Il 2025 si preannuncia come un anno decisivo per la cybersecurity in Europa. In un contesto geopolitico ed economico in continua trasformazione, le minacce informatiche diventano sempre più sofisticate e pervasive.

Secondo il Rapporto CLUSIT 2025, nel 2024 gli attacchi informatici sono aumentati del 27% rispetto all’anno precedente, con una crescita significativa degli incidenti segnalati, che passano da 2779 a 3541. In questo scenario, le tecniche di attacco rimangono in costante crescita, tra queste emergono principalmente il malware, phishing, e DDoS. Non passa inosservato il dato relativo alla crescita degli attacchi al settore Governativo locale e centrale, con una crescita del 100% dal 2020 al 2024.

Il ruolo fondamentale delle aziende di cybersecurity italiane ed europee

Queste evidenze dimostrano come il ruolo delle aziende di cybersecurity italiane, ed europee, sia fondamentale per garantire la sicurezza delle imprese private e nazionali.

L’adozione di un approccio agnostico alla sicurezza informatica è ormai imprescindibile. Le tecnologie emergenti, come l’intelligenza artificiale e il machine learning, stanno rivoluzionando il modo in cui le minacce vengono rilevate e neutralizzate, consentendo alle aziende di anticipare gli attacchi e minimizzare i rischi.

Osservatorio Cyberoo 2025: trend, threat actor e sfide future

L’Osservatorio Cyberoo 2025 sottolinea come l’innovazione stia trasformando contemporaneamente le strategie e TTP utilizzate dai criminal hacker e l’approccio delle aziende italiane alle minacce di sicurezza informatica. Tra i temi trattati, particolare attenzione è dedicata ai principali trend e threat actor 2024, per proseguire con alcune stime sulle sfide cyber che caratterizzeranno l’anno 2025.

In preparazione all’evento Cyber Crime Conference 2025 e all’intervento di Luca Bonora, Cyberoo Evangelist, fissato per giovedì 16 aprile alle ore 13:00, Cyberoo offre ai lettori il download dell’Osservatorio Cyberoo 2025, scaricabile tramite questo link.

Visita il nostro sito web, contattarci all’indirizzo email info@cyberoo.com o al numero di telefono aziendale 0522 388111, per ulteriori informazioni.

https://www.ictsecuritymagazine.com/notizie/cybersecurity-europa/

Questo articolo conclude la serie di approfondimenti sulla Sicurezza 5G. Il testo analizza l’evoluzione delle reti 5G, evidenziando le sfide tecnologiche e geopolitiche in materia. Viene illustrato come entro il 2025 si preveda 1,2 miliardi di connessioni globali, sottolineando la necessità di robuste misure di Sicurezza 5G.

L’articolo esplora le strategie di aziende come Ericsson e Nokia, che utilizzano approcci innovativi come il “Security Reliability Model” e l’intelligenza artificiale per mitigare le minacce nella Sicurezza 5G. Inoltre, si approfondiscono temi come la crittografia quantistica, la protezione della privacy e le implicazioni geopolitiche delle reti 5G, con uno sguardo rivolto alle future sfide in materia di 5G nel contesto dell’edge computing e dell’Internet of Things.

L’evoluzione delle reti 5G porta con sé non solo innovazioni tecnologiche senza precedenti, ma anche nuove sfide per la sicurezza e la privacy. Mentre ci addentriamo in questa nuova era di connettività, è fondamentale adottare un approccio olistico e proattivo per affrontare le vulnerabilità emergenti.

Sicurezza 5G come priorità nazionale e internazionale

Secondo un rapporto del World Economic Forum, entro il 2025 si prevede che il 5G supporterà 1,2 miliardi di connessioni a livello globale. Questa crescita esponenziale amplifica l’importanza di implementare robuste misure di sicurezza. Come evidenziato dall’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), la sicurezza del 5G deve essere considerata una priorità nazionale e internazionale.

Alcuni esempi di strategie per il contrasto delle minacce nel 5G

Le aziende leader nel settore stanno sviluppando soluzioni innovative per contrastare le minacce. Ericsson, ad esempio, ha introdotto il concetto di “Security Reliability Model” per il 5G, che integra la sicurezza in ogni fase dello sviluppo e dell’implementazione della rete.

Questo modello enfatizza l’importanza di una “security by design” nell’architettura 5G. Nokia, d’altra parte, sta puntando sull’intelligenza artificiale e il machine learning per potenziare la sicurezza delle reti 5G. Il loro sistema di “Network Operations Master” utilizza algoritmi avanzati per rilevare e mitigare le minacce in tempo reale, dimostrando come l’AI possa essere un alleato cruciale nella difesa cibernetica. Un aspetto particolarmente promettente è l’applicazione della crittografia quantistica nelle reti 5G. Ricercatori dell’Università di Bristol, in collaborazione con Toshiba, hanno recentemente dimostrato la fattibilità di integrare la distribuzione quantistica di chiavi (QKD) nelle reti 5G, promettendo un livello di sicurezza senza precedenti per le comunicazioni future.

Sicurezza 5G e Geopolitica, non è solo una questione tecnologica

Tuttavia, la sicurezza del 5G non è solo una questione tecnologica, ma anche geopolitica. Il National Cyber Security Centre del Regno Unito sottolinea l’importanza di una supply chain diversificata e affidabile per l’infrastruttura 5G, evidenziando come la sicurezza nazionale sia intrinsecamente legata alla resilienza delle reti di telecomunicazione. Per quanto riguarda la privacy degli utenti, l’introduzione del SUCI (Subscription Concealed Identifier) rappresenta un significativo passo avanti, ma è necessario continuare a sviluppare e implementare protocolli di autenticazione ancora più robusti per proteggere l’identità degli utenti da attacchi sofisticati.

Sicurezza nelle Reti 5G, uno sguardo al futuro

Guardando al futuro, la convergenza tra 5G e tecnologie emergenti come l’edge computing e l’Internet of Things (IoT) aprirà nuove frontiere per l’innovazione, ma anche nuove sfide per la sicurezza. Secondo Gartner, entro il 2025, il 75% dei dati aziendali sarà creato ed elaborato al di fuori dei data center tradizionali.

Questa decentralizzazione richiederà un ripensamento fondamentale delle strategie di sicurezza. In conclusione, mentre ci muoviamo verso un mondo iperconnesso, la sicurezza delle reti 5G deve evolversi da una considerazione secondaria a un pilastro fondamentale dell’architettura di rete.

La collaborazione tra governi, industria e ricerca accademica sarà cruciale per sviluppare standard e best practices che possano tenere il passo con la rapida evoluzione della tecnologia e delle minacce. Solo attraverso un impegno collettivo e una visione lungimirante potremo garantire che il potenziale rivoluzionario del 5G si realizzi pienamente, creando un ecosistema digitale sicuro, resiliente e affidabile per le generazioni future.

I punti chiave emersi dall’analisi evidenziano come la Sicurezza 5G rappresenti un ecosistema complesso che abbraccia molteplici dimensioni tecnologiche e strategiche. La Sicurezza 5G non è solo una questione tecnica, ma un elemento cruciale per la sovranità digitale nazionale e internazionale.

Le sfide nel campo del 5G richiedono un approccio multidisciplinare che coinvolga governi, aziende e ricerca accademica. Per comprendere approfonditamente questi temi strategici, scarica il white paper “Rete 5G: Sicurezza, Innovazione e Sfide Future” di Stefano Savo e Stefano Cangiano, una guida essenziale per professionisti, decisori e appassionati del settore delle telecomunicazioni.

https://www.ictsecuritymagazine.com/articoli/sicurezza-5g/

Ogni secondo conta. L’approccio italiano di Gyala introduce con la piattaforma Agger una sfida tecnologica ai modelli tradizionali di sicurezza IT/OT.

Non è più efficace attendere l’allarme per reagire e non è più sostenibile analizzare manualmente ogni log, pacchetto, o attività sospetta. Siamo nell’epoca della guerra ibrida e dell’attacco silente, e la risposta efficace si gioca “molto prima” della reazione umana. È su questo principio, che si fonda la tecnologia di Agger, piattaforma di cybersecurity – Made in Italy progettata da Gyala, una soluzione capace di vedere, decidere e agire autonomamente in un tempo che nessun analista può uguagliare.

Questo non è solo un traguardo tecnico, piuttosto è una nuova visione strategica, in cui la resilienza IT/OT diventa un imperativo insieme alla sovranità digitale.

Il contesto: nuove minacce, vecchie architetture

Se è vero che il concetto di “infrastruttura critica” si è ampliato fino a comprendere tutto ciò che può mettere a rischio il benessere di una nazione, è altrettanto vero che la maggior parte dei sistemi digitali su cui si basano le infrastrutture da cui dipendono servizi come energia, acqua, trasporti, sanità e difesa, continuano a essere costruiti su architetture legacy. Sistemi robusti, ma nati in epoche in cui la connessione alla rete era un’eccezione, non la regola.

L’apertura all’IT – e successivamente al cloud – ha esposto gli ambienti OT a una superficie d’attacco prima impensabile e il problema più grande non è solo l’esposizione ma anche l’assenza o l’inadeguatezza delle risposte: troppo lente, troppo standard (al limite dell’inapplicabile) o addirittura pericolose. Quello tra IT e OT è un connubio inevitabile, ma ancora incompleto.

Parlare di convergenza IT/OT non è un tema accademico, ma una esigenza operativa: nella sanità come nella manifattura, nelle reti idriche come le centrali elettriche, l’interconnessione tra sistemi informativi e apparati industriali è realtà.

Tuttavia, la maggior parte delle soluzioni di cyber security continuano a trattare IT e OT come due mondi distinti, con metriche, protocolli, tempi e priorità differenti. Questo crea zone grigie, vuoti di protezione, e nessuna protezione dai movimenti laterali.

Ed è proprio qui che Agger si inserisce, con una visione radicale: trattare l’intero sistema come uno solo – connesso e basato su flussi interoperativi.

Agger, la piattaforma made in Italy di Gyala per la resilienza IT/OT

Agger è un sistema modulare che integra:

• Endpoint Detection and Response & OT Defence
• Network Security
• Risk Management
• Correlation

Il tutto alimentato da algoritmi di Intelligenza artificiale – di derivazione militare – capace di creare modelli comportamentali dinamici, riconoscere anomalie in tempo reale e reagire autonomamente.

Il risultato? Zero secondi di latenza tra l’identificazione di una minaccia e la sua neutralizzazione.

Intelligenza distribuita: ogni agent Agger è una sentinella pensante

Uno degli elementi più rivoluzionari della piattaforma è la capacità di portare intelligenza anche ai margini della rete. Non è solo il server centrale a decidere. Ogni agent Agger, installato su endpoint – o in modalità agentless dove necessario su dispositivi OT – è capace di:

• Rilevare comportamenti sospetti;
• Applicare regole personalizzate;
• Comunicare con altri agent;
• Attivare contromisure senza attendere istruzioni centrali.

Questo consente reattività decentralizzata, fondamentale in contesti dove ogni secondo perso può significare danni gravi o interruzione di servizio.

Nessuna infrastruttura esclusa: legacy, cloud, on-premise, reti segregate

Agger è stato progettato per adattarsi a qualsiasi contesto:

• Sistemi legacy (anche XP),
• Ambienti cloud, on-premise e ibridi,
• Reti OT chiuse e non virtualizzabili.

Anche dove non è possibile installare un agent, Agger opera in modalità passive e attive agentless, interrogando direttamente i dispositivi OT con protocolli industriali (S7, OPC, Modbus, etc.).

Agger rappresenta la risposta italiana a un tema strategico: la Sovranità digitale

Il controllo sui dati e sulle reazioni cyber non è solo una questione di privacy, ma di strategia nazionale. In un mondo in cui anche le tecnologie di sicurezza possono essere soggette a interferenze geopolitiche, utilizzare soluzioni sviluppate e gestite all’estero diventa un rischio.

La nostra tecnologia Agger è sviluppata interamente nel nostro Paese, senza codice estero, con personale italiano, è oggi adottata in vari mercati come quello Difesa, Health, Navale, Industriale, Banche, PA e Utilities.

