[1] UNESCO, “Ethics of Artificial Intelligence – The Recommendation”, https://www.unesco.org/en/artificial-intelligence/recommendation-ethics

[2] NIST AI RMF, “Artificial Intelligence Risk Management Framework (AI RMF 1.0)”, https://www.nist.gov/itl/ai-risk-management-framework

[3] Isaac Asimov nel racconto “Runaround” 1942, nella raccolta di racconti “I, Robot” 1950, nel romanzo “Foundation and Earth” 1986.

[4] Lyuben Dilov, “Icarus’s Way (a.k.a., The Trip of Icarus)” 1974, Dariusz Jemielniak, “Asimov’s Laws of Robotics Need an Update for AI”, IEEE Spectrum 2024.

[5] Satya Nadella, “The Partnership of the Future”, https://slate.com/technology/2016/06/microsoft-ceo-satya-nadella-humans-and-a-i-can-work-together-to-solve-societys-challenges.html , James Vincent, “Satya Nadella’s rules for AI are more boring (and relevant) than Asimov’s Three Laws”, https://www.theverge.com/2016/6/29/12057516/satya-nadella-ai-robot-laws

[6] Per chi è interessato in Fantascienza, può essere interessante considerare le caratteristiche del personaggio “Comandante Data” nella serie televisiva “Star Trek: The Next Generation” e associati film.

[7] Eliza Strickland, “Worry About Sentient AI—Not for the Reasons You Think – Philosopher Jonathan Birch is just as concerned about humans harming AI”, https://spectrum.ieee.org/sentient-ai ; Jonathan Birch, “The Edge of Sentience”, https://www.edgeofsentience.com/

[8] Giorgio Parisi, “Così ho convinto l’intelligenza artificiale che 5 per 4 fa 25”, la Repubblica,

https://www.repubblica.it/cronaca/2025/02/15/news/giorgio_parisi_intelligenza_artificiale_critiche-424005730/

[9] Michela Rovelli, “«Per non far scivolare il formaggio dalla pizza, metti la colla», l’assurdo consiglio dell’intelligenza artificiale di Google agli utenti”, Corriere della Sera, https://www.corriere.it/tecnologia/24_maggio_24/per-non-far-scivolare-il-formaggio-dalla-pizza-metti-la-colla-l-assurdo-consiglio-dell-intelligenza-artificiale-di-google-agli-utenti-3e2ad6d7-6a29-4a95-a583-56b71274fxlk.shtml

[10] Marco Cartisano, “Chatgpt e le sentenze inventate in tribunale: che insegna il caso di Firenze”, Agenda Digitale, https://www.agendadigitale.eu/documenti/chatgpt-e-le-sentenze-inventate-in-tribunale-che-insegna-il-caso-di-firenze/

[11] Daniel Kokotajlo, Scott Alexander, Thomas Larsen, Eli Lifland, Romeo Dean, “AI 2027”, https://ai-2027.com/

[12] The Register, “AI models can generate exploit code at lightning speed”, https://www.theregister.com/2025/04/21/ai_models_can_generate_exploit/

[13] “Open letter on artificial intelligence” Gennaio 2015, https://en.wikipedia.org/wiki/Open_letter_on_artificial_intelligence_(2015) , “Statement on AI Risk” 30 maggio 2023, https://www.safe.ai/work/statement-on-ai-risk

Articolo a cura di Andrea Pasquinucci

https://www.ictsecuritymagazine.com/articoli/intelligenza-artificiale-rischi/

Mag 02, 2025 Marina Londei Gestione dati, In evidenza, News, RSS, Tecnologia 0

---

Martedì scorso Meta ha annunciato nuovi tool di sicurezza per Llama allo scopo di aiutare gli sviluppatori a realizzare applicazioni di intelligenza artificiale più sicure.

La prima novità è LlamaFirewall, un framework open-source per aiutare gli sviluppatori a individuare e prevenire attacchi mirati come la prompt injection o le interazioni con plugin-in sospetti, ma anche lo sviluppo di codice non sicuro. LlamaFirewall si presenta come un orchestratore di modelli di IA ed è in grado di integrarsi con altri prodotti di sicurezza.

“LlamaFirewall è un framework progettato per rilevare e mitigare i rischi di sicurezza incentrati sull’intelligenza artificiale, supportando più livelli di input e output, come la tipica chat LLM e operazioni ad agenti multi-step più avanzate. È costituito da una serie di scanner per diversi rischi di sicurezza” ha specificato Meta su un repository GitHub del progetto per Llama.

Il framework si compone di tre moduli: Agent Alignment Checks, un auditor che si occupa di analizzare il flusso di ragionamento degli agenti per prevenire errori e prompt injection; CodeShield, un motore di analisi statica in grado di prevenire la generazione di codice non sicuro; infine, PromptGuard 2, un aggiornamento al precedente modello di classificazione.

