AI e governance del rischio digitale: una nuova realtà aziendale
L’intelligenza artificiale non è stata introdotta da esigenze tecnologiche guidate dall’IT, bensì da necessità di business e di produttività individuale dei singoli, come sottolinea Giampiero Zanvettor, CISO di ACI Global Servizi. Questa constatazione evidenzia uno dei problemi più delicati che le imprese devono affrontare: l’AI si diffonde nei processi aziendali più rapidamente di quanto le organizzazioni riescano a strutturare strumenti e responsabilità per governarla.
La trasformazione interessa direttamente il management, chiamato a ripensare la gestione del rischio digitale, i modelli decisionali e le competenze delle persone. La governance dell’AI diventa così un elemento strategico, non più un semplice progetto tecnologico.
Principali minacce alla cybersecurity
Le minacce più diffuse includono:
- Malware: software malevolo (virus, trojan, spyware) progettato per danneggiare o compromettere sistemi informatici.
- Ransomware: crittografa i dati della vittima e richiede un riscatto per il ripristino.
- Phishing: messaggi ingannevoli per rubare informazioni sensibili.
- DDoS (Distributed Denial of Service): sovraccarica i server per renderli inaccessibili.
- Ingegneria sociale: manipolazione psicologica per ottenere informazioni riservate.
Secondo recenti report, gli attacchi nel primo trimestre del 2024 sono aumentati del 28 % rispetto al trimestre precedente, con una media di 1.308 attacchi a settimana per organizzazione.
Impatto economico e reputazionale di una cyber‑crisi
La cybersecurity è una priorità assoluta per le organizzazioni di ogni dimensione. Con l’aumento della dipendenza dalle tecnologie digitali, cresce anche il rischio di attacchi informatici in grado di mettere a repentaglio dati sensibili, reputazione e persino la sopravvivenza stessa dell’impresa.
Le ripercussioni di una cyber‑crisi possono essere devastanti:
- Danni economici diretti: costi di ripristino, perdita di ricavi, sanzioni legali.
- Danni reputazionali: perdita di fiducia dei clienti, danno al brand.
- Interruzioni del business e perdita di produttività.
- Conseguenze legali per violazione di normative sulla protezione dei dati.
Secondo l’IBM Cost of a Data Breach Report 2023, il costo medio di una violazione dei dati ha raggiunto i 4,45 milioni di dollari, con un incremento del 2,3 % rispetto al 2022.
Quadro normativo europeo
Il panorama normativo è complesso e articolato:
- Regolamento UE 2023/2841 (gennaio 2024): criteri per bilanciare sicurezza, innovazione e diritti fondamentali.
- Direttiva NIS 2 (UE 2022/2555), recepita in Italia dal D.lgs. 138/2024: quadro europeo per reti e sistemi informativi.
- Regolamento UE 2022/2554 DORA (Digital Operational Resilience Act), in vigore da gennaio 2025 per le istituzioni finanziarie.
- Direttiva UE 2022/2557 “CER” (Critical Entities Resilience), recepita in Italia dal D.lgs. 134/2024, per la protezione fisica delle infrastrutture critiche.
- Altre normative: Cyber Resilience Act, GDPR, DSA, DMA, AI Act, Data Act e Data Governance Act.
Misure operative per difendersi dalle minacce
Per proteggere un’azienda è essenziale implementare una serie di misure di sicurezza adeguate:
- Firewall per monitorare e controllare il traffico di rete.
- Sistemi di rilevazione delle intrusioni (IDS) per identificare attività sospette.
- Soluzioni di crittografia per proteggere i dati sensibili.
- Strategia di backup regolare secondo la regola 3‑2‑1 (tre copie, due supporti, una copia off‑site).
- Identity and Access Management (IAM) basato su autenticazione, autorizzazione e amministrazione.
- Formazione continua dei dipendenti, dato che il 95 % degli incidenti coinvolge il fattore umano.
- Piano di risposta agli incidenti con istruzioni dettagliate per preparazione, identificazione, risposta e ripristino.