Sanità, energia, acqua: alcuni dei settori in cui Agger fa la differenza

Agger è già operativo in ambienti critici come:

• Ospedali e ASL, dove protegge dispositivi biomedicali non aggiornabili, senza compromettere le certificazioni.
• Centrali elettriche e smart grid dove analizza in tempo reale il traffico OT e reagisce anche in ambienti segregati.
• Acquedotti e utility, dove integra la sicurezza con la sostenibilità ambientale, contribuendo alla gestione dei consumi e alla continuità dei servizi.

Questi ambiti non tollerano ritardi, né complessità inutili. Agger risponde con una cyber defense trasparente, automatizzata e customizzabile.

Ridurre il carico, aumentare il valore: il vero supporto agli esperti

Nel confronto con i modelli tradizionali emerge un’altra dimensione strategica: Agger non sostituisce l’esperto umano, ne potenzia l’operatività e ne valorizza l’operato.

Liberando il personale cyber da compiti ripetitivi, consente di concentrare l’attenzione su:

• Analisi strategica;
• Intelligence;
• Miglioramento delle regole;
• Formazione

Questo si traduce inoltre in una riduzione dei costi di gestione fino all’80%, come dimostrano i dati operativi forniti da installazioni in ambienti reali.

Per concludere:

La trasformazione digitale ha bisogno di essere accompagnata dall’aspetto security. In questa dinamica Agger non si pone come un upgrade della sicurezza ma come una rivoluzione di paradigma, che mette insieme intelligenza automatizzata, flessibilità operativa e sovranità tecnologica.

Contattaci: https://web.gyala.com/gyalacom-alqbw/pages/orpodreieefiqaisimu1q.html?PageId=75e8b33a0811ef119f89002248832ed5

https://www.ictsecuritymagazine.com/notizie/intelligenza-automatizzata/

Il rischio informatico è uno degli aspetti più critici della gestione aziendale moderna, soprattutto in un’epoca in cui la digitalizzazione e la trasformazione tecnologica sono al centro delle operazioni di ogni organizzazione. Per garantire la protezione dei dati aziendali, dei sistemi e delle informazioni sensibili, il Chief Information Security Officer (CISO) gioca un ruolo fondamentale. Tale figura è stata trattata seppur in maniera indiretta e più sintetica, in un altro elaborato realizzato in precedenza. Questo articolo esplorerà invece, in maniera più approfondita, il ruolo del CISO nella gestione del cyber risk, con particolare attenzione alla definizione e valutazione dei pericoli, alla mitigazione e all’integrazione del risk management nelle decisioni strategiche, nonché alla collaborazione con altri manager aziendali.

Definizione e valutazione dei rischi informatici nel contesto aziendale moderno

La gestione del Cyber risk inizia con una valutazione accurata dei rischi che un’azienda è chiamata a fronteggiare. Questo processo è cruciale, poiché solo identificando, comprendendo e misurando le minacce digitali, un’organizzazione può prendere decisioni informate per proteggere i propri asset. Il CISO, il cui ruolo ha assunto ulteriore rilevanza con l’entrata in vigore della direttiva Nis2, è il responsabile di questa fase, che coinvolge una serie di attività analitiche. In qualità di leader nella gestione del rischio informatico, il CISO è responsabile della protezione delle risorse digitali aziendali contro minacce esterne ed interne.

Non è più solo un tecnico, ma un vero e proprio manager a tutto tondo.

CISO: da tecnico informatico a manager strategico della sicurezza aziendale

Il CISO deve saper interagire in modo efficace con diversi stakeholder, traducendo le complesse esigenze di sicurezza informatica in strategie aziendali chiare, operative e sicure. Per raggiungere questo obiettivo, è indispensabile non solo un’elevata competenza tecnica, ma anche doti di leadership, una profonda comprensione delle dinamiche aziendali e una solida capacità di gestione dell’Information security risk. Inoltre, eccellenti abilità comunicative sono essenziali per garantire una diffusione accurata delle informazioni, facilitando il processo decisionale strategico che spesso richiede il suo contributo.

È incaricato quindi di progettare e mettere in atto programmi completi per la sicurezza delle informazioni, proteggendo l’organizzazione dalle minacce informatiche. Inoltre, riveste un ruolo capillare nella formulazione di strategie solide che assicurano la riservatezza, l’integrità e la disponibilità dei dati, proteggendo le risorse e le infrastrutture aziendali. È anche responsabile della scelta di misure di sicurezza IT adeguate a migliorare la resilienza dell’organizzazione contro le minacce cyber in continua evoluzione.

La prima fase della gestione del rischio informatico consiste nell’identificare i vari tipi di potenziali pericoli che potrebbero minacciare l’integrità e la sicurezza delle risorse aziendali.

Le recenti normative richiedono l’adozione dell’Enterprise Risk Management (ERM) per individuare e analizzare i diversi tipi di rischio a cui un’azienda è esposta. Questo processo prevede la valutazione della probabilità che essi si manifestino e la misurazione delle loro possibili conseguenze. Affinché un programma ERM sia realmente efficace, è fondamentale il coinvolgimento di tutti i team aziendali e l’implementazione di un ciclo continuo di gestione del rischio. In questo contesto, il Cyber risk rappresenta un elemento cruciale dell’ERM, assumendo un ruolo sempre più rilevante con l’avanzare della digitalizzazione.

La valutazione delle minacce per la sicurezza informatica è un processo sistematico che identifica, analizza e valuta le potenziali minacce informatiche che un’organizzazione potrebbe affrontare. Questo processo consente infatti al CISO di comprendere la portata e la gravità di essi, nonché di prendere decisioni informate su come mitigarli.

Le fasi principali nella valutazione dei pericoli per la sicurezza informatica sono:

Identificazione degli asset: il primo passo consiste nel mappare tutti gli asset IT dell’organizzazione, inclusi hardware, software, dati e reti.

Valutazione delle minacce: successivamente, è importante identificare le possibili minacce informatiche che potrebbero compromettere gli asset individuati. Questo include minacce interne ed esterne, come malware, attacchi di phishing, intrusioni e attacchi DDoS.

Analisi delle vulnerabilità: le vulnerabilità rappresentano le debolezze nei sistemi o nei processi che potrebbero essere sfruttate da attaccanti per eseguire un attacco. Il CISO ha il compito di individuare e analizzare queste vulnerabilità nei vari asset aziendali.

Valutazione dell’impatto: per ciascuna minaccia e vulnerabilità rilevata, è necessario esaminare l’impatto che un eventuale attacco potrebbe avere sull’organizzazione. Questo include l’analisi della perdita di dati, l’interruzione dei servizi, danni alla reputazione e le ripercussioni economiche.

Prioritizzazione dei rischi: in base alla valutazione dell’impatto, i rischi vengono classificati in ordine di priorità, considerando sia la gravità che la probabilità che si verifichino.

Trattamento dei rischi: una volta stabilita la priorità di essi, è necessario adottare misure per trattarli. Ciò può significare implementare soluzioni di sicurezza per ridurli, trasferirli a terze parti o accettarli quando non è possibile ridurli efficacemente.

Strumenti e metodologie per la valutazione dei rischi: esistono vari strumenti e approcci per aiutare il CISO nel processo di valutazione degli stessi per la sicurezza informatica. Tra i più comuni troviamo:

• Questionari di valutazione dei rischi: forniscono una struttura utile per una loro identificazione e valutazione.
• Strumenti di scansione delle vulnerabilità: utilizzati per analizzare i sistemi e le reti alla ricerca di vulnerabilità.
• Software di valutazione del rischio basato su modelli: strumenti che utilizzano modelli matematici per calcolare il rischio complessivo relativo alla sicurezza informatica dell’organizzazione.

Il ruolo del CISO nella valutazione dei rischi prevede una attività di supervisione e coordinamento dell’intero processo di valutazione di essi. Deve quindi garantire che la valutazione venga condotta in modo completo, accurato e tempestivo. Inoltre, il CISO deve utilizzare i risultati della valutazione per prendere decisioni informate sulla gestione dei rischi e allocare le risorse di sicurezza in modo ottimale.

Tipologie principali di rischi informatici e loro implicazioni sulla sicurezza aziendale

Tra i principali pericoli vi sono:

• Rischi legati alla protezione dei dati: la violazione della privacy dei dati sensibili, come le informazioni finanziarie, sanitarie o personali dei clienti.
• Rischi di accesso non autorizzato: il pericolo che utenti esterni o interni non autorizzati possano accedere a sistemi o dati riservati.
• Rischi legati a malware e attacchi informatici: i malware, i ransomware e gli attacchi di phishing rappresentano minacce gravi che possono compromettere la sicurezza aziendale.
• Rischi relativi alla sicurezza della rete: vulnerabilità nella rete aziendale, che potrebbero consentire attacchi esterni attraverso reti non sicure.

Una volta identificati, il CISO, insieme al team di sicurezza informatica, deve valutare l’impatto e la probabilità di ciascun rischio. L’analisi di esso consente di determinare quali pericoli presentano la maggiore minaccia per l’organizzazione e le risorse aziendali. La valutazione è spesso supportata da strumenti di gestione del rischio e da metodologie come la matrice di rischio, che permette di classificare i pericoli in base alla gravità e alla probabilità che si verifichino.

Vantaggi della valutazione dei rischi per la sicurezza informatica: la valutazione dei rischi informatici porta numerosi benefici e vantaggi alle aziende, tra cui:

• Maggiore consapevolezza dei rischi: aiuta il CISO a comprendere la natura e l’impatto a cui l’organizzazione è esposta.
• Decisioni di sicurezza più informate: permette di allocare meglio le risorse per implementare misure di mitigazione dei rischi.
• Riduzione delle violazioni dei dati: una gestione efficace dei rischi abbassa significativamente la probabilità di violazioni e i danni correlati.
• Conformità alle normative: facilita il rispetto di leggi come il GDPR, migliorando la protezione dei dati.
• Aumento della fiducia dei clienti: le aziende che gestiscono efficacemente la sicurezza informatica guadagnano maggiore fiducia da parte dei clienti.

Gestione delle identità e degli accessi (IAM): il CISO ha un ruolo cruciale nell’IAM, che include:

• Definizione di politiche e procedure IAM: stabilire autorizzazioni, privilegi e protocolli di autenticazione.
• Implementazione di soluzioni IAM: scegliere e configurare soluzioni adatte all’organizzazione, con attenzione alla scalabilità e all’integrazione.
• Monitoraggio e gestione sicura delle identità: gestire la creazione, l’aggiornamento e la disattivazione degli account, oltre alla protezione delle informazioni di autenticazione.
• Conformità legale: garantire il rispetto delle normative relative alla protezione dei dati e alla privacy.

Inoltre, il CISO deve essere aggiornato sulle tecnologie emergenti come l’autenticazione biometrica e la gestione degli accessi privilegiati, adattando le strategie di IAM alle nuove minacce. Il successo di un programma IAM dipende dalla collaborazione tra il CISO e gli altri stakeholder aziendali, per rafforzare la sicurezza informatica e proteggere i dati aziendali sensibili.

Strategie di mitigazione dei rischi e compliance normativa nella cybersecurity

I CISO giocano un ruolo cruciale nel garantire il rispetto delle normative, il che comporta non solo assicurarsi che l’organizzazione aderisca alle leggi, ma anche comprendere come queste normative influenzano le operazioni quotidiane e le strategie aziendali. Infatti, i CISO devono prendere sempre più responsabilità nell’aggiornarsi costantemente sui cambiamenti normativi e tradurli in politiche pratiche per proteggere la privacy e l’integrità dei dati.

In questo contesto, i CISO devono interagire sempre di più con i dipartimenti legali e di compliance, affrontando la complessità dei requisiti imposti da normative come GDPR, DORA, NIS2, Cyber Resilience Act, AI Act e altre leggi pertinenti. Il loro compito principale è garantire che l’organizzazione rispetti queste normative e protegga i dati sensibili. Adottando un approccio proattivo alla compliance e utilizzando strumenti e tecnologie adeguate, i CISO possono ridurre il pericolo di violazioni dei dati.