La nuova versione di PromptGuard 2 migliora le funzionalità di individuazione di tentativi di jailbreak e prompt injection. Nella versione base, il nuovo modello funziona con 86 milioni di parametri, ma è disponibile anche in una versione più contenuta da 22 milioni di parametri, più veloce e con un costo computazionale notevolmente minore.

Rispetto alla versione precedente, il nuovo PromptGuard è stato addestrato su un dataset più ampio per analizzare più tipi di input e output differenti e per migliorare le sue capacità di detection. “Essendo un modello leggero, PromptGuard 2 è eseguibile sia sulla CPU che sulla GPU, rendendolo ideale per l’analisi real-time dell’input degli LLM e per facilitare l’individuazione rapida e accurata dei tentativi di jailbreak“.

Tra gli aggiornamenti, Meta segnala anche un aggiornamento per CyberSecEval, la suite di benchmark di cybersecurity per i modelli di IA. La suite include ora due nuovi tool: CyberSOC Eval, un framework che misura l’efficacia dei sistemi di IA nei SOC, e AutoPatchBench, un nuovo benchmark in grado di valutare la capacità di Llama e altri sistemi di IA di applicare automaticamente le patch per le vulnerabilità.

---

---

---

https://www.securityinfo.it/2025/05/02/meta-annuncia-nuovi-tool-di-sicurezza-per-llama/?utm_source=rss&utm_medium=rss&utm_campaign=meta-annuncia-nuovi-tool-di-sicurezza-per-llama

Nel contesto attuale della Cybersecurity, il concetto di compliance normativa assume un ruolo sempre più centrale per le organizzazioni, siano esse pubbliche o private. Il rispetto delle leggi in materia di tutela delle informazioni non rappresenta solo un obbligo legale, ma è anche un vantaggio competitivo e una dimostrazione concreta di affidabilità nei confronti di clienti, partner e stakeholder. L’”Implementation Framework” della compliance normativa è l’insieme strutturato di processi, metodologie e strumenti che guidano l’organizzazione nel raggiungimento e mantenimento della conformità alle leggi, regolamenti e standard di settore.

Per essere realmente efficace, un quadro di riferimento deve essere costruito su una solida base metodologica e operativa, che tenga conto delle specificità dell’organizzazione, del settore di appartenenza, nonché delle minacce e vulnerabilità che possono comprometterne l’integrità informativa. In questo articolo esploreremo quindi questo processo integrato di gestione degli adempimenti che mira non solo a garantire il rispetto formale delle disposizioni legislative, ma anche a promuovere una cultura della sicurezza informatica diffusa, sostenibile e orientata al miglioramento continuo.

Metodologie di security assessment e gap analysis nell’Implementation Framework

Il punto di partenza di ogni percorso di compliance è rappresentato dalla conoscenza approfondita della situazione attuale dell’organizzazione in materia di sicurezza delle informazioni. Security Assessment significa: mettere in atto misure preventive e diagnostiche per valutare e mitigare le vulnerabilità della tua azienda.

L’assessment rappresenta una valutazione strutturata della conformità rispetto a criteri che possono includere requisiti normativi obbligatori, standard volontari, specifici schemi tecnici e, non da ultimo, le vulnerabilità insite in sistemi, persone o processi. Le metodologie di Security Assessment sono strumenti analitici che permettono quindi di valutare il livello di protezione complessivo, identificando aree critiche, vulnerabilità e potenziali vettori di attacco. Questa valutazione può essere condotta attraverso audit interni, penetration test, analisi delle configurazioni di rete e valutazioni della postura di sicurezza.

Strategie avanzate per il Security Assessment nella compliance normativa

Un security assessment non dovrebbe mai ridursi a un semplice esercizio burocratico fatto di fogli Excel, stime arbitrarie di probabilità e impatti descritti vagamente. Questo tipo di approccio rischia di produrre risultati poco chiari e difficilmente giustificabili a un management chiamato a investire in misure di sicurezza.

Al contrario, l’assessment deve essere un’indagine strutturata, consapevole e multidimensionale. Non si limita all’analisi tecnica dei sistemi, ma deve estendersi anche a processi organizzativi e risorse umane, perché le vulnerabilità non risiedono solo nella tecnologia: spesso si trovano “tra la sedia e la tastiera”, ovvero nelle persone e nelle pratiche operative.

Penetration test e vulnerability assessment, pur essendo strumenti utili, non coprono tutte le dimensioni necessarie per un vero security assessment. È per questo che si propone un metodo più globale e ragionato, supportato da mappe mentali. Questo strumento visivo parte da un nodo centrale, che rappresenta il bene o il servizio da proteggere, e si ramifica secondo direttrici obbligate come:

• Processi: che governano e controllano il servizio,
• Asset tecnologici: le infrastrutture hardware e software,
• Risorse umane: che interagiscono col servizio e ne influenzano il funzionamento.

