Le aziende e i privati producono ogni giorno un volