Post di Valerio Pastore, Co-founder di CyberGrant

Immagine di freepik

La cybersecurity è uscita definitivamente dai confini dell’IT per diventare un tema di responsabilità aziendale. A segnare questo passaggio è stata soprattutto l’Europa, che attraverso direttive e regolamenti sempre più stringenti sta imponendo alle organizzazioni un cambio di passo radicale, con conseguenze dirette sui vertici aziendali.

La NIS2 ha ampliato enormemente il numero di soggetti obbligati, coinvolgendo settori strategici che spaziano dall’energia alla sanità, dalla logistica alla manifattura. DORA ha introdotto obblighi specifici per banche, assicurazioni e operatori finanziari: controlli sui rischi ICT, sulla supply chain tecnologica e sulla capacità di risposta agli incidenti cyber. A questi si aggiungono l’AI Act, che regolamenta l’utilizzo dell’intelligenza artificiale nei contesti ad alto rischio, e il GDPR, riferimento centrale sul trattamento dei dati personali. Il messaggio normativo è inequivocabile: chi siede ai piani alti dell’organizzazione non può più delegare interamente la sicurezza informatica al reparto tecnico.

Il paradosso della compliance: più protezione, più violazioni

Proprio mentre cresce il livello di adeguamento normativo, aumenta anche il numero delle organizzazioni che subiscono attacchi ransomware o perdita di dati sensibili. È un paradosso che dovrebbe preoccupare i board prima ancora dei CISO: le aziende investono in strumenti di compliance, ma continuano a perdere il controllo delle proprie informazioni. Perché? Secondo il “2026 Data Breach Investigations Report” di Verizon Business, il ransomware è presente nel 48% dei data breach analizzati a livello globale, in crescita rispetto al 44% dell’anno precedente. Ancora più rilevante per chi gestisce relazioni con fornitori e partner è il dato sulla supply chain: il suo coinvolgimento nei breach è aumentato del 60% in un solo anno, arrivando a rappresentare quasi un incidente su due. Non è una questione tecnica ma contrattuale, di governance e di responsabilità condivisa che nessun framework normativo, da solo, è in grado di eliminare.

L’impatto economico è altrettanto eloquente. Secondo il “Cost of a Data Breach Report 2025” di IBM Security e Ponemon Institute, il costo medio globale di una violazione informatica ha raggiunto i 4,44 milioni di dollari. Quando i dati coinvolti sono distribuiti tra ambienti multipli – cloud, piattaforme collaborative, email, infrastrutture esterne – il costo medio sale a 5,05 milioni. Cifre che qualsiasi CFO dovrebbe tenere presenti quando valuta gli investimenti in sicurezza.

La shadow AI sfugge al controllo

Nel frattempo, un nuovo rischio si è inserito nel quadro normativo ancora prima che il legislatore riuscisse a governarlo compiutamente. L’AI Act disciplina l’utilizzo di sistemi di intelligenza artificiale ad alto rischio, ma la vera sfida per le organizzazioni oggi è un’altra: la shadow AI, ovvero l’adozione non governata di strumenti AI da parte dei dipendenti, spesso all’insaputa delle funzioni IT e compliance. I dati Verizon parlano chiaro: il 67% degli utenti aziendali accede a servizi AI utilizzando account personali sui dispositivi di lavoro, mentre il 45% dei dipendenti utilizza regolarmente strumenti di AI generativa nel contesto professionale. Ogni volta che un dipendente carica un contratto, una relazione finanziaria o un documento strategico su una piattaforma AI esterna, quell’atto può configurare una violazione del GDPR, indipendentemente dal fatto che l’azienda sia formalmente compliant. Non parliamo di teoria ma di rischi quotidiani, diffusi, e, nella maggior parte dei casi, invisibili agli strumenti di monitoraggio tradizionali.

Le organizzazioni che presentano un utilizzo non governato elevato di strumenti AI registrano, secondo IBM, un costo aggiuntivo medio di 670.000 dollari per violazione. Cifre che collocano la shadow AI tra i rischi finanziari da monitorare nei modelli di enterprise risk management.

Il cambio di paradigma che la compliance non può ignorare

Il limite del modello tradizionale di sicurezza emerge con chiarezza in questo contesto. Per anni le organizzazioni hanno costruito la protezione attorno al concetto di perimetro: difendere la rete, i server, gli endpoint. I regolamenti europei estendono l’onere dalla protezione dell’infrastruttura alla dimostrazione che il dato è al sicuro in qualsiasi contesto, interno o esterno all’organizzazione.

Quello che si deve fare è adottare un approccio radicalmente diverso rispetto ai sistemi tradizionali di Data Loss Prevention: non proteggere soltanto l’infrastruttura, ma incorporare la protezione direttamente nel documento. Il file deve restare protetto indipendentemente da dove venga copiato, inoltrato o archiviato. Per l’utente autorizzato l’esperienza rimane invariata ma per chiunque non possieda le chiavi corrette, il contenuto deve essere matematicamente illeggibile. Questo approccio risponde anche a un’esigenza normativa specifica: la capacità di dimostrare, in caso di ispezione o notifica di violazione, che i dati erano protetti in modo adeguato anche al di fuori del perimetro aziendale. In un regime come il GDPR, dove la responsabilità ricade sull’organizzazione indipendentemente dall’origine della violazione, la crittografia nativa sul documento diventa uno strumento di governance.

Il rischio post-quantum

C’è infine un tema che sta iniziando a entrare nell’agenda dei board più avanzati: il rischio post-quantum. Esperti di sicurezza e agenzie governative segnalano che gruppi criminali e attori statali stanno già accumulando oggi enormi quantità di dati cifrati con l’obiettivo di decifrarli in futuro, quando la capacità computazionale quantistica lo renderà possibile. È il modello definito “harvest now, decrypt later”. Per un board che ragiona su orizzonti pluriennali, questo significa che la sicurezza dei dati aziendali di oggi non dipende soltanto dalle minacce attuali, ma anche dalle capacità di attacco che emergeranno nei prossimi anni. Investire in architetture di protezione progettate per la crittografia post-quantum non è più una scelta da lasciare ai tecnici ma una decisione strategica che riguarda la sostenibilità del patrimonio informativo aziendale.

La domanda che ogni organizzazione dovrebbe porsi non è se sia compliant ma se i propri dati siano davvero al sicuro nel momento in cui iniziano a circolare fuori dal perimetro aziendale. Perché nell’economia digitale contemporanea il valore non risiede nell’infrastruttura ma nel documento.