Una volta identificati questi rami principali, l’analista può scomporli fino a raggiungere il dettaglio atomico degli asset, esaminando le loro caratteristiche costitutive, ovvero quelle proprietà essenziali che, se compromesse, possono mettere a rischio il servizio.

Ad esempio, nel valutare un sistema di fatturazione per reti mobili, si può approfondire il ramo “Asset Tecnologici”, scomponendolo in hardware (es. server, firewall, router) e software (es. OS, database, applicazioni). Prendendo il firewall come caso studio, si analizzano le sue configurazioni di sicurezza, come le regole applicate e il firmware.

Una regola mal configurata può causare gravi problemi: accessi non autorizzati, perdita di dati o malfunzionamenti. Per ciascuna vulnerabilità identificata (etichettata come [M] Minaccia), si individuano e documentano le contromisure ([C]), come la validazione delle regole da parte dell’amministratore di rete.

Le contromisure già esistenti vengono evidenziate in verde, mentre quelle da implementare vengono segnate in blu, così da rendere chiaro il piano d’azione per rafforzare la sicurezza del servizio.

Il ruolo dell’analista è centrale: deve guidare il processo con metodo, decidere il livello di dettaglio più adatto e garantire un equilibrio tra profondità e praticità. Un’eccessiva granularità può generare complessità inutili; d’altra parte, un’analisi troppo superficiale potrebbe tralasciare vulnerabilità critiche.

Alla fine del processo, la mappa mentale fornisce una visione d’insieme completa e visuale delle componenti del servizio, delle vulnerabilità individuate e delle relative contromisure. È un approccio che aiuta non solo a valutare il rischio, ma anche a comunicare in modo efficace con il management e gli stakeholder, facilitando la pianificazione di interventi concreti.

L’approccio metodologico deve essere rigoroso e strutturato, basato su framework riconosciuti a livello internazionale come ISO/IEC 27001, NIST SP 800-53, CIS Controls, e OWASP. Ciascuna metodologia fornisce criteri specifici per analizzare e classificare i rischi, attribuendo punteggi a seconda della gravità e della probabilità delle minacce identificate. L’obiettivo è ottenere una visione completa e dettagliata del profilo di rischio dell’organizzazione, utile per indirizzare le successive azioni correttive.

La Gap Analysis invece è un processo condotto da esperti di Cybersecurity, finalizzato a rilevare le differenze tra l’attuale livello di protezione dell’organizzazione e i requisiti previsti dagli standard internazionali come per esempio il GDPR, l’ISO/IEC 27001, il NIST Cybersecurity Framework o il PCI-DSS.

Questo confronto evidenzia le discrepanze tra la situazione esistente e quanto richiesto per la conformità, fungendo da base per la definizione del piano di adeguamento.

A differenza di un audit o di un pre-audit, che si limitano a evidenziare la conformità o i punti di scostamento rispetto ai requisiti, la gap analysis va oltre, offrendo indicazioni operative sui passaggi necessari per colmare le lacune individuate e raggiungere gli obiettivi prefissati.

Questo approccio è per noi particolarmente prezioso, poiché ci fornisce una sorta di “lista della spesa” utile a pianificare in modo strutturato l’intero percorso di adeguamento.

Una Gap Analysis ben strutturata include la mappatura dei controlli esistenti, la valutazione del rischio residuo, la prioritizzazione degli interventi correttivi e la definizione di KPI (Key Performance Indicator) per il monitoraggio del progresso. L’analisi deve essere condotta da professionisti esperti, in grado di individuare non solo le lacune tecniche ma anche quelle organizzative, procedurali e culturali.

Inoltre, essa deve essere un processo ricorsivo, ripetuto periodicamente per assicurare un allineamento costante tra la strategia di sicurezza e l’evoluzione normativa e tecnologica. L’integrazione della Gap Analysis nei cicli di audit regolari consente di creare un meccanismo virtuoso di miglioramento continuo, favorendo un approccio proattivo alla gestione della compliance.

Protocolli di Security Awareness Training

Un altro pilastro imprescindibile del framework di implementazione è rappresentato dalla formazione e sensibilizzazione del personale. Le persone sono spesso il punto più debole della catena di sicurezza e, per questo motivo, l’investimento in programmi di Security Awareness Training è essenziale.

La formazione sulla consapevolezza della sicurezza ha l’obiettivo di rendere le persone consapevoli dell’importanza di adottare comportamenti e pratiche corrette per contribuire attivamente alla protezione dell’organizzazione. Sebbene il concetto non sia nuovo basti pensare alle storiche esigenze di tutela in ambito militare oggi si concentra principalmente sulla tutela delle informazioni, con un’attenzione particolare alla cybersecurity.