Inoltre, i CISO sono responsabili di promuovere una cultura di conformità continua all’interno dell’organizzazione, realizzando audit regolari e implementando meccanismi per identificare e colmare eventuali lacune. Questo non solo aiuta a mitigare i rischi legali e finanziari, ma contribuisce anche a migliorare la reputazione dell’azienda, a rafforzare la fiducia degli stakeholder e a ottenere un vantaggio competitivo.

Una volta che le minacce o i pericoli sono stati identificati e valutati, il CISO deve sviluppare strategie per mitigare o, almeno, ridurre l’impatto di essi. Le strategie di mitigazione sono fondamentali per prevenire gli attacchi informatici o per minimizzare i danni in caso di incidente. Tra le principali azioni che il CISO può intraprendere per ridurre le minacce segnaliamo:

• Implementazione di soluzioni tecnologiche avanzate: utilizzare strumenti di cybersecurity come firewall, sistemi di rilevamento delle intrusioni (IDS), antivirus e sistemi di prevenzione delle perdite di dati (DLP). Questi strumenti sono necessari per monitorare costantemente la rete aziendale e rilevare attività sospette.
• Formazione del personale: molte violazioni della sicurezza informatica avvengono a causa di errori umani, come cliccare su link di phishing o utilizzare password deboli. Il CISO deve organizzare programmi di formazione per sensibilizzare i dipendenti riguardo alle migliori pratiche di sicurezza e a come riconoscere e prevenire potenziali minacce.
• Pianificazione della risposta agli incidenti: è essenziale che il CISO sviluppi un piano di risposta agli incidenti chiaro e ben definito. In caso di attacco informatico, l’organizzazione deve essere pronta a rispondere rapidamente per contenere il danno e riprendersi dalla violazione. Un piano di risposta agli incidenti prevede attività come il recupero dei dati, l’analisi forense e la comunicazione con le autorità competenti.
• Gestione delle vulnerabilità: il CISO deve garantire che le vulnerabilità software vengano monitorate e corrette tempestivamente. L’adozione di pratiche come il patch management è necessaria per mantenere i sistemi protetti da eventuali falle di sicurezza.

Inoltre, è fondamentale che il CISO valuti continuamente l’efficacia delle strategie di mitigazione implementate. In un ambiente di sicurezza in continua evoluzione, l’adeguamento continuo alle nuove minacce è cruciale per mantenere al sicuro l’organizzazione.

Integrazione del risk management nelle decisioni strategiche aziendali

Una delle sfide principali per un CISO è garantire che la gestione del Cyber risk venga integrata nelle decisioni strategiche aziendali. Questo richiede un cambiamento di mentalità: non è più sufficiente considerare la sicurezza informatica come un dipartimento separato o un costo da contenere. Molte imprese italiane vedono ancora il CISO come una figura puramente tecnica, relegata al reparto IT. Questo rallenta il passaggio verso una cybersecurity strategica, in cui la protezione dei dati è parte integrante della governance aziendale. Oggi, il Cyber risk deve essere trattato come una priorità strategica che influisce su tutte le aree dell’organizzazione.

Il CISO deve infatti lavorare a stretto contatto con il top management e con altri dirigenti aziendali per garantire che la gestione del rischio informatico sia un obiettivo condiviso. Ciò implica l’integrazione di esso nelle discussioni riguardanti la pianificazione strategica, la crescita aziendale, l’innovazione e la digitalizzazione. Ad esempio:

• Decisioni su nuove tecnologie: l’adozione di nuove tecnologie, come l’intelligenza artificiale, l’Internet delle cose (IoT) o il cloud computing, comporta nuove sfide in termini di Cyber risk. Il CISO deve partecipare attivamente alla valutazione dei rischi legati a queste tecnologie.
• Sicurezza nelle acquisizioni e fusioni: quando un’organizzazione acquisisce o si fonde con un’altra, il CISO deve valutare il Cyber risk associato alle infrastrutture IT, alle politiche di sicurezza e alla protezione dei dati. L’integrazione delle due aziende deve essere pianificata tenendo conto della sicurezza informatica come una priorità strategica.
• Protezione della reputazione aziendale: un attacco informatico o una violazione della privacy dei dati può danneggiare gravemente la reputazione dell’organizzazione. Il CISO deve garantire che la gestione dell’Information security risk sia una parte integrante della strategia di branding e della protezione della reputazione.

L’integrazione del risk management nelle decisioni aziendali implica anche la comunicazione regolare dei rischi e delle misure adottate a tutti i livelli dell’organizzazione. Questo approccio consente una maggiore consapevolezza della sicurezza in tutta l’azienda, dai dirigenti fino ai dipendenti, e facilita l’approvazione e l’attuazione di strategie di mitigazione.

Collaborazione con altri dirigenti per una gestione olistica del rischio informatico

Per una gestione efficace delle minacce informatiche, è fondamentale che il CISO collabori con altri dirigenti aziendali, come il Chief Financial Officer (CFO), il Chief Operating Officer (COO), e il Chief Legal Officer (CLO). La sicurezza informatica non può più essere considerata solo un problema del reparto IT, ma deve essere trattata come una questione trasversale che coinvolge tutte le aree aziendali.

La cooperazione con il CFO è essenziale per garantire che le risorse finanziarie siano allocate correttamente per la protezione dei dati e per l’adozione delle tecnologie necessarie. Il CISO deve anche lavorare a stretto contatto con il CLO per garantire che le politiche di sicurezza siano conformi alle leggi e ai regolamenti vigenti, come il GDPR, e per preparare l’azienda ad affrontare le possibili implicazioni legali in caso di violazioni della sicurezza.

Inoltre, il CISO deve stabilire una comunicazione chiara con il COO per garantire che le operazioni aziendali quotidiane siano supportate da una robusta infrastruttura di sicurezza. Questo include la gestione della continuità operativa, la protezione delle supply chain digitali e la pianificazione per il recupero dopo un disastro.

Un’adeguata sinergia tra il CISO e gli altri dirigenti consente di creare una gestione olistica del rischio, dove tutte le aree aziendali lavorano insieme per ridurre e gestire il Cyber risk in modo coerente ed efficace.

Conclusioni

In un contesto sempre più complesso e minaccioso, il CISO svolge un ruolo cruciale nella gestione del rischio informatico. Non solo il CISO è responsabile della protezione delle risorse aziendali e dei dati sensibili, ma è anche il leader che deve integrare la sicurezza nelle decisioni aziendali strategiche e collaborare con altri dirigenti per garantire una gestione di esso.

In qualità di membri attivi della comunità della cybersecurity, i CISO lavorano insieme non solo per difendere le proprie organizzazioni dalle minacce digitali, ma anche per sviluppare strategie proattive che siano in sintonia con gli obiettivi aziendali e ne favoriscano il raggiungimento.

La valutazione dei rischi, lo sviluppo di strategie di mitigazione e l’integrazione del risk management nella pianificazione strategica aziendale, sono attività fondamentali per proteggere l’organizzazione dalle minacce informatiche e garantire una crescita sicura e sostenibile nel lungo periodo.

https://www.ictsecuritymagazine.com/articoli/ciso-gestione-rischio/

Rapid7, Inc. (NASDAQ: RPD), leader nel rilevamento esteso di rischi e minacce, ha annunciato oggi nuove innovazioni per la sua offerta Exposure Management. Queste ultime funzionalità migliorano ulteriormente la Rapid7 Command Platform , offrendo una visibilità della superficie di attacco senza pari e un contesto senza pari. Con questa offerta ampliata, le organizzazioni hanno ora una visibilità continua sui dati sensibili archiviati nei loro ambienti multi-cloud abbinata al contesto di cui hanno bisogno per stabilire le priorità e porre rimedio alle esposizioni in modo efficace.

Poiché le organizzazioni hanno sempre più bisogno di tracciare chi ha accesso ai dati sensibili, garantire che siano adeguatamente protetti e verificare la conformità con le normative sulla privacy in continua evoluzione, la capacità di scoprire e proteggere questi dati dall’endpoint al cloud è diventata una posta in gioco.

Queste nuove innovazioni all’interno di Exposure Management di Rapid7 intrecciano informazioni sui dati sensibili in un modello di punteggio del rischio e definizione delle priorità basato sull’intelligenza artificiale, consentendo ai team di sicurezza di tracciare i dati in relazione alle risorse in base a sedi, proprietà, controlli di accesso e stati di postura.

Inoltre, gli aggiornamenti includono miglioramenti a Remediation Hub , consentendo la gestione dell’esposizione basata sul rischio allineando gravità del rischio, contesto delle risorse, raggiungibilità e sfruttabilità insieme alle soluzioni consigliate. Ciò fornisce ai team di sicurezza un contesto delle risorse migliorato al momento della soluzione ed elimina la necessità per gli analisti di navigare sulla piattaforma per eliminare le esposizioni.

“Oggi i team di sicurezza hanno bisogno di più della semplice visibilità: hanno bisogno che sia abbinata a un contesto e un controllo senza pari per la massima efficienza”, ha affermato Craig Adams, Chief Product Officer di Rapid7. “Questo è esattamente ciò che stiamo offrendo con queste ultime innovazioni. Integrando informazioni sui dati sensibili, priorità basate sull’intelligenza artificiale e guida alla correzione integrata, stiamo assicurando che le organizzazioni possano ridurre in modo proattivo i rischi, accelerare i tempi di risposta e ottenere una visibilità più approfondita sulla loro superficie di attacco”.

Rapid7: funzionalità avanzate per protezione dati e gestione vulnerabilità basata su AI

Queste nuove innovazioni di Exposure Command forniscono alle organizzazioni la possibilità di:

• Scopri e proteggi i dati sensibili in ambienti multi-cloud : integrando i servizi di sicurezza del Cloud Service Provider (CSP) come AWS Macie, GCP DLP e Microsoft Defender, insieme al tagging Infrastructure-as-Code (IaC), i team possono classificare e proteggere i dati sensibili fin dall’inizio, eliminando i processi manuali e migliorando l’igiene dei dati. Queste informazioni vengono inserite direttamente in Layered Context e Attack Path Analysis, assicurando che i team di sicurezza possano dare priorità alle esposizioni che mettono a rischio le informazioni sensibili.
• Dai priorità alle esposizioni con il punteggio delle vulnerabilità generato dall’intelligenza artificiale : la rapida crescita delle vulnerabilità ha superato i vendor e le agenzie come NIST e NVD, lasciando i team di sicurezza senza punteggi CVSS tempestivi per valutare la gravità. Per colmare questa lacuna, il punteggio CVSS basato sull’intelligenza artificiale di Rapid7 utilizza l’apprendimento automatico avanzato per analizzare i dati sulle vulnerabilità, generare punteggi basati sull’intelligence e migliorare l’accuratezza del punteggio Active Risk, aiutando i team a fare chiarezza e a dare priorità alle esposizioni con sicurezza.
• Accelera la correzione dell’esposizione con il contesto di asset integrato : il Surface Command e Remediation Hub ampliato incorpora la guida alla correzione direttamente nell’inventario degli asset e nelle pagine dei dettagli degli asset, eliminando il cambio di piattaforma e semplificando la mitigazione del rischio. Questa integrazione più profonda accelera il tempo medio di correzione (MTTR), arricchisce il contesto degli asset con informazioni di sicurezza di terze parti e ITOps e migliora la collaborazione fornendo alle parti interessate l’intelligence contestuale necessaria per un processo decisionale più rapido e informato.

Per saperne di più sulla Command Platform di Rapid7 o per richiedere una demo, visita https://www.rapid7.com/products/command/request-demo/.