Il fattore umano: l’anello più debole
L’acronimo PEBKAC (problem exists between keyboard and chair) evidenzia che gli investimenti tecnologici risultano inefficaci senza una formazione adeguata del personale. Il 95 % degli incidenti di sicurezza informatica coinvolge l’elemento umano, con la violazione delle credenziali come rischio principale.
Le pratiche a rischio includono:
- Uso di password deboli o riutilizzate.
- Caduta in attacchi di phishing sempre più sofisticati e personalizzati.
- Condivisione eccessiva di informazioni sui canali digitali, facilitando la social engineering.
Una formazione efficace deve essere:
- Coinvolgente, con simulazioni di attacchi ed esercitazioni pratiche.
- Continuamente aggiornata per adeguarsi all’evoluzione delle minacce.
Framework di cybersecurity: da obbligo a vantaggio competitivo
I framework non sono più semplici strumenti di conformità normativa, ma catalizzatori di crescita quando integrati nei processi aziendali.
- NIST Cybersecurity Framework (CSF): cinque funzioni – Identificare, Proteggere, Rilevare, Rispondere, Recuperare.
- NIST 800‑61: linee guida per la risposta agli incidenti.
- NIST 800‑207: architettura zero‑trust.
- MITRE ATT&CK: modello basato sui comportamenti dei cybercriminali per prevedere e contrastare le minacce.
- CMMC (Cybersecurity Maturity Model Certification): modelli di maturità per le catene di fornitura.
- ISO 27001: standard internazionali per i sistemi di gestione della sicurezza delle informazioni.
Quando questi framework vengono adottati in modo strategico, migliorano la resilienza operativa, riducono i costi di risposta agli incidenti e rafforzano la fiducia di clienti e partner.
Competenze richieste per la nuova governance
Per operare efficacemente nella cybersecurity moderna è necessario un percorso formativo solido:
- Laurea in Informatica, Ingegneria Informatica o discipline affini.
- Corsi specifici in sicurezza informatica, offerti da università come Milano, Trento e Sapienza di Roma.
- Competenze tecniche: sistemi operativi, reti, programmazione, scripting, analisi delle vulnerabilità, forense digitale.
- Soft skill: problem solving, pensiero critico, comunicazione efficace, adattabilità.
- Certificazioni professionali (CEH, CompTIA Security+, CISSP) e formazione continua (lifelong learning).
- Esperienza pratica: laboratori universitari, progetti open source, stage, competizioni (CyberChallenge.IT, Capture The Flag).
Strategie di governance AI per il futuro
Le aziende devono adottare un approccio olistico che integri AI, cybersecurity e governance:
- Definizione di ruoli e responsabilità: creare figure dedicate (AI Governance Officer, Data Protection Officer) con chiari mandati.
- Policy di sviluppo e utilizzo dell’AI: linee guida per la progettazione, il testing e il deployment responsabile.
- Valutazione del rischio AI: analisi d’impatto (AI‑RM) per identificare vulnerabilità specifiche legate a modelli generativi, bias e data poisoning.
- Integrazione dei framework: mappare le funzioni del NIST CSF con le fasi del ciclo di vita dell’AI (design, training, deployment, monitoraggio).
- Monitoraggio continuo: utilizzare sistemi di threat intelligence basati su AI per rilevare anomalie in tempo reale.
- Formazione mirata: programmi di upskilling per sviluppatori, data scientist e dirigenti su sicurezza dell’AI.
Queste pratiche consentono al management di trasformare la sfida dell’AI in un’opportunità competitiva, garantendo al contempo la protezione dei dati, la conformità normativa e la fiducia degli stakeholder.
Conclusioni
La governance dell’intelligenza artificiale rappresenta il nuovo epicentro della gestione del rischio digitale. Le testimonianze di CISO di Snam, Hera e ACI Global Servizi ai Cybersecurity360 Awards 2026 confermano che le imprese devono investire in:
- Strutture organizzative adeguate.
- Formazione continua e cultura della sicurezza.
- Framework integrati e processi decisionali basati su dati.
- Misure tecniche avanzate per difendere le infrastrutture critiche.
Solo così sarà possibile affrontare le minacce in evoluzione, sfruttare appieno le potenzialità dell’AI e garantire una resilienza sostenibile nel tempo.