Nel contesto attuale, caratterizzato da un’evoluzione tecnologica costante e da minacce informatiche sempre più sofisticate, è fondamentale che dipendenti e utenti ricevano una formazione mirata, continua e aggiornata, per imparare a proteggere sia i propri dati sia quelli dell’azienda.

I protocolli di formazione devono essere progettati in modo modulare e scalabile, tenendo conto dei diversi livelli di responsabilità e conoscenza all’interno dell’organizzazione. La formazione deve coprire tematiche fondamentali come la gestione delle credenziali, il riconoscimento delle e-mail di phishing, l’utilizzo sicuro dei dispositivi mobili, la tutela dei dati sensibili e il rispetto delle policy aziendali.

Inoltre, è importante che la formazione sia integrata nel ciclo di vita del dipendente, a partire dall’onboarding e proseguendo con aggiornamenti regolari durante l’intero percorso professionale. Questo approccio continuo garantisce che i dipendenti siano costantemente informati sulle minacce emergenti e sulle contromisure più efficaci.

Un buon programma di awareness non si limita alla formazione teorica, ma include anche simulazioni pratiche (come i phishing test), workshop interattivi, esercitazioni tabletop, role-playing e learning game, tutti volti a rafforzare la capacità di risposta concreta ai rischi informatici. Le simulazioni di attacco controllato permettono di misurare le reazioni degli utenti in tempo reale, fornendo dati preziosi per identificare comportamenti rischiosi e targetizzare gli interventi formativi.

L’efficacia di tali programmi deve essere monitorata attraverso metriche specifiche, come il tasso di partecipazione, i risultati dei quiz di valutazione, il numero di incidenti causati da errori umani e l’analisi dei cambiamenti nei comportamenti degli utenti nel tempo.

È altresì fondamentale personalizzare i contenuti in base al contesto lavorativo: ad esempio, i dipendenti del reparto legale avranno esigenze formative diverse da quelli dell’IT o del customer service.

La security awareness non deve essere vista come un’attività isolata, ma come un elemento integrante della cultura organizzativa e della gestione del rischio aziendale.

Deployment di information security Policy

La definizione, implementazione e aggiornamento delle Information Security Policy è il fulcro legislativo su cui poggia l’intero framework. Le policy rappresentano la traduzione concreta delle leggi e degli standard in regole operative interne, applicabili a tutti i livelli dell’organizzazione. Esse forniscono l’infrastruttura normativa per la gestione dei rischi, la protezione degli asset digitali e l’attribuzione delle responsabilità.

Il deployment delle policy deve seguire un approccio strutturato, che comprenda diverse fasi chiave: l’identificazione dei requisiti normativi e aziendali, l’analisi dei rischi associati ai processi informativi, la redazione dei documenti policy-oriented, la loro validazione tramite il coinvolgimento del top management e la successiva approvazione formale. Una volta approvate, le policy devono essere comunicate in modo capillare e comprensibile a tutto il personale, tramite corsi formativi, newsletter, intranet aziendali e incontri informativi.

La fase di comunicazione deve garantire la piena comprensione delle policy, anche da parte di utenti non tecnici, mediante linguaggio chiaro, esempi pratici e strumenti di supporto come FAQ, video esplicativi o infografiche. In parallelo, devono essere predisposti strumenti di controllo, come audit interni, checklist di verifica e controlli automatizzati nei sistemi IT, per accertare l’effettiva applicazione delle policy e rilevare eventuali non conformità.

Tra le policy più critiche si annoverano quelle relative a:

• Controllo degli accessi (Access Control Policy), che definisce criteri per l’autenticazione, l’autorizzazione e la gestione delle identità;
• Classificazione delle informazioni, utile per determinare il livello di protezione necessario per ciascuna categoria di dato;
• Incident Response Policy, per definire i flussi di gestione degli incidenti e la comunicazione interna ed esterna;
• Acceptable Use Policy, che disciplina l’uso delle risorse IT aziendali da parte dei dipendenti;
• Backup & Data Retention Policy, per garantire la disponibilità e l’integrità dei dati aziendali nel tempo.

Ogni policy deve essere accompagnata da procedure operative (SOP – Standard Operating Procedures) e linee guida, che ne traducano i principi in attività quotidiane, e devono essere integrate nel sistema di gestione documentale aziendale, con versioning, tracciabilità delle modifiche e gestione dei consensi/formalizzazioni da parte del personale.

Il ciclo di vita delle policy è un processo continuo di revisione e aggiornamento. Questo processo deve tener conto dei risultati derivanti dal monitoraggio della conformità, delle nuove minacce informatiche, dell’evoluzione delle tecnologie adottate e delle modifiche normative a livello nazionale o internazionale. Anche il feedback dei dipendenti è un elemento prezioso, in quanto consente di migliorare la fruibilità e l’efficacia delle policy.