Informazioni su Rapid7

Rapid7, Inc. (NASDAQ: RPD) ha la missione di creare un mondo digitale più sicuro rendendo la sicurezza informatica più semplice e accessibile. Diamo ai professionisti della sicurezza gli strumenti per gestire una superficie di attacco moderna attraverso la nostra tecnologia best-in-class, la ricerca all’avanguardia e un’ampia competenza strategica. Le soluzioni di sicurezza complete di Rapid7 aiutano oltre 11.000 clienti globali a unire la gestione del rischio cloud e il rilevamento delle minacce per ridurre le superfici di attacco ed eliminare le minacce con velocità e precisione. Per maggiori informazioni, visita il nostro sito Web , dai un’occhiata al nostro blog o seguici su LinkedIn o X.

https://www.ictsecuritymagazine.com/notizie/rapid7/

La Commissione Ue ha adottato una nuova strategia di sicurezza interna, denominata ProtectEU, per il prossimo quinquennio aggiornata ai nuovi tipi di minaccia. Una strategia comune per rispondere alla crescente paura dei cittadini europei, il 64% dei quali sono preoccupati per la sicurezza della Ue.

La risposta dell’Europol alla mutazione genetica delle nuove minacce ibride è stata quindi adottata dalla Commissione Ue, che ha presentato il nuovo piano per bocca della vicepresidente Henna Virkkunen e del commissario agli affari interni Magnus Brunner.

La strategia individua sette direttrici d’azione:

• una nuova governance europea in tema di sicurezza interna
• anticipare le minacce alla sicurezza con nuove modalità di condividere le informazioni
• strumenti più efficaci per i servizi di repressione e agenzie più forti
• rafforzare la resilienza contro le minacce ibride
• la lotta contro la grande criminalità organizzata
• la lotta contro il terrorismo e l’estremismo violento
• La Ue come soggetto forte globale in materia di sicurezza

Potenziamento di Europol

In questo contesto, la revisione del mandato dell’Europol nel 2026 per renderla totalmente operativa e in pieno appoggio delle domande degli Stati membri costituisce però la misura guida di questa strategia così che il lavoro annunciato sulla crittografia o sulla realizzazione di uno studio d’impatto nel 2025 su un’eventuale revisione delle attuali norme sulla conservazione dei dati personali; questo, per facilitare in entrambi i casi il lavoro di polizia e l’accesso legale a questi dati criptati.

L’obiettivo in altre parole è rendere l’Europa un’agenzia di sicurezza a tutto tondo, in grado di gestire casi su base transfrontaliera e con un occhio di riguardo sulla crittografia end-to-end delle comunicazioni.

La Commissione studierà inoltre la fattibilità di un nuovo sistema di tracciamento a livello dell’UE del finanziamento del terrorismo.

Crittografia end-to-end

La vice presidente Ue Henna Virkkunen ha detto che, per quanto riguarda la crittografia, la “Tabella di marcia tecnologica sulla crittografia” prevista per il 2026 dovrebbe consentire di “vedere cosa è possibile fare” su questo tema molto delicato. Questo lavoro, che fa parte di un processo in corso da tempo in seno alla Commissione, dovrà individuare e valutare soluzioni tecnologiche che consentano l’accesso legale ai dati coperti da crittografia.

Per quanto riguarda le minacce ibride e la resilienza delle infrastrutture critiche, fisiche o digitali, la Commissione riesaminerà la legge sulla sicurezza informatica nel 2025, individuerà nuove misure per l’uso del cloud in condizioni di sicurezza informatica; proporrà inoltre una strategia per i porti.

Per quanto riguarda Europol, “proporremo di fare di Europol un catalizzatore per la sicurezza europea raddoppiando la sua forza lavoro, rafforzando il suo mandato e migliorando la sua efficienza”, ha detto Magnus Brunner.

Nuove minacce

La Commissione ritiene che diversi “fattori le impediscano di sfruttare appieno il suo potenziale operativo: vanno da un livello insufficiente di risorse al fatto che il suo attuale mandato non copre nuove minacce alla sicurezza, come il sabotaggio, le minacce ibride o la manipolazione delle informazioni”.

“L’obiettivo è rafforzare le competenze tecnologiche e la capacità di Europol di supportare i servizi nazionali di contrasto, migliorare il coordinamento con altre agenzie e organismi e con gli Stati membri, rafforzare i partenariati strategici con i paesi partner e il settore privato”, aggiunge la Commissione. All’ordine del giorno ci sarà anche la complementarità delle agenzie e degli organismi dell’UE responsabili della sicurezza interna. Anche il mandato di Eurojust sarà rafforzato nel 2026 per migliorare il lavoro con Europol.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/protecteu-la-nuova-strategia-di-sicurezza-ue-crittografia-end-to-end-e-europol-come-lfbi-europea/526787/

La governance della sicurezza informatica è un aspetto cruciale per qualsiasi organizzazione che voglia proteggere i propri dati e garantire la continuità operativa.

La compliance informatica consiste nel rispetto di leggi, regolamenti e standard specifici che disciplinano l’uso, la protezione e la gestione delle tecnologie informatiche all’interno di un’azienda. Questi requisiti sono progettati per assicurare che le organizzazioni tutelino i dati sensibili, garantiscano la sicurezza dei sistemi e operino in conformità con le normative vigenti.

Compliance Normativa e Gestione dei Rischi Informatici

La compliance normativa gioca quindi un ruolo fondamentale in questo contesto, le normative impongono standard e procedure specifiche che devono essere seguite per garantire un livello adeguato di protezione delle informazioni.

Sicurezza delle informazioni, Cybersecurity e Data Protection costituiscono i tre elementi fondamentali per una completa gestione degli aspetti della sicurezza informatica.

Oggi, indipendentemente dal settore in cui opera, un’organizzazione deve garantire una gestione efficace e completa della sicurezza delle informazioni. In un’epoca in cui la criminalità informatica è in forte crescita e colpisce aziende di qualsiasi dimensione e notorietà, tale approccio risulta imprescindibile.

Un’adeguata gestione degli aspetti legali e di conformità, supportata da una solida conoscenza giuridica, rappresenta un complemento essenziale alla sicurezza informatica. Trascurare il quadro normativo e le sue interazioni può infatti esporre le aziende a rischi significativi, con possibili conseguenze rilevanti.

Normative rilevanti: GDPR, NIS, ISO/IEC

La cybersecurity è, senza dubbio, un aspetto fondamentale della compliance, in quanto strettamente legata alla conformità normativa. Di conseguenza, i sistemi di sicurezza devono necessariamente tenere conto delle implicazioni legali.

Un attacco informatico rappresenta, inevitabilmente, anche una minaccia dal punto di vista legale, come dimostrano le richieste di riscatto, che costituiscono vere e proprie forme di estorsione.

Per operare nel rispetto delle normative e, al contempo, garantire una difesa adeguata contro un attacco informatico, è fondamentale adottare soluzioni progettate e implementate in anticipo. La prevenzione in ambito cibernetico è essenziale, poiché eventuali vulnerabilità nei sistemi di sicurezza IT possono comportare costi elevati. Tuttavia, la preparazione non è importante solo per ragioni economiche, ma anche per assicurare la conformità legale.

Per questo motivo, è indispensabile un approccio strategico e integrato che consideri congiuntamente gli aspetti legali, organizzativi e tecnici. Solo chi possiede competenze specifiche in questi tre ambiti può sviluppare misure di sicurezza realmente efficaci. In caso contrario, mancherà sempre una visione olistica, indispensabile per affrontare minacce complesse.

Oggi, gli attacchi alla sicurezza informatica rappresentano una delle sfide più gravi per le aziende. Durante un attacco, non vi è margine di manovra per improvvisare: la resilienza deve essere immediata.

Di conseguenza, la conformità assume un ruolo sempre più centrale nella gestione aziendale. In questo scenario, il management ha la responsabilità di garantire che l’organizzazione rispetti e applichi le normative sulla protezione dei dati e sulla sicurezza delle informazioni. L’interconnessione tra la tutela dei dati e i potenziali danni, anche reputazionali, impone la necessità di un’infrastruttura IT sicura ed efficiente.

Le normative sulla cybersecurity variano a seconda del settore e della giurisdizione, ma alcune regolamentazioni hanno una portata globale o europea, influenzando direttamente la gestione della sicurezza nei sistemi informatici. Tra le principali troviamo il Regolamento Generale sulla Protezione dei Dati (GDPR), la Direttiva NIS e gli standard ISO/IEC.

Normative e Standard di Riferimento per la Sicurezza Digitale

Il GDPR è uno dei regolamenti più significativi e impattanti nel campo della protezione dei dati personali. Questa legislazione europea impone alle organizzazioni una serie di obblighi da rispettare per assicurare un trattamento sicuro e conforme delle informazioni personali dei cittadini dell’Unione Europea.

Tra i principali requisiti previsti, vi è la necessità di ottenere un consenso chiaro ed esplicito per la raccolta e l’utilizzo dei dati, l’obbligo di adottare misure di sicurezza adeguate a proteggerli e la necessità di segnalare eventuali violazioni entro 72 ore dall’accaduto.

Il regolamento impone quindi obblighi stringenti sulla protezione dei dati personali e sulla gestione della privacy.

La Direttiva NIS (Network and Information Security) istituita nel 2016 è una regolamentazione europea che impone alle organizzazioni dei settori critici (energia, trasporti, finanziario, sanitario) di adottare misure di sicurezza specifiche per la protezione delle reti e dei sistemi informatici. Attraverso questa direttiva, infatti, sono state definite sia pratiche precise per la cybersecurity sia anche coloro che le devono adottare, in particolare strutture che si occupano di servizi essenziali.

L’emanazione della NIS2 rappresenta una versione aggiornata e migliorata della direttiva, con cui l’Unione Europea mira a rendere le aziende, che costituiscono il cuore del tessuto socioeconomico, più affidabili in termini di sicurezza informatica. Questa nuova disciplina amplia significativamente il numero di imprese soggette agli obblighi di protezione, passando da alcune centinaia a decine di migliaia. Le aziende coinvolte devono adottare un approccio strutturato alla sicurezza, che includa l’analisi dei rischi, la gestione degli incidenti, la continuità operativa, la protezione della supply chain e altre misure specifiche.

La NIS2 definisce con maggiore chiarezza le responsabilità del management aziendale, stabilendo anche tempistiche precise per la notifica degli incidenti di sicurezza: gli eventi di particolare rilevanza devono essere segnalati entro 24 ore. Inoltre, impone ai dirigenti non solo di garantire l’attuazione della direttiva, ma anche di supervisionarne l’applicazione. Il mancato rispetto delle disposizioni può comportare sanzioni economiche e, nei casi più gravi, la sospensione temporanea dalle funzioni manageriali.

L’impatto della NIS2 si estende anche agli operatori del settore IT, con particolare attenzione alla sicurezza della supply chain. Le aziende sono infatti tenute a valutare le vulnerabilità dei propri fornitori e a adottare misure correttive qualora necessario, rafforzando così l’intero ecosistema della sicurezza informatica.

L’obiettivo principale è aumentare la resilienza informatica e garantire una risposta rapida agli incidenti di sicurezza.

Gli standard ISO/IEC 27001 e 27002 rappresentano un riferimento internazionale per la gestione della sicurezza delle informazioni. Mentre la ISO/IEC 27001 stabilisce i requisiti per un sistema di gestione della sicurezza delle informazioni (ISMS), la ISO/IEC 27002 fornisce linee guida dettagliate sulle migliori pratiche per la protezione dei dati aziendali. È importante evidenziare che lo standard ISO 27001, che fornisce linee guida per l’implementazione delle migliori pratiche in materia di sicurezza delle informazioni, può rappresentare un framework efficace per conformarsi ai requisiti della NIS2.

Modello di Governance e Responsabilità Aziendali

Il rispetto della conformità normativa non è solo una questione tecnica, ma coinvolge anche il top management delle organizzazioni. I dirigenti hanno la responsabilità di garantire che le politiche di sicurezza informatica siano allineate con le normative in vigore e che vengano implementate in modo efficace.

Uno degli obblighi principali è la definizione di un modello di governance della sicurezza che comprenda l’assegnazione chiara delle responsabilità, la formazione del personale e l’adozione di misure di prevenzione e mitigazione dei rischi. Inoltre, le aziende devono predisporre un registro delle attività di trattamento dei dati, nominare un Data Protection Officer (DPO) se richiesto dalla legislazione e assicurarsi che i processi aziendali rispettino i principi di privacy by design e by default.

Va da sé che, se questi obblighi organizzativi e di monitoraggio non sono sufficientemente adempiuti e la società è quindi danneggiata, vi è anche una responsabilità personale degli amministratori delegati.

