“Ci attaccano con l’intelligenza artificiale e noi ci difendiamo con gli Excel”. La provocazione è comparsa su una slide di Alessio Pennasilico, del Comitato Scientifico del Clusit, mentre a Milano si presentava la nuova ricerca di ManageEngine sulla resilienza operativa. Accanto, l’hashtag che ha scelto come biglietto da visita: #iosonopreoccupato.
È il registro con cui prende forma “Owning Operational Resilience in 2026”, sondaggio condotto su 1.514 tra responsabili IT e decisori aziendali in cinque Paesi europei (Italia, Regno Unito, Germania, Spagna e Paesi Bassi), trecento per ciascuno. Per l’Italia il quadro è quello di un Paese a metà del guado.
Gli attacchi che ci sono sempre
Andrés Mendoza, technical director di ManageEngine per il Sud Europa e l’America Latina, riassume la posta in gioco con una battuta che usa da anni. “Esistono due tipi di aziende: quelle che hanno già subito un attacco e lo sanno, e quelle che lo hanno subito ma non lo sanno”.
Tradotto in numeri: il 62% delle organizzazioni italiane dichiara di aver gestito un incidente negli ultimi dodici mesi, contro una media europea del 66%. A pesare di più sono lo sfruttamento delle vulnerabilità (45%) e l’errore umano (40%), con malware e ransomware come tipologia più frequente (54%).
Andrés Mendoza, technical director di ManageEngine per il Sud Europa e l’America Latina.
I dati del sondaggio si appoggiano a quelli del Rapporto Clusit 2026, presentato nella stessa occasione. Sono 507 gli incidenti registrati in Italia nel 2025, il 42% in più rispetto all’anno prima e circa un decimo del totale mondiale; sul piano globale gli incidenti salgono a 5.265, con un incremento del 49%. La serie storica italiana è una rampa in ascesa: dai 70 casi del 2021 ai 507 di oggi.
A spiegare un salto così rapido, immancabilmente, c’è l’IA che scrive email di phishing più credibili, individua le falle, genera il codice per sfruttarle. Mendoza lo chiama “phishing 2.0”: non più il messaggio generico con il logo sbagliato e gli errori di battitura, ma un’email cucita su misura del destinatario, costruita raccogliendo da LinkedIn e dai social il nome del responsabile, i colleghi, le scadenze.
Il Clusit, intanto, segnala una crescita del 65% degli incidenti causati dallo sfruttamento di vulnerabilità. E il World Economic Forum, da quest’anno, colloca tra i rischi sistemici più gravi una voce nuova e ben distinta: gli esiti avversi delle tecnologie di IA.
Bravi ad accorgersi, lenti a rialzarsi
Sul piano tecnico l’Italia mostra una certa maturità. Il 91% delle organizzazioni dichiara di rilevare gli incidenti entro 24 ore, l’88% di rispondere nello stesso arco di tempo, il 98% di condurre analisi formali a evento concluso.
Sono percentuali da Paese attrezzato, in linea con gli obblighi di notifica introdotti dalla NIS2 (24 ore) e ancora più stringenti per chi rientra nel perimetro di sicurezza nazionale (un’ora).
Il problema arriva dopo: accorgersi in fretta non significa tornare operativi in fretta. Alla domanda sul tempo di recupero dagli incidenti critici, il 39% indica una forbice tra uno e dieci giorni, e alla voce “ripristino entro 24 ore” non ha risposto nessuno. Ogni giorno di fermo, ricordano i relatori, è denaro che si brucia e quindi meno capacità di investire, di fare ricerca, di assumere.
Il vertice che si sveglia solo durante l’emergenza
Se la tecnologia regge, è la testa dell’organizzazione a restare indietro. Il 49% delle aziende italiane ammette che il coinvolgimento dei vertici è alto solo durante le crisi; appena il 20% lo descrive come continuo.
Tradotto: si aspetta che il guaio accada, poi ci si muove. Sujoy Banerjee, regional business director di ManageEngine, insiste sul punto. La sicurezza “non ha lingua, non ha confini, non riguarda un singolo reparto”; alla fine colpisce il business e per questo deve diventare materia da consiglio di amministrazione e non da ufficio tecnico.
Quanto costi una guida assente lo racconta il caso che Pennasilico porta come manuale del “cosa non fare”: la violazione di dati di Equifax del 2017. In quell’occasione di fu un crollo del titolo in Borsa, dirigenti che vendettero azioni prima dell’annuncio al mercato, un primo comunicato che scaricò la responsabilità sul tecnico che non aveva applicato le patch. E un dettaglio quasi comico: l’azienda rilanciò sui social un sito per informare gli utenti, ma sbagliò indirizzo e finì per rimandare a un dominio speculare aperto dai criminali.