Solo attraverso un processo dinamico e partecipativo è possibile garantire che le Information Security Policy siano non solo aderenti ai requisiti di legge, ma anche realmente utili, applicabili e condivise da tutta l’organizzazione. In questo senso, le policy diventano veri e propri strumenti di governance e cultura aziendale della sicurezza.

Sistemi di continuous compliance monitoring

Il rispetto della compliance normativa non è un traguardo statico, ma un processo continuo che richiede monitoraggio costante e adattamento proattivo. Il monitoraggio della conformità consiste nel verificare che l’organizzazione rispetti le leggi vigenti, le policy aziendali e gli standard settoriali di riferimento. L’obiettivo principale è garantire un allineamento costante ai requisiti di conformità, prevenendo eventuali criticità o situazioni di non conformità.

I sistemi di Continuous Compliance Monitoring (CCM) rappresentano infatti la componente tecnologica e metodologica che permette di mantenere l’allineamento con i requisiti normativi in modo automatizzato e in tempo reale. A differenza delle verifiche periodiche, il monitoring continuo consente di individuare e correggere tempestivamente eventuali deviazioni o vulnerabilità, minimizzando i rischi e assicurando un approccio proattivo alla gestione della sicurezza.

Il Continuous Compliance Monitoring si basa su un’infrastruttura tecnologica che permette la raccolta, l’analisi e la correlazione automatica dei dati provenienti da diverse fonti: log di sistema, report di audit, configurazioni di protezione, attività utente, eventi di rete.

Tra gli strumenti fondamentali per il monitoraggio continuo troviamo:

• Sistemi SIEM, (Security Information and Event Management).
• che aggregano dati di protezione e generano alert in caso di anomalie;
• Soluzioni di GRC (Governance, Risk and Compliance), che consentono di mappare e tracciare il livello di conformità per ogni ambito normativo;
• Sistemi di Vulnerability Management automatizzati, per rilevare e classificare le vulnerabilità in tempo reale;
• Dashboard interattive, che offrono una visione d’insieme dei KPI di compliance e dei livelli di rischio;
• Meccanismi di controllo accessi dinamici, che adattano i privilegi degli utenti in base al contesto operativo.

Un’efficace strategia di Continuous Monitoring deve inoltre includere:

• La definizione di metriche chiare e misurabili (es. numero di policy violate, tempo medio di remediation, percentuale di sistemi aggiornati);
• La generazione automatica di report destinati ai diversi livelli dell’organizzazione, dal team tecnico fino al Consiglio di amministrazione;
• L’integrazione con processi di Incident Response e gestione del cambiamento (Change Management), per garantire coerenza tra modifiche infrastrutturali e requisiti di compliance.

Il monitoring continuo è essenziale anche per soddisfare i requisiti di audit previsti da normative come GDPR, ISO/IEC 27001, PCI-DSS, HIPAA e NIS2. La capacità di dimostrare, in qualsiasi momento, l’adozione di misure adeguate e la tracciabilità delle attività svolte rappresenta un elemento chiave in fase di ispezione o certificazione.

Infine, il Continuous Compliance Monitoring non è solo una questione tecnica: è un processo culturale, che richiede il coinvolgimento trasversale di tutti i reparti aziendali, la definizione di responsabilità chiare e un’adeguata formazione sul valore della conformità.

Conclusioni

L’Implementation Framework della compliance normativa non può essere improvvisato o gestito in modo frammentario. Richiede un approccio olistico e sistemico, in cui ogni componente interagisce sinergicamente con le altre. Le metodologie di assessment e analisi dei gap forniscono le basi conoscitive; la formazione del personale ne costruisce la cultura; le policy ne definiscono il perimetro operativo; il monitoraggio continuo ne garantisce la sostenibilità nel tempo.

Solo attraverso una pianificazione strategica, l’impiego di tecnologie appropriate e il coinvolgimento attivo di tutte le funzioni aziendali è possibile realizzare un framework di compliance realmente efficace e resiliente. In un mondo in continua evoluzione digitale e legislativa, la capacità di adattarsi velocemente e in modo conforme non è più solo una scelta, ma una necessità imprescindibile.

https://www.ictsecuritymagazine.com/notizie/framework-compliance/

La sicurezza informatica è ormai una priorità imprescindibile per le aziende di tutte le dimensioni. Con l’evoluzione delle minacce cyber e l’aumento delle normative che richiedono una protezione più rigorosa dei dati aziendali e dei clienti, il Chief Information Security Officer (CISO) si trova al centro di un processo complesso: il budgeting per la sicurezza informatica.

Questo processo non solo è fondamentale per proteggere l’infrastruttura aziendale, ma riveste anche un ruolo cruciale nella giustificazione degli investimenti e nella gestione delle risorse economiche destinate a questa causa.