Il top management infine è anche responsabile della gestione degli incidenti di sicurezza. In caso di violazione dei dati, la legislazione impone obblighi specifici, come la notifica tempestiva alle autorità di controllo e agli utenti interessati. Il mancato rispetto di tali obblighi può comportare multe severe e danni reputazionali significativi.

Audit e Verifica della Conformità Informatica

Per garantire la conformità alle normative, le organizzazioni devono implementare processi di audit e verifica della sicurezza informatica. L’IT auditing consiste nell’analisi, nella valutazione e nella revisione dei sistemi informatici, delle infrastrutture tecnologiche, delle applicazioni, della gestione e dell’utilizzo dei dati, nonché delle politiche e delle operazioni aziendali. Questo processo viene svolto garantendo il rispetto degli standard riconosciuti, delle policy interne e delle normative vigenti.

Il suo ruolo è fondamentale per individuare e ridurre i rischi legati alla sicurezza informatica, alla gestione dei dati e alla continuità operativa. Attraverso specifiche procedure e controlli, gli auditor IT verificano l’aderenza ai protocolli di sicurezza, identificano eventuali vulnerabilità nei sistemi e suggeriscono interventi per migliorare la protezione delle infrastrutture digitali dell’azienda.

Questi controlli servono a identificare eventuali vulnerabilità e a correggerle prima che possano essere sfruttate da attori malintenzionati o comportare violazioni normative.

Gli audit possono essere interni o esterni. Gli audit interni vengono condotti dal personale dell’azienda o da consulenti incaricati, mentre quelli esterni vengono eseguiti da enti certificatori o autorità di regolamentazione. Entrambi i tipi di audit prevedono l’analisi della documentazione, la verifica delle misure di sicurezza implementate e la valutazione dei processi aziendali in relazione alle normative vigenti.

Attraverso un’analisi approfondita dei protocolli di sicurezza, del flusso dei dati e delle infrastrutture IT, gli auditor individuano le vulnerabilità e i potenziali rischi che potrebbero compromettere l’integrità e la stabilità dei sistemi aziendali.

Per le aziende, la sicurezza informatica non è più un’opzione o un aspetto marginale, ma rappresenta una necessità strategica fondamentale per la loro continuità e crescita. Le violazioni informatiche possono provocare non solo ingenti perdite economiche, ma anche danni irreversibili alla reputazione e alla fiducia dei clienti.

In un mercato altamente competitivo, dove la credibilità è un valore cruciale, garantire la protezione e la resilienza delle infrastrutture IT diventa una priorità assoluta per qualsiasi organizzazione.

Tra gli strumenti più utilizzati per la verifica della conformità ci sono i sistemi di gestione della sicurezza delle informazioni (ISMS), le piattaforme di monitoraggio della sicurezza, i test di penetrazione (penetration testing) e le analisi di rischio periodiche. Questi strumenti consentono di monitorare costantemente l’infrastruttura IT e di individuare tempestivamente eventuali criticità.

L’automazione dei processi di compliance è un ulteriore passo avanti per migliorare l’efficienza della cybersecurity governance. Attraverso soluzioni software dedicate, le aziende possono automatizzare la raccolta dei dati, la generazione di report di conformità e la gestione delle politiche di sicurezza.

Le imprese devono conoscere le normative applicabili e implementare le misure necessarie per rispettarle, evitando così rischi legali e danni alla propria reputazione.

L’IT auditing e la compliance normativa sono strettamente interconnessi. Gli audit di sicurezza offrono una visione dettagliata delle procedure e delle tecnologie aziendali, evidenziando eventuali carenze o violazioni normative.

Queste analisi sono essenziali per i responsabili della conformità, poiché permettono di individuare criticità e definire strategie mirate per allinearsi ai requisiti normativi.

Sanzioni e Conseguenze della Non Conformità

Il mancato rispetto delle normative sulla sicurezza informatica può comportare conseguenze gravi per le aziende, sia in termini economici che reputazionali. Le sanzioni variano a seconda della legislazione applicabile, ma in generale possono includere multe significative, restrizioni operative e danni d’immagine.

Nel caso del GDPR, le multe possono arrivare fino al 4% del fatturato annuo globale dell’azienda o a 20 milioni di euro, a seconda di quale cifra sia più elevata. Oltre alle multe, le autorità di controllo possono imporre limitazioni o sospensioni delle attività di trattamento dei dati, con impatti significativi sulle operazioni aziendali.

Con riguardo alla mancata osservanza degli obblighi della NIS 2, questa prevede che le sanzioni variano in base all’appartenenza al servizio importante o essenziale.

Le multe per le imprese dei servizi considerati importanti possono arrivare fino a 7.000.000 euro o all’1,4% del fatturato annuo complessivo, mentre per le entità essenziali possono raggiungere i 10.000.000 euro o il 2% del fatturato annuo complessivo, a seconda di quale importo sia maggiore.

Per evitare condanne, le organizzazioni devono adottare un approccio proattivo alla gestione della compliance. Ciò significa implementare un programma di gestione della conformità, monitorare costantemente le modifiche normative e adeguare tempestivamente le proprie politiche e procedure interne.

Una gestione efficace della conformità normativa comporta anche l’implementazione di controlli rigorosi sulle autorizzazioni e sulle modalità di accesso ai sistemi informatici. È essenziale mantenere un registro dettagliato con marcatura temporale e validità legale, così da poter tracciare e documentare ogni accesso, facilitando eventuali indagini in caso di data breach.

Inoltre, la gestione della non conformità dovrebbe includere un piano di risposta agli incidenti, che preveda azioni specifiche per mitigare gli effetti negativi di una violazione normativa. Un’adeguata comunicazione con le autorità di regolamentazione e una strategia di remediation efficace possono contribuire a ridurre le conseguenze legali e finanziarie di una mancata conformità.

Governance della Sicurezza Informatica: Strategie di Protezione Aziendale

La compliance normativa nella governance della sicurezza informatica è da ritenersi un aspetto essenziale perché porta ad un miglioramento organizzativo in termini di maggiore efficienza, efficacia e trasparenza dell’intera Organizzazione. Il rispetto delle normative come GDPR, NIS e ISO/IEC richiede un impegno costante da parte delle aziende e del top management, con una particolare attenzione alla gestione dei rischi, all’implementazione di controlli di sicurezza adeguati e alla verifica periodica della conformità.

Investire nella sicurezza informatica e nella conformità non solo aiuta a evitare sanzioni e rischi legali, ma rappresenta anche un vantaggio competitivo, migliorando la fiducia di clienti e partner. La chiave per una governance efficace risiede in un approccio strutturato, nell’adozione di tecnologie avanzate e in una cultura aziendale orientata alla protezione dei dati e alla gestione responsabile delle informazioni.

https://www.ictsecuritymagazine.com/articoli/compliance-governance/

In un’epoca in cui la complessità e la velocità delle minacce informatiche superano la capacità di risposta umana, il RAG Agentico introduce un cambio di paradigma: sistemi capaci non solo di informare, ma di agire. Questo articolo accompagna il lettore in un viaggio tra architetture emergenti, applicazioni reali e scenari futuri in cui l’intelligenza artificiale agentica diventa protagonista di una cybersecurity più proattiva, autonoma e adattiva.

Introduzione

Nel panorama in rapida evoluzione della sicurezza informatica, l’implementazione di sistemi di intelligenza artificiale avanzati rappresenta una delle frontiere più promettenti per contrastare minacce sempre più sofisticate. In particolare, l’integrazione di modelli di Retrieval-Augmented Generation (RAG) con capacità agentiche sta emergendo come un paradigma rivoluzionario che supera i limiti delle tradizionali architetture di sicurezza.

Secondo recenti studi, il mercato globale dell’intelligenza artificiale nella cybersecurity ha raggiunto un valore di 24,8 miliardi di dollari nel 2024 e si prevede che crescerà fino a 29,6 miliardi di dollari nel 2025, superando i 146,5 miliardi di dollari entro il 2034, con l’IA agentica destinata a occupare una quota crescente di questo mercato. Questo articolo esplora l’evoluzione del RAG Agentico (Agentic RAG) nel contesto della cybersecurity, analizzando le sue applicazioni pratiche, i benefici rispetto ai sistemi convenzionali e le prospettive future per la protezione proattiva delle infrastrutture digitali.

Fondamenti del RAG Agentico

Il RAG Agentico rappresenta una significativa evoluzione rispetto ai tradizionali sistemi di Retrieval-Augmented Generation. Il RAG convenzionale combina le capacità generative dei Large Language Models (LLM) con meccanismi di recupero esterni per migliorare la rilevanza e la tempestività delle risposte. Tuttavia, questi sistemi sono limitati da flussi di lavoro lineari e statici che ne riducono l’efficacia in scenari complessi di sicurezza informatica.

L’introduzione di agenti autonomi nel processo RAG trasforma radicalmente questo paradigma. Il RAG Agentico incorpora pattern di design agentici fondamentali – riflessione (reflection), pianificazione (planning), utilizzo di strumenti (tool use) e collaborazione multi-agente (multi-agent collaboration) – per gestire dinamicamente le strategie di recupero, raffinare iterativamente la comprensione contestuale e adattare i flussi di lavoro attraverso strutture operative chiaramente definite.

A differenza dei sistemi RAG tradizionali, dove il recupero delle informazioni e la generazione seguono percorsi predeterminati, il RAG Agentico introduce capacità di presa di decisioni autonome. Gli agenti possono valutare indipendentemente la complessità delle query, ottimizzare le strategie di recupero e orchestrare dinamicamente i flussi di lavoro per affrontare scenari di sicurezza in tempo reale. Questi agenti non sono limitati ai semplici sistemi di domanda e risposta, ma possono interagire proattivamente con molteplici fonti di dati, come database di vulnerabilità, knowledge graph, sistemi di logging e intelligence sulle minacce in tempo reale.

Architetture di RAG Agentico per la Sicurezza Informatica

Nel contesto della sicurezza informatica, le architetture di RAG Agentico possono essere classificate in diverse categorie, ciascuna con caratteristiche e applicazioni specifiche:

Sistema a Singolo Agente

Il sistema RAG Agentico a singolo agente (Single-Agent Agentic RAG) funge da strumento centralizzato di supporto decisionale in cui un unico agente gestisce il recupero, l’instradamento e l’integrazione delle informazioni. Questa architettura semplifica il sistema consolidando questi compiti in un agente unificato, risultando particolarmente efficace per configurazioni con un numero limitato di strumenti o fonti di dati.

In un contesto di sicurezza, questo tipo di sistema può analizzare i log di accesso di un’applicazione, identificare modelli di attacco, recuperare informazioni pertinenti da una knowledge base di best practice di sicurezza e generare raccomandazioni per affrontare le vulnerabilità rilevate. Un vantaggio significativo è la capacità dell’agente di comprendere il contesto organizzativo, adattando le sue raccomandazioni alle specifiche politiche di sicurezza dell’organizzazione.

Il flusso di lavoro tipico comprende:

1. Ricezione e valutazione della query;
2. Selezione delle fonti di conoscenza appropriate (database strutturati, ricerca semantica, ricerca web);
3. Integrazione dei dati e sintesi tramite LLM;
4. Generazione di una risposta completa e contestualmente rilevante.

Sistema Multi-Agente

L’architettura RAG Agentica multi-agente (Multi-Agent Agentic RAG) rappresenta un’evoluzione modulare e scalabile dei sistemi a singolo agente, progettata per gestire flussi di lavoro complessi e diversi tipi di query sfruttando più agenti specializzati. Invece di fare affidamento su un singolo agente per gestire tutte le attività, questo sistema distribuisce le responsabilità su più agenti, ciascuno ottimizzato per un ruolo specifico o una fonte di dati.

Nel contesto della sicurezza informatica, un sistema multi-agente potrebbe comprendere:

• Un agente di intelligence sulle minacce che raccoglie informazioni da varie fonti come NVD (National Vulnerability Database) ed ExploitDB;
• Un agente di triage che funge da router, indirizzando le informazioni all’agente appropriato;
• Un agente di gestione delle vulnerabilità che valuta l’impatto e la probabilità di una vulnerabilità;
• Un agente offensivo che verifica se una vulnerabilità può essere sfruttata;
• Un agente di remediation che implementa le contromisure necessarie.