Sujoy Banerjee, regional business director di ManageEngine
Episodi come questo hanno spinto la SEC, l’autorità dei mercati statunitense, a rendere obbligatoria per le società quotate la comunicazione dei rischi e degli incidenti di sicurezza, arrivando a sanzionare chi li minimizza per sostenere il valore delle azioni. In Italia la Consob non lo impone ancora ma la direzione, osserva Pennasilico, è tracciata. La sicurezza informatica entra nei bilanci e nelle valutazioni degli investitori.
La compliance è ora leva di mercato
C’è una chiave che lega tutto, ed è economica più che tecnica. NIS2, DORA, CRA, GDPR, AI Act, sono norme diverse che chiedono più o meno le stesse cose. Ossia governance, gestione degli asset e delle identità, continuità operativa, sicurezza della catena di fornitura.
L’obiettivo dichiarato, sottolinea Pennasilico, è la stabilità economica più della sicurezza in sé: se reggono le filiere, regge l’economia di uno Stato membro, e con essa quella dell’Unione. Il mercato ha recepito il messaggio prima ancora del legislatore. Le banche inviano questionari di sicurezza ai clienti e cominciano a condizionare la linea di credito alle risposte.
I grandi committenti pretendono certificazioni (la ISO 27001, lo standard TISAX nell’automotive, l’adesione al circuito Swift nella finanza) come requisito per entrare nell’albo fornitori. Chi non risponde resta fuori dagli ordini. Perché il rischio, quando un’azienda si ferma, si propaga a valle. Pennasilico cita il blocco produttivo che ha colpito Jaguar Land Rover nel Regno Unito, con effetti a cascata sui fornitori e un intervento pubblico a sostegno della filiera.
Sul fronte degli investimenti l’Italia cresce (il mercato della cybersecurity ha toccato i 2.778 milioni di euro nel 2025, in aumento del 12%), ma il dato va maneggiato con prudenza. Rapportata alle dimensioni dell’economia, la spesa italiana resta la metà o un terzo di quella di Francia e Germania, e per giunta si polverizza su una miriade di piccole e medie imprese ferme spesso al firewall e all’antivirus.”
ManaEngine: e se a difenderci arrivassero OpenAI e Anthropic?
La sessione si è chiusa con la domanda che serpeggia nel settore. Un articolo di Axios ha definito Anthropic e OpenAI i nuovi “kingmaker” della cybersecurity. I laboratori che controllano i modelli più capaci, sono anche quelli più attrezzati per trovare falle nei sistemi e indicarle. E decidono anche quali difensori possono accedere alle loro armi.
Il riferimento è all’accesso selettivo con cui Anthropic ha distribuito il modello Mythos a una platea ristretta tramite Project Glasswing (lo stesso modello che ha individuato centinaia di vulnerabilità nel codice di Firefox), rendendone poi pubblica una versione depotenziata. La posta, nota Axios, è anche commerciale, visto che OpenAI e Anthropic guardano alla quotazione in Borsa.
Abbiamo chiesto a Mendoza e Banerjee se questi attori secondo loro diventeranno mai concorrenti dei fornitori storici. La risposta è stata prudente. Per Mendoza il mercato non è ancora maturo: esistono agenti che promettono di condurre test di sicurezza dall’inizio alla fine senza intervento umano, “ma qualcuno deve pur creare quegli agenti, dare gli accessi, autenticarli”. ManageEngine non intende replicare quei modelli; piuttosto li “consumerà”, integrandoli su richiesta del cliente oppure offrendo un proprio modello addestrato internamente nei laboratori indiani, senza usare i dati degli utenti.
Banerjee allarga lo sguardo. Il DNA di chi nasce per costruire modelli, osserva, è diverso da quello di chi fa software gestionale da ventidue anni e oggi conta oltre cinquanta prodotti. Cita ServiceNow e Salesforce, partite da mercati distinti e finite per invadersi a vicenda: “oggi competono, e per noi va bene così, perché chi cambia continuamente rotta non ha un’identità”.
Resta il punto che torna in tutta la giornata, e che la stesso Axios mette nero su bianco: anche i modelli più avanzati, per ora, hanno bisogno di una mano umana. È il filo che riporta alla slide d’apertura. Tra chi attacca con l’IA e chi si difende ancora con le caselle di un foglio di calcolo, la distanza si colma con governance, persone e processi, non con un solo strumento.