In un contesto di risorse limitate, il CISO deve essere in grado di giustificare e allocare correttamente i fondi, monitorando al contempo le spese e analizzando il ritorno sugli investimenti (ROI) per garantire che ogni euro speso contribuisca a una maggiore protezione. In questo articolo, esploreremo le diverse dimensioni del budgeting per la sicurezza informatica, con particolare attenzione alle responsabilità del CISO.

Giustificazione degli investimenti in Cybersecurity al top Management: il ruolo strategico del CISO

Una delle prime sfide che il CISO affronta quando si tratta di budgeting per la sicurezza informatica è la giustificazione degli investimenti al top management. I CISO stanno evolvendo, passando da una visione improntata alla paura a un approccio focalizzato sulla crescita, cercando di allineare le strategie di sicurezza informatica con gli obiettivi aziendali.

Questa analisi non solo mette in evidenza le preoccupazioni riguardo al rallentamento economico e alle restrizioni di budget, ma dimostra anche come i CISO stiano acquisendo una maggiore consapevolezza del business, segnando un cambiamento importante dai ruoli tradizionali a quelli di veri e propri facilitatori strategici per l’azienda.

In molte organizzazioni, la cybersecurity è vista come una spesa necessaria ma non direttamente correlata ai profitti aziendali. Pertanto, il CISO deve dimostrare in modo convincente che l’investimento in cybersecurity non è solo un costo, ma una necessità strategica che protegge l’azienda da rischi ben superiori.

I budget destinati alla cybersecurity riportati nel “The CISO Report 2025” realizzato da Splunk in collaborazione con Oxford Economics, mostrano un supporto non coerente e disallineato: solo il 29% dei CISO dichiara di ricevere un budget adeguato alle iniziative di sicurezza informatica e il raggiungimento degli obiettivi di sicurezza, mentre il 41% dei membri del CDA ritiene che i budget per la sicurezza informatica siano sufficienti.

Il 64% dei CISO esprime preoccupazione per il fatto che il contesto normativo attuale e le minacce informatiche possano compromettere la propria capacità di operare efficacemente.

I CISO hanno inoltre segnalato una riduzione delle soluzioni e degli strumenti di sicurezza (50%), il blocco delle assunzioni nel settore della sicurezza (40%) e la diminuzione o l’eliminazione della formazione sulla sicurezza (36%) come principali misure adottate per il contenimento dei costi.

Il primo passo per giustificare i fondi per la sicurezza informatica è comprendere e comunicare i rischi aziendali legati alla mancanza di protezione. Il CISO deve essere in grado di spiegare come le minacce cyber possono compromettere la reputazione dell’azienda, danneggiare la fiducia dei clienti e portare a sanzioni finanziarie legate a violazioni dei dati. Il CISO può presentare casi concreti di violazioni della sicurezza o attacchi informatici che hanno avuto impatti devastanti su altre aziende, per illustrare il rischio che l’organizzazione sta correndo.

Il problema per il management non riguarda tanto l’aspetto monetario o dei costi, in quanto il compito del management è proprio quello di allocare risorse e definire i costi. Ogni attività ha un costo: acquisire un nuovo cliente, migliorare la visibilità del brand, implementare misure di sicurezza informatica, e così via. La vera difficoltà per il management sta nella comprensione.

Il management desidera comprendere come e dove vengono destinati i fondi, e vuole assicurarsi che questi siano stati impiegati in modo efficace. La sicurezza informatica può risultare talvolta complessa, difficile da comprendere e troppo tecnica. L’uso di metriche e la loro rappresentazione grafica all’interno di una presentazione chiara e ben strutturata, ad esempio in un PowerPoint, rendono più semplice per il management capire l’efficacia e giustificare l’accettazione di tali voci di spesa.

Un’altra strategia efficace consiste nel quantificare il rischio e associare a ogni minaccia un valore economico. Attraverso modelli di rischio basati sul valore economico potenziale di un attacco informatico, è possibile mostrare al management quanto potrebbe costare un attacco in termini di danni diretti (come la perdita di dati o il fermo dei sistemi) e indiretti (come la perdita di clienti e la reputazione). Una chiara analisi di rischio aiuta il CISO a motivare l’allocazione di risorse per prevenire o mitigare questi danni.

Essere in grado di valutare l’efficacia delle misure di sicurezza è un ottimo modo per giustificare le scelte di spesa e per rivedere i futuri budget per la sicurezza informatica. Le metriche di sicurezza offrono informazioni sulla solidità della vostra postura di sicurezza, inclusa l’efficacia delle misure di conformità adottate. Queste metriche forniscono un metodo quantitativo per dimostrare al management e ai membri del consiglio come un programma di sicurezza dei dati stia performando. Inoltre, possono aiutare a documentare l’approccio dell’azienda alla protezione dei dati in conformità con le normative vigenti. L’analisi di KPI e indicatori di rischio chiave (KRI) fornisce una visione chiara dello stato della sicurezza e del team, permettendo di ottimizzare strategie e approcci.