Questa architettura è particolarmente efficace per le organizzazioni con infrastrutture complesse e requisiti di sicurezza diversificati, permettendo operazioni parallele che migliorano significativamente l’efficienza e la velocità di risposta.

RAG Agentico Correttivo

Il RAG Agentico Correttivo (Corrective RAG) introduce meccanismi per autocorreggere i risultati del recupero, migliorando l’utilizzo dei documenti e la qualità della generazione delle risposte. Incorporando agenti intelligenti nel flusso di lavoro, il RAG Correttivo garantisce il raffinamento iterativo dei documenti contestuali e delle risposte, minimizzando gli errori e massimizzando la rilevanza.

Per un team di sicurezza, questa architettura può essere invaluabile per analizzare grandi volumi di log di sicurezza, identificare falsi positivi e concentrarsi sulle minacce reali. Il sistema valuta dinamicamente la rilevanza dei documenti recuperati, esegue azioni correttive quando i documenti sono al di sotto della soglia di rilevanza e affina le query per migliorare la precisione della risposta generata.

Il sistema è costruito su cinque agenti chiave:

1. Agente di recupero del contesto: recupera documenti iniziali dal database vettoriale;
2. Agente di valutazione della rilevanza: valuta i documenti recuperati e segnala quelli irrilevanti;
3. Agente di raffinamento delle query: riscrive le query per migliorare i risultati;
4. Agente di recupero di conoscenza esterna: esegue ricerche web o accede a fonti alternative quando necessario;
5. Agente di sintesi della risposta: sintetizza tutte le informazioni validate in una risposta coerente.

RAG Agentico Adattivo

Il RAG Agentico Adattivo (Adaptive RAG) migliora la flessibilità e l’efficienza dei modelli linguistici di grandi dimensioni regolando dinamicamente le strategie di gestione delle query in base alla loro complessità. A differenza dei flussi di lavoro di recupero statici, il RAG Adattivo impiega un classificatore per valutare la complessità della query e determinare l’approccio più appropriato, dal recupero in un unico passaggio al ragionamento in più passaggi, o persino bypassando il recupero per query semplici.

Questa architettura è particolarmente utile nei sistemi di rilevamento e risposta alle minacce, dove le query possono variare da semplici verifiche di stati a complesse analisi forensi. Il sistema può allocare in modo efficiente le risorse, dedicando più potenza di elaborazione alle indagini complesse mentre gestisce rapidamente le richieste di routine.

Il principio fondamentale del RAG Adattivo sta nella sua capacità di adattare dinamicamente le strategie di recupero:

• Query semplici: utilizza la conoscenza preesistente dell’LLM senza recupero aggiuntivo;
• Query moderate: esegue un recupero in un singolo passaggio per ottenere il contesto minimo necessario;
• Query complesse: attiva un processo di recupero in più passaggi con raffinamento iterativo.

RAG Agentico Basato su Grafi

Il RAG Agentico Basato su Grafi (Graph-Based Agentic RAG) integra database di conoscenza basati su grafi con il recupero di documenti non strutturati. Combinando fonti di dati strutturati e non strutturati, questo framework migliora i sistemi RAG con un migliore ragionamento e una maggiore precisione di recupero. Impiega banche di recuperatori modulari, interazione dinamica degli agenti e cicli di feedback per garantire output di alta qualità.

Nel contesto della cybersecurity, questa architettura eccelle nella mappatura di complesse relazioni tra vulnerabilità, asset e controlli di sicurezza. Ad esempio, può tracciare le connessioni tra una specifica vulnerabilità (CVE), le debolezze software associate (CWE), i modelli di attacco potenziali (CAPEC) e le tecniche di attacco specifiche (ATT&CK), fornendo una visione olistica del panorama delle minacce.

Due implementazioni significative di questo approccio sono:

1. Agent-G: un framework agentico che integra conoscenze basate su grafi con recupero di documenti non strutturati. Agent-G utilizza un’architettura modulare con una banca di recuperatori, un modulo critico per la valutazione dei dati recuperati, e interazioni dinamiche tra agenti per garantire un recupero e una sintesi coesivi.
2. GeAR (Graph-Enhanced Agent for RAG): un’architettura che incorpora tecniche di espansione del grafo e un framework basato su agenti per migliorare i tradizionali recuperatori. GeAR permette una traversata più profonda delle relazioni tra entità cyber, facilitando l’analisi di query multi-hop che richiedono ragionamento su più informazioni interconnesse.

Caso di studio: Agente di sicurezza difensivo con RAG

Un esempio concreto dell’applicazione del RAG Agentico nella sicurezza informatica è lo sviluppo di un agente di sicurezza difensivo. Questo agente è progettato per analizzare i log di un server applicativo, identificare modelli di attacco e consultare una knowledge base interna di best practice di sicurezza contro particolari classi di vulnerabilità. Infine, fornisce raccomandazioni su come affrontare le vulnerabilità rilevate.

Il flusso di lavoro dell’agente segue questi passaggi specifici:

• Analisi dei Log: L’agente esamina i file di log del server applicativo per identificare potenziali indicatori di compromissione o modelli di attacco. È in grado di riconoscere tentativi falliti di accesso, richieste sospette e altre anomalie che potrebbero indicare un’attività malevola.
• Consultazione della knowledge base: Per ogni modello di attacco identificato, l’agente consulta una knowledge base interna di best practice di sicurezza. Questa knowledge base è implementata come un database vettoriale che memorizza le misure di sicurezza rilevanti per varie classi di vulnerabilità.
• Generazione di raccomandazioni: Basandosi sulle informazioni recuperate dalla knowledge base, l’agente genera raccomandazioni specifiche su come affrontare le vulnerabilità identificate. Queste raccomandazioni possono includere modifiche alla configurazione del server, aggiornamenti del codice o altre misure di mitigazione.

Un aspetto significativo di questo agente è la sua consapevolezza organizzativa; è consapevole delle best practice di sicurezza dell’organizzazione e può formulare raccomandazioni di conseguenza. Questa contestualizzazione è fondamentale per garantire che le soluzioni proposte siano allineate con le politiche e i vincoli specifici dell’organizzazione.

Vantaggi del RAG Agentico nella Sicurezza Informatica

L’implementazione del RAG Agentico nei sistemi di sicurezza informatica offre numerosi vantaggi rispetto ai tradizionali approcci RAG:

Flessibilità migliorata

I sistemi RAG Agentici possono estrarre dati da più knowledge base esterne e consentire l’uso di strumenti esterni. Le pipeline RAG standard collegano un LLM a un singolo dataset esterno, come indicato dal Pacific Northwest National Laboratory (PNNL), limitando la loro capacità di integrare diverse fonti di informazioni sulla sicurezza. I sistemi agentici possono accedere e correlare dati da diverse fonti, come database di vulnerabilità, log di sistema e intelligence sulle minacce, fornendo una visione più completa del panorama delle minacce.

Adattabilità

Mentre i sistemi RAG tradizionali sono strumenti reattivi di recupero dati che trovano informazioni rilevanti in risposta a query specifiche, i sistemi RAG Agentici possono adattarsi a contesti mutevoli e accedere dinamicamente a fonti di dati pertinenti. Questa capacità è cruciale nel panorama della sicurezza in rapida evoluzione, dove le minacce emergenti richiedono un adattamento rapido e una risposta contestuale. Secondo studi condotti dalla Gartner, l’IA agentica migliorerà l’efficienza dei Security Operations Center (SOC) del 40% entro il 2026 rispetto al 2024, con un conseguente spostamento dei ruoli SOC verso lo sviluppo, la manutenzione e la sicurezza dell’IA.

Precisione

I sistemi RAG tradizionali non validano né ottimizzano i propri risultati, richiedendo l’intervento umano per discernere se il sistema sta trovando i dati giusti. Al contrario, gli agenti AI possono iterare su processi precedenti per ottimizzare i risultati nel tempo, migliorando continuamente la precisione della rilevazione delle minacce e delle raccomandazioni di risposta. Ad esempio, CrowdStrike ha riportato che il suo sistema Charlotte AI Detection Triage, lanciato nel febbraio 2025, offre un’accuratezza superiore al 98% nel triage delle rilevazioni di sicurezza, eliminando più di 40 ore di lavoro manuale a settimana.

Scalabilità

Con reti di agenti RAG che lavorano insieme, attingendo a più fonti di dati esterne e utilizzando capacità di chiamata di strumenti e pianificazione, il RAG Agentico offre una maggiore scalabilità. Gli sviluppatori possono costruire sistemi RAG flessibili e scalabili in grado di gestire una vasta gamma di query di sicurezza, dall’analisi dei log di routine all’indagine di incidenti complessi. Secondo quanto riportato da ReliaQuest, il loro agente AI autonomo per le operazioni di sicurezza automatizza il 98% degli alert di sicurezza e riduce il tempo di contenimento delle minacce a meno di cinque minuti.

Multimodalità

I sistemi RAG Agentici beneficiano dei recenti progressi nei LLM multimodali per lavorare con una gamma più ampia di tipi di dati, come immagini e file audio. Questa capacità è particolarmente preziosa nell’analisi della sicurezza, dove le minacce possono manifestarsi in diverse forme di dati, dalle immagini che contengono codice malevolo nascosto ai file audio che potrebbero essere utilizzati in attacchi di deepfake.

Efficienza operativa

Secondo i dati forniti da Darktrace, il loro sistema RAG agentico riduce i tempi di triage del 90%, consentendo ai team di sicurezza di concentrarsi su attività più strategiche. Questo miglioramento dell’efficienza operativa è particolarmente importante alla luce della carenza globale di quasi 4 milioni di professionisti della cybersecurity, come riportato dal World Economic Forum.

Soluzioni di RAG Agentico per la Cybersecurity: casi concreti

Diverse aziende di cybersecurity stanno già offrendo soluzioni di RAG agentico per migliorare l’efficienza e rafforzare la sicurezza. Ecco alcuni esempi significativi:

CyRAG e GraphCyRAG

Il Pacific Northwest National Laboratory (PNNL) ha sviluppato due sistemi RAG distinti per la cybersecurity: CyRAG e GraphCyRAG. CyRAG è progettato per gestire dati strutturati da database di cybersecurity come CVE e CWE, consentendo agli utenti di accedere a informazioni dettagliate su vulnerabilità e debolezze specifiche. GraphCyRAG, invece, sfrutta dati basati su grafo da Neo4j, esplorando le complesse relazioni tra vulnerabilità, debolezze, modelli di attacco e attacchi conosciuti. Attraverso il recupero di dati in tempo reale e la generazione contestuale, questi sistemi offrono insight più profondi e intelligenza azionabile, migliorando significativamente il modo in cui i dati di cybersecurity vengono accessiti e utilizzati per la mitigazione efficace delle minacce.

Piattaforma GreyMatter di ReliaQuest

ReliaQuest ha lanciato nel settembre 2024 un agente di sicurezza AI autonomo che elabora gli alert di sicurezza 20 volte più velocemente dei metodi tradizionali, migliorando al contempo la precisione del rilevamento delle minacce del 30%. L’agente, addestrato su oltre un decennio di dati di risposta agli incidenti, gestisce autonomamente i compiti di sicurezza di livello 1 e 2, analizzando gli alert ed eseguendo le azioni necessarie, utilizzando dati in tempo reale specifici per il cliente in un ambiente sicuro e privato per eliminare le allucinazioni dell’IA.

CrowdStrike Falcon Agent

L’agente Falcon di CrowdStrike è progettato per integrare varie funzionalità avanzate di protezione degli endpoint, operando con un’architettura snella e leggera inferiore a 20 MB. La piattaforma, guidata dall’IA e dal CrowdStrike Security Cloud, monitora indicatori di attacco, intelligence sulle minacce e dati di telemetria per fornire un’identificazione accurata delle minacce, protezione e remediation automatizzate, caccia avanzata alle minacce e prioritizzazione delle vulnerabilità.

