Sicurezza informatica, controlli ancora sporadici in più di metà delle aziende

La cybersecurity deve integrarsi nella governance aziendale, andando oltre le funzioni IT per proteggere il valore dell’impresa

L’era digitale è passata. O meglio, è entrata in una nuova fase. Le infrastrutture informatiche sono diventate il sistema nervoso delle organizzazioni, dei processi aziendali, delle relazioni con clienti, fornitori e istituzioni, ma a questo consolidamento non corrispondono equivalenti passai avanti sulla sicurezza, che viene storicamente trattata come una funzione separata, delegata a un reparto tecnico e misurata con logiche che risalgono a quando Internet era, anche se molto promettente, ancora un canale tra i tanti. Ma se oggi tutto è digitale, la cybersecurity non può restare confinata in un dipartimento, ma deve radicarsi nei processi, nelle decisioni, nella governance dell’impresa.

La sicurezza informatica soffre purtroppo di un peccato originale, e cioè essere sempre stata una disciplina finalizzata alla protezione del dato, dei database, delle reti e confinata dentro i dipartimenti IT. Aziende, manager e cda l’hanno sempre affrontata come una questione tecnica, e tutto ciò che viene percepito come tecnico raramente conquista un posto nelle priorità del business. Si sono quindi sviluppati due mondi paralleli — quello della sicurezza, che parlava di firewall, vulnerabilità, patch e compliance, e quello del management, che parlava di crescita, clienti, mercati e risultati — che a un certo punto hanno smesso di dialogare. Ma così abbiamo costruito dei giganti con dei piedi di argilla.

Una ricerca che abbiamo appena concluso come Strategic Management Partners su 80 grandi imprese italiane conferma quanto il divario tra consapevolezza e governance operativa sia profondo. In più della metà delle aziende i controlli sui rischi cyber sono sporadici: il 45% svolge valutazioni una sola volta l’anno e una su dieci non ha nemmeno una frequenza definita di assessment. In due casi su tre non esistono KPI per misurare il livello di sicurezza raggiunto — il che significa che i board discutono di cybersecurity senza disporre di metriche per valutarla.

Il dato più critico, tuttavia, riguarda la supply chain: solo il 12% delle imprese verifica regolarmente la sicurezza dei propri fornitori, il 25% non effettua alcun controllo e il 63% procede in modo occasionale. Questo mentre il quadro normativo europeo — NIS2, DORA, AI Act — ha spostato la responsabilità lungo l’intera filiera, facendo della catena di fornitura il perimetro effettivo della sicurezza. Il problema è che molte organizzazioni continuano a considerare la sicurezza come un costo necessario, quando non come un onere burocratico, come una funzione a protezione del dato. Eppure la realtà racconta altro. Oltre l’80% degli incidenti più impattanti in Europa è legato a ransomware ed estorsioni digitali il cui obiettivo non è il dato in sé, bensì l’interruzione della capacità dell’organizzazione di operare. Il dato non è il fine, è il mezzo; il vero bersaglio è la continuità operativa, il valore generato dall’impresa: in una parola, il business nella sua complessità.

Questo è ancor più urgente con l’avvento [...]