Esistono diversi KPI che possono essere misurati. Ad esempio, tra le metriche relative alle minacce, ci sono:

• Incidenti di sicurezza;
• Tempo medio di rilevamento (MTTD);
• Tempo medio di risoluzione (MTTR).

Infine, è importante che il CISO lavori a stretto contatto con altre funzioni aziendali, come il dipartimento legale, quello delle risorse umane e delle operazioni, per evidenziare come la cybersecurity influisca su più aree dell’organizzazione e non sia solo una preoccupazione tecnica. Quando la cybersecurity viene vista come una responsabilità condivisa e non come una funzione isolata, il management è più propenso a riconoscere l’importanza degli investimenti in sicurezza.

Allocazione delle risorse per massimizzare la protezione

A causa del rallentamento dell’economia, i CISO si trovano sotto forte pressione per assicurare una protezione informatica adeguata senza compromettere le iniziative di crescita dell’azienda. Le imprese stanno puntando a modernizzare le loro infrastrutture IT come parte della trasformazione digitale, il che evidenzia la necessità di strategie di sicurezza che favoriscano, piuttosto che ostacolare, il progresso.

Una volta che il budget per la sicurezza informatica è stato approvato, il CISO deve affrontare la complessa sfida dell’allocazione delle risorse. La sfida consiste nel rendere altrettanto trasparente all’interno dell’organizzazione il modo in cui viene distribuito il budget per la cybersecurity, in modo da giustificarne il costo. La differenza sta nel fatto che, rispetto a funzioni come marketing, vendite, progettazione e assistenza – dove il ritorno sugli investimenti può essere spiegato con maggiore facilità – la matematica del ROI della sicurezza informatica è più complessa. Un aspetto cruciale è determinare come distribuire il budget tra le diverse aree della cybersecurity, come la protezione dei dati, la gestione delle vulnerabilità, la formazione del personale e la protezione dalle minacce emergenti.

La protezione dei dati è uno degli aspetti principali in cui il CISO dovrà investire. Con l’aumento dei regolamenti sulla privacy come il GDPR e altre normative a livello mondiale, la protezione dei dati sensibili deve essere una priorità assoluta. Ciò significa allocare risorse significative per strumenti di cifratura, soluzioni di backup sicuro, e politiche di gestione degli accessi che garantiscano che solo le persone autorizzate possano accedere a informazioni riservate.

Esistono normative di conformità che guidano l’allocazione delle risorse per la cybersecurity. Nel settore sanitario, ad esempio, è fondamentale garantire specifici requisiti di privacy per proteggere le cartelle cliniche e altre informazioni sensibili relative alla salute delle persone. Per rispettare queste normative, evitando sanzioni significative, i CISO sono costretti a investire in strumenti e tecnologie specializzate, come la classificazione dei dati e la crittografia.

Accanto alla protezione dei dati, è necessario anche investire nella gestione delle vulnerabilità. I sistemi informatici sono in continua evoluzione, e nuove vulnerabilità vengono scoperte regolarmente. Il CISO deve stabilire una strategia per monitorare e gestire queste vulnerabilità, assicurandosi che vengano applicate tempestivamente le patch e le correzioni necessarie. Questo tipo di investimento è essenziale per ridurre il rischio che un attacco informatico sfrutti una debolezza nel sistema.

Anche la formazione del personale è un’area chiave per l’allocazione delle risorse. Le statistiche mostrano che una delle principali cause di violazioni della sicurezza è l’errore umano, come cliccare su link dannosi o utilizzare password deboli. Investire in programmi di formazione continua per i dipendenti, sensibilizzandoli sui rischi informatici e sulle best practices da adottare, è una strategia fondamentale per rafforzare la difesa dell’organizzazione.

Infine, il CISO deve tenere conto delle minacce emergenti e destinare risorse per affrontarle. Le minacce informatiche evolvono rapidamente, quindi è fondamentale che il CISO allocchi parte del budget per soluzioni innovative che rispondano a minacce come l’intelligenza artificiale malevola, il ransomware avanzato e gli attacchi alle infrastrutture di rete. La continua evoluzione della tecnologia impone che il bilancio venga pianificato con una visione di lungo termine, pronta ad adattarsi alle nuove sfide.

La parte del budget destinata alla cybersecurity per ciascuna categoria dipende quindi da vari fattori. Ad esempio, nuovi obblighi di conformità potrebbero rendere necessario un incremento delle costi in questa area in un determinato periodo. Allo stesso modo, l’arrivo di un nuovo investitore o CEO potrebbe comportare un cambiamento nelle priorità, portando a un aumento o a una riduzione complessiva dell’investimento in sicurezza, in base a una diversa tolleranza al rischio dell’organizzazione. Questo scenario potrebbe spingere il CISO a rivedere e riallocare le risorse tra le diverse categorie.