“Digital Employee” Alex di Twine

Twine, una startup di cybersecurity con sede a Tel Aviv, mira ad affrontare la carenza di talenti sviluppando agenti IA come Alex, il suo primo “dipendente digitale”, specializzato in gestione delle identità e degli accessi (IAM). In questo ruolo, Alex svolge il compito di identificare vulnerabilità e adottare misure proattive per bloccare accessi non autorizzati, riducendo il carico di lavoro per i team IT e di cybersecurity.

Darktrace / ENDPOINT

Utilizzando l’IA agentica, Darktrace monitora, rileva e mitiga autonomamente i potenziali rischi informatici mentre si verificano, garantendo un apprendimento e una protezione continui. Darktrace / ENDPOINT utilizza agenti leggeri per analizzare i dati provenienti da ogni pacchetto e connessione di rete per scoprire attività insolite in tempo reale. L’IA auto-apprendente viene distribuita localmente, addestrata esclusivamente sui dati aziendali senza richiedere una connessione cloud, fornendo risultati di sicurezza su misura mantenendo la privacy.

Limiti e considerazioni

Nonostante i suoi numerosi vantaggi, il RAG Agentico nella sicurezza informatica presenta anche alcune limitazioni e considerazioni:

Complessità di coordinamento

Gestire la comunicazione e la delega dei compiti tra gli agenti nei sistemi multi-agente richiede meccanismi di orchestrazione sofisticati. Questa complessità può portare a sfide di implementazione e potenziali fallimenti di coordinamento che potrebbero compromettere l’efficacia del sistema di sicurezza. Secondo un rapporto di Gartner, le aziende devono gestire centinaia o migliaia di agenti in ambienti in rapido cambiamento, il che aumenta significativamente la complessità operativa.

Overhead computazionale

L’elaborazione parallela di più agenti può aumentare significativamente l’utilizzo delle risorse. Questa intensità computazionale può rappresentare una sfida per le organizzazioni con risorse limitate o in scenari dove è richiesta una risposta in tempo reale alle minacce. Come evidenziato da Darktrace, gli agenti possono consumare CPU, memoria e risorse di rete, potenzialmente impattando le prestazioni, in particolare in ambienti con carichi di lavoro elevati o risorse limitate.

Integrazione dei dati

Sintetizzare gli output da diverse fonti in una risposta coerente non è un compito banale e richiede capacità LLM avanzate. Nel contesto della sicurezza, dove l’accuratezza è fondamentale, le incoerenze nell’integrazione dei dati potrebbero portare a falsi positivi o, peggio, a falsi negativi nella rilevazione delle minacce. Il fenomeno delle “allucinazioni AI” rimane una preoccupazione critica, anche se i sistemi RAG agentici sono progettati per mitigare questo rischio attingendo a fonti di dati verificate.

Vulnerabilità di sicurezza nel RAG

La complessità dei sistemi RAG introduce nuove vulnerabilità specifiche. Ad esempio, il RAG si affida a componenti multipli, tra cui piattaforme di hosting per LLM, librerie open-source e database vettoriali, ciascuno con potenziali vulnerabilità. Ricerche hanno individuato numerose CVE non patchate in piattaforme come Ollama e server mal configurati che eseguono llama.cpp e ChromaDB, esponendo migliaia di LLM a potenziali exploit. Poiché l’IA agentica condivide molti componenti con il RAG, affronta rischi simili, inclusi furto di dati, manipolazione del servizio e sabotaggio.

Minacce emergenti: avvelenamento dei dati e prompt injection

Le tecniche avanzate di attacco come l’avvelenamento dei dati (data poisoning) e l’iniezione di prompt (prompt injection) rappresentano minacce significative per i sistemi RAG agentici. I ricercatori hanno dimostrato che anche un attaccante con budget limitato potrebbe realisticamente avvelenare lo 0,01% dei dataset LAION-400M o COYO-700M nel 2023 per soli 60 dollari. In modo simile, gli attaccanti potrebbero utilizzare tecniche di iniezione di prompt per manipolare gli agenti IA e indurli a comportamenti non intenzionali, come l’approvazione di transazioni fraudolente nel contesto dell’e-commerce.

Framework di gestione del rischio nell’IA Agentica

La gestione efficace del rischio nei sistemi RAG agentici richiede un approccio strutturato. Un Framework di Gestione del Rischio (Risk Management Framework) sottolinea l’idea che la cybersecurity riguardi la gestione efficace dei rischi piuttosto che l’eliminazione completa delle minacce. Gli elementi chiave di questo framework nel contesto dell’IA agentica includono:

Minaccia (Threat)

Qualsiasi potenziale rischio che potrebbe compromettere la sicurezza dei sistemi, dei dati o della rete di un’organizzazione quando è coinvolta l’IA agentica. Le minacce possono essere analizzate esaminando la superficie di attacco, che si espande significativamente con l’IA agentica. A differenza dei modelli AI standard, dove le minacce sono limitate agli input, all’elaborazione, agli output e alle vulnerabilità del software, gli agenti AI espandono la superficie di attacco per includere l’intera catena di interazioni che iniziano, molte delle quali rimangono invisibili agli operatori umani o di sistema.

Vulnerabilità (Vulnerability)

Il grado in cui un’organizzazione è suscettibile ai danni derivanti da attacchi informatici. La vulnerabilità ha due dimensioni: oggettiva e soggettiva. La vulnerabilità oggettiva si riferisce a fattori politici, sociali, economici e demografici che determinano la suscettibilità agli attacchi informatici, mentre la vulnerabilità soggettiva riguarda la percezione del rischio da parte di un’entità. L’uso negligente dei sistemi di IA, come riportato dalle aziende di cybersecurity, può portare a una percezione errata del rischio.

Impatto Potenziale (Potential Impact)

Il possibile impatto o danno che può verificarsi quando una vulnerabilità viene sfruttata da una minaccia. L’impatto degli attacchi informatici può includere furto di identità, danni alla reputazione, perdite finanziarie e potenziali danni fisici. Ad esempio, assistenti AI compromessi potrebbero esporre dati organizzativi privati, che potrebbero poi essere sfruttati per sofisticati attacchi di social engineering e phishing. L’impatto di questi rischi è amplificato dal fatto che gli agenti AI elaborano grandi volumi di dati personali e possono avere accesso a sistemi critici.

Verso un’architettura di Sicurezza Proattiva

Il futuro del RAG Agentico nella sicurezza informatica si sta muovendo verso un’architettura di sicurezza più proattiva e integrata. Consideriamo uno scenario in cui un’organizzazione ha dispiegato nel suo ambiente molteplici agenti di sicurezza AI:

• Non appena viene rilasciata una nuova vulnerabilità zero-day o una CVE, un agente di intelligence sulle minacce raccoglie tutte le informazioni rilevanti da varie fonti e fornisce una visione aggregata all’agente di triage.
• L’agente di triage, che funge da router, passa le informazioni sulla vulnerabilità a un agente di gestione delle vulnerabilità per comprendere l’impatto e la probabilità di questa vulnerabilità sull’organizzazione.
• L’agente di gestione delle vulnerabilità potrebbe interagire con molteplici strumenti e sistemi all’interno dell’organizzazione per essere consapevole degli obiettivi di business e della propensione al rischio. Potrebbe anche invocare un agente offensivo per verificare se la vulnerabilità può essere sfruttata.
• In base all’analisi, l’agente di triage prende una decisione se mitigare/rimediare alla vulnerabilità o accettare il rischio. Questa decisione potrebbe essere delegata a un essere umano o a un agente specializzato di valutazione del rischio.
• Se la decisione è di risolvere la vulnerabilità, l’agente di triage passa tutte le informazioni a un agente di remediation che ha accesso alla knowledge base interna di best practice di sicurezza e agli strumenti necessari per implementare le soluzioni.

Questo approccio integrato consente una risposta più rapida e coordinata alle minacce emergenti, riducendo il carico cognitivo sui professionisti della sicurezza umani e migliorando l’efficacia complessiva della postura di sicurezza dell’organizzazione.

Mitigazione dei rischi e rafforzamento della governance

Per mitigare i rischi associati all’integrazione dell’IA agentica, è essenziale implementare strategie di governance robuste. Alcuni approcci chiave includono:

Governance e limiti dell’autonomia

I leader aziendali e IT proattivi dovrebbero adottare l’IA agentica stabilendo al contempo chiari guardrail, applicando rigorose politiche di accesso ai dati e promuovendo le migliori pratiche organizzative. Un approccio chiave per proteggere l’automazione è limitare il livello di autonomia di un agente in base al rischio. Se un agente non può essere completamente valutato per vulnerabilità o affidabilità, le sue capacità dovrebbero essere limitate fino a quando non vengono implementate misure di sicurezza più forti.

Formazione e consapevolezza

È essenziale migliorare la consapevolezza della sicurezza attraverso strumenti di formazione dinamici adattati ai livelli di rischio. Le organizzazioni dovrebbero anche educare i dipendenti sui rischi del social engineering e promuovere una cultura della cybersecurity. Per mitigare le potenziali minacce degli agenti AI, i leader IT dovrebbero educare le loro organizzazioni sui rischi degli agenti AI, rilevare e segnalare attività anomale e mappare tutte le interazioni degli agenti AI per garantire la conformità con le politiche aziendali.

Sicurezza a più livelli

Un approccio di sicurezza a più livelli, costituito da sistemi predittivi di IA agentica generativa, è essenziale per proteggersi contro le potenziali minacce informatiche. I fornitori di IA generativa come OpenAI, Anthropic e Google implementano salvaguardie dei contenuti, mentre le aziende aggiungono i propri gateway e protezioni AI. Il software agentico richiede guardrail interni, filtraggio dei prompt e monitoraggio delle risposte. Man mano che emergono sistemi multi-agente, saranno necessarie ulteriori salvaguardie per gestire le interazioni tra agenti.

Riflessione finale

Il RAG Agentico rappresenta un significativo avanzamento nell’arsenale di strumenti disponibili per i professionisti della sicurezza informatica. Integrando capacità autonome di presa di decisioni, ragionamento iterativo e flussi di lavoro collaborativi nel tradizionale framework RAG, questi sistemi possono affrontare minacce di sicurezza complesse con una precisione e un’adattabilità senza precedenti.

I casi di studio presentati, dalle piattaforme GreyMatter di ReliaQuest al Falcon Agent di CrowdStrike, dimostrano come l’IA agentica stia già trasformando le operazioni di sicurezza nelle organizzazioni reali. Come evidenziato dai dati del Pacific Northwest National Laboratory e da altre fonti, l’integrazione di RAG con knowledge graph di cybersecurity rappresenta un significativo passo avanti nell’intelligence delle minacce, consentendo decisioni più informate e strategie di difesa più forti.

Mentre la tecnologia continua a maturare, possiamo anticipare lo sviluppo di ecosistemi sempre più sofisticati di agenti di sicurezza AI che lavorano in concerto per difendere proattivamente le infrastrutture digitali. I professionisti della sicurezza dovrebbero iniziare a esplorare le potenzialità di questi sistemi, comprendendo sia i loro punti di forza che le loro limitazioni, e considerare come possano essere integrati nelle loro strategie di sicurezza esistenti.

Fondamentale sarà l’adozione di un approccio equilibrato che riconosca sia il potenziale trasformativo del RAG agentico sia i rischi inerenti alla sua implementazione. Secondo gli studi del PNNL, l’integrazione dei knowledge graph con il RAG ha già dimostrato di migliorare significativamente sia l’accuratezza che la profondità dell’analisi delle minacce. Tuttavia, come evidenziato nell’articolo di Kshetri, questa tecnologia introduce anche nuove vulnerabilità, espandendo la superficie di attacco e creando potenziali vettori per il data poisoning e l’iniezione di prompt.

Per massimizzare i benefici minimizzando i rischi, le organizzazioni dovrebbero implementare solidi framework di governance che definiscano chiaramente i limiti dell’autonomia degli agenti, stabiliscano protocolli di monitoraggio continuo e garantiscano la supervisione umana nei processi decisionali critici. Un approccio di sicurezza a più livelli, che combini guardrail tecnici, filtri di contenuto e monitoraggio delle interazioni, sarà essenziale per proteggere i sistemi RAG agentici da manipolazioni e abusi.