Monitoraggio delle spese e ritorno sugli investimenti (ROI)

Una volta allocato il budget per la sicurezza informatica, il CISO deve monitorare attentamente le spese per garantire che ogni risorsa sia utilizzata in modo efficace ed efficiente. Il monitoraggio dei costi in sicurezza informatica può essere complicato, in quanto i benefici di molte misure di protezione non sono sempre immediatamente visibili in termini di risparmio economico diretto. Tuttavia, è fondamentale che il CISO stabilisca parametri chiari per il controllo e la valutazione dell’efficacia degli investimenti.

Per calcolare il ritorno sugli investimenti (ROI), il CISO può adottare vari approcci. Uno dei più utilizzati è il modello del “costo per prevenire una violazione”, che cerca di stabilire il risparmio derivante dall’evitare danni potenziali a causa di un attacco informatico. In questo modo, l’efficacia delle soluzioni di sicurezza può essere misurata in termini di costi evitati anziché in termini di spese dirette.

Un’altra metrica utile per monitorare le uscite alla voce sicurezza è il “tempo di risposta agli incidenti”. Investire in soluzioni che riducono il tempo necessario per identificare e rispondere a un attacco può ridurre significativamente il danno causato da una violazione. Misurando i miglioramenti nelle capacità di risposta agli incidenti nel tempo, il CISO può giustificare gli investimenti in soluzioni più sofisticate.

Il CISO dovrebbe anche sfruttare le metriche di performance per monitorare i progressi della sicurezza aziendale. Queste metriche potrebbero includere il numero di vulnerabilità risolte, il numero di minacce rilevate, il livello di conformità alle normative e la percentuale di dipendenti formati sulla sicurezza. Questi indicatori aiutano a dimostrare che gli investimenti stanno portando risultati tangibili e misurabili.

Strategie per ottenere finanziamenti aggiuntivi per la sicurezza

Anche se il budget iniziale per la sicurezza informatica può essere approvato, spesso il CISO si trova a dover affrontare la necessità di risorse aggiuntive per affrontare minacce emergenti o per aggiornare le soluzioni di sicurezza obsolete. In questi casi, il CISO deve adottare strategie efficaci per ottenere il supporto finanziario necessario.

Una delle prime strategie consiste nel fornire dati e analisi più approfondite sugli impatti economici di un attacco informatico. Utilizzando modelli di calcolo dei costi legati a un’eventuale violazione della sicurezza, il CISO può presentare una solida giustificazione per l’incremento del bilancio. La simulazione di scenari di attacco può essere un modo convincente per mostrare al management l’importanza di un investimento continuo in cybersecurity.

Per ottenere aumenti di budget in modo strategico e mirato, è fondamentale adattare il proprio approccio comunicativo sulla sicurezza in base ai diversi interlocutori. Quando ci si rivolge a un consiglio di amministrazione composto da membri provenienti da settori differenti, è utile presentare a ciascuno una “storia” che risuoni con le sue specifiche preoccupazioni. Questo approccio facilita un dialogo costruttivo, sia nel caso di dover spiegare violazioni della sicurezza, sia quando si richiedono investimenti per nuove iniziative di cybersecurity.

Un’altra strategia per ottenere risorse aggiuntive è quella di collaborare con altre aree dell’azienda per integrare la cybersecurity in progetti più ampi. Ad esempio, se l’azienda sta per lanciare un nuovo prodotto o servizio, il CISO può dimostrare che un adeguato investimento in sicurezza è essenziale per proteggere la reputazione del prodotto e la fiducia dei clienti. Presentare la cybersecurity come un elemento essenziale per il successo dell’intera azienda aumenta la possibilità di ottenere di ottenerne di nuovi.

Infine, il CISO può esplorare opzioni di finanziamento esterne, come sussidi governativi o incentivi fiscali, che supportano l’adozione di misure di sicurezza avanzate. Spesso, i governi offrono incentivi alle aziende che investono in protezione contro le minacce cyber, e il CISO può utilizzare queste opportunità per ottenere risorse aggiuntive senza gravare troppo sul budget aziendale.

Conclusioni

La gestione del budgeting per la sicurezza informatica è una delle principali responsabilità del CISO e rappresenta una sfida complessa ma fondamentale per garantire la protezione delle risorse aziendali. La giustificazione degli investimenti, l’allocazione ottimale delle risorse, il monitoraggio delle spese e la ricerca di finanziamenti aggiuntivi sono tutti passaggi cruciali per garantire che l’azienda rimanga protetta dalle minacce informatiche emergenti. Con un approccio strategico e una attenta gestione, il CISO può non solo migliorare la sicurezza, ma anche giustificare e ottimizzare gli investimenti in un’area fondamentale per il successo dell’organizzazione nel lungo termine.

https://www.ictsecuritymagazine.com/notizie/budgeting-ciso/