La formazione dei team di sicurezza è un altro aspetto cruciale. I professionisti devono essere preparati a lavorare in sinergia con questi sistemi, comprendendo come interpretare i loro output, quando fidarsi delle loro raccomandazioni e quando intervenire. Questo richiederà lo sviluppo di nuove competenze che integrino la conoscenza tradizionale della cybersecurity con una comprensione approfondita dei modelli AI e dei loro metodi di ragionamento.

In ultima analisi, il successo del RAG agentico nella sicurezza informatica dipenderà non solo dagli avanzamenti tecnologici ma anche dalla collaborazione uomo-macchina. Combinando l’intuizione e l’esperienza umana con la potenza di elaborazione e l’adattabilità degli agenti AI, le organizzazioni possono costruire difese più resilienti contro l’evoluzione continua del panorama delle minacce.

Con l’emergere di nuove minacce e tecniche di attacco, i sistemi di sicurezza basati su RAG agentico dovranno evolversi continuamente, apprendendo da ogni interazione e migliorando le loro capacità di rilevamento e risposta. Le organizzazioni che adotteranno un approccio proattivo a questa tecnologia, investendo nelle infrastrutture necessarie e nelle competenze del personale, saranno meglio posizionate per affrontare le sfide di sicurezza del futuro digitale.

Come dimostrato dalle implementazioni di aziende come ReliaQuest, CrowdStrike e Darktrace, l’integrazione dell’IA agentica nei sistemi di sicurezza sta già producendo risultati tangibili in termini di riduzione dei tempi di risposta, maggiore precisione nel rilevamento delle minacce e miglioramento dell’efficienza operativa. Questi casi di successo offrono una roadmap per l’adozione più ampia di queste tecnologie, evidenziando le best practice e gli approcci che hanno dimostrato la loro efficacia nel mondo reale.

Il futuro della sicurezza informatica sarà plasmato dalla nostra capacità di sfruttare il potenziale del RAG agentico mantenendo al contempo un controllo adeguato sui rischi associati. Con un’implementazione attenta e una gestione responsabile, queste tecnologie promettono di trasformare radicalmente il modo in cui proteggiamo le nostre infrastrutture digitali, rendendo possibile una difesa più proattiva, adattiva e resiliente contro un panorama di minacce in continua evoluzione.

https://www.ictsecuritymagazine.com/articoli/rag-agentico-sicurezza/

Questo articolo dedicato all’IMSI Catcher fa parte di una serie sulla sicurezza delle reti mobili di nuova generazione. Il contenuto esplora in dettaglio il funzionamento di questi sofisticati dispositivi di intercettazione, partendo da un test pratico condotto in laboratorio attraverso la costruzione di un IMSI Catcher basato su progetti open-source.

L’analisi approfondisce le tre funzionalità principali di questi strumenti – la simulazione della torre cellulare, la connessione dei dispositivi e l’intercettazione del traffico – per poi esaminarne le applicazioni legittime nel campo della sicurezza e delle forze dell’ordine, senza tralasciare i potenziali rischi per la privacy degli utenti e le possibili applicazioni malevole. Attraverso un approccio tecnico ma accessibile, l’articolo fornisce una panoramica completa di questa tecnologia controversa e del suo impatto sulla sicurezza delle comunicazioni mobili.

Tra le tante problematiche citate abbiamo toccato con mano quella riguardante la privacy degli utenti e cosa sia possibile ottenere da un attacco basato su strumento IMSI Catcher.

Per far questo abbiamo “vestito” i panni di un attaccante dopo aver ricostruito tramite progetti liberamente disponibili sul web (open-source) un IMSI Catcher adatto per un test da laboratorio. L’ambiente risultava perfettamente schermato dall’esterno affinché le comunicazioni esterne (reti cellulari) non venissero intralciate.

Per meglio comprendere gli studi e i comportamenti degli smartphone in una rete di nuova generazione dobbiamo descrivere cos’è un IMSI catcher e quali sono le sue funzionalità.

Cos’è un IMSI Catcher?

Un IMSI Catcher funziona simulando una torre cellulare legittima, inducendo i telefoni cellulari nelle vicinanze a connettersi ad esso piuttosto che a una vera torre cellulare. Ecco come avviene questo processo:

• Simulazione della Torre Cellulare: L’IMSI Catcher trasmette segnali radio che imitano quelli di una torre cellulare autentica, utilizzando frequenze e protocolli di comunicazione standard delle reti mobili (GSM, UMTS, LTE, 5g).
• Connessione dei Dispositivi: Quando un telefono cellulare rileva il segnale dell’IMSI Catcher, lo considera una torre cellulare valida e tenta di connettersi ad essa. Il dispositivo mobile fornisce il proprio IMSI all’IMSI Catcher per l’autenticazione.
• Intercettazione del Traffico: Una volta che il telefono è connesso all’IMSI Catcher, il dispositivo può intercettare e monitorare varie forme di comunicazione, inclusi SMS, chiamate vocali e dati di rete. In alcuni casi, l’IMSI Catcher può anche eseguire un attacco “man-in-the-middle”, dove il traffico è intercettato e poi instradato alla vera torre cellulare, consentendo all’utente di continuare a usare i servizi senza sapere che sono sotto sorveglianza.

Quali sono gli usi e le applicazioni di un IMSI Catcher?

Gli usi e le applicazioni di un IMSI Catcher possono essere molteplici. Facciamo qualche esempio:

1. Applicazioni delle Forze dell’Ordine

Le forze dell’ordine utilizzano gli IMSI Catcher per:

• Localizzazione di Sospetti: Tracciare la posizione di sospetti in tempo reale utilizzando l’IMSI del loro telefono cellulare.
• Intercettazione delle Comunicazioni: Ascoltare chiamate e leggere messaggi SMS per raccogliere informazioni su attività criminali.
• Raccolta di Dati di Massa: In situazioni come manifestazioni pubbliche, un IMSI Catcher può essere usato per raccogliere dati su tutti i telefoni presenti nell’area.

2. Applicazioni Militari e di Sicurezza Nazionale

Le agenzie di intelligence e militari possono usare gli IMSI Catcher per:

• Sorveglianza delle Comunicazioni: Monitorare le comunicazioni in zone di conflitto o di interesse strategico.
• Raccolta di Informazioni: Raccogliere dati di intelligence su gruppi terroristici o altre minacce alla sicurezza nazionale.

3. Abusi da parte di Attori Malintenzionati

Attori malintenzionati possono utilizzare gli IMSI Catcher per:

• Spionaggio: Intercettare comunicazioni private e raccogliere informazioni sensibili.
• Furto di Identità: Ottenere informazioni personali che possono essere usate per furti di identità o altre attività fraudolente.

Verso un futuro 5G Sicuro: bilanciare innovazione e protezione

L’analisi delle sfide di sicurezza del 5G e l’esplorazione degli IMSI Catcher evidenziano la complessità del panorama della cybersecurity nell’era delle comunicazioni ultra-veloci. Mentre le potenzialità del 5G sono innegabili, è imperativo adottare un approccio proattivo e multidimensionale alla sicurezza.

La collaborazione tra fornitori di tecnologia, enti regolatori e esperti di sicurezza sarà cruciale per sviluppare soluzioni robuste che proteggano l’integrità delle reti 5G e la privacy degli utenti.

L’implementazione di tecnologie come la crittografia quantistica, l’intelligenza artificiale per il rilevamento delle anomalie e architetture di rete Zero Trust rappresentano passi promettenti verso un ecosistema 5G più sicuro.

Tuttavia, la vigilanza continua e l’adattamento alle minacce emergenti rimarranno essenziali. Solo attraverso un impegno costante nell’innovazione della sicurezza possiamo realizzare appieno il potenziale trasformativo del 5G, garantendo al contempo la fiducia e la protezione degli utenti in un mondo sempre più interconnesso.

In questa approfondita analisi abbiamo esaminato le molteplici sfaccettature dell’IMSI Catcher, uno strumento che si trova al crocevia tra sicurezza nazionale e privacy individuale.

Partendo da un’esperienza pratica di laboratorio, abbiamo esplorato i meccanismi tecnici che permettono a questi dispositivi di intercettare le comunicazioni mobili, analizzando sia le applicazioni legittime nel campo della sicurezza e dell’intelligence, sia i potenziali rischi per la privacy dei cittadini. L’analisi svolta ha evidenziato come questa tecnologia, pur essendo un prezioso strumento per le forze dell’ordine, sollevi importanti questioni etiche e di sicurezza che richiedono un’attenta considerazione.

L’analisi delle sfide di sicurezza del 5G e l’esplorazione degli IMSI Catcher hanno messo in luce la complessità del panorama della cybersecurity nell’era delle comunicazioni ultra-veloci. Mentre le potenzialità del 5G sono innegabili, diventa cruciale adottare un approccio proattivo e multidimensionale alla sicurezza. La collaborazione tra fornitori di tecnologia, enti regolatori ed esperti di sicurezza sarà fondamentale per implementare soluzioni robuste che proteggano sia l’integrità delle reti 5G che la privacy degli utenti.

Per approfondire ulteriormente questo tema cruciale, vi invitiamo a leggere il prossimo articolo della serie dedicato a “IMSI VS SUCI Catcher – Analisi e test pratici”, dove esploreremo l’evoluzione di queste tecnologie nell’era del 5G e le nuove sfide che comportano.

Per una comprensione ancora più approfondita dell’argomento e per accedere a informazioni esclusive sui più recenti sviluppi in questo campo, vi suggeriamo di scaricare il white paper completo “Rete 5G – Sicurezza, Innovazione e Sfide Future“ di Stefano Savo e Stefano Cangiano.

Il documento offre un’analisi dettagliata delle tecnologie di intercettazione, delle contromisure disponibili e delle implicazioni per la sicurezza delle reti mobili moderne, rappresentando una risorsa indispensabile per professionisti della sicurezza e per chiunque sia interessato a comprendere meglio questi aspetti critici della cybersecurity.

https://www.ictsecuritymagazine.com/articoli/imsi-catcher/

Da stamattina il sito web di Ama Spa, Azienda Municipale Ambiente di Roma Capitale, è sotto cyber attacco.

Non più raggiungibile, sono venuti a mancare per cittadini e imprese i servizi online della municipalizzata romana che gestisce la raccolta, il trattamento e lo smaltimento dei rifiuti solidi urbani, l’espletamento dei servizi cimiteriali e la nettezza urbana nel territorio di Roma.

I cyber criminali o chi per loro hanno scelto come bersaglio il ciclo dei rifiuti della Capitale, per quel che riguarda il rapporto online con l’utenza.

Ancora in questo momento, digitando Ama Roma sui motori di ricerca si apre la pagina standard “Impossibile raggiungere il sito”.

Come spiegato in una nota stampa diramata da Ama e rilanciata dalla stampa, sono state avviate “immediatamente tutte le procedure di emergenza previste”, con il supporto di una squadra di tecnici informatici specializzati per affrontare il problema e, soprattutto, arginare gli eventuali danni.

Per qualsiasi necessità “si può chiamare lo 060606“, come riportato anche dal Corriere della Sera, o scrivere un messaggio di posta elettronica.

Ovviamente, al momento, “non è possibile prenotare un prelievo di ingombranti né chiedere altri servizi”

Ama ha contestualmente coinvolto la Polizia Postale e l’Agenzia per la cybersicurezza nazionale (Acn) per dare il via alle indagini del caso e capire natura e origine del cyber attacco, secondo quanto riportato dal quotidiano Roma Today.

Non ci sono ulteriori dettagli di quanto accaduto, per il momento, e l’in-house che gestisce per conto dell’ente Roma Capitale tutto il ciclo dei rifiuti del territorio di competenza ha assicurato di essere “al lavoro per assicurare la piena operatività dei servizi aziendali”, “limitando il più possibile i disagi all’utenza”.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/i-cyber-criminali-prendono-di-mira-i-rifiuti-di-roma-sotto-attacco-informatico-il-sito-dellama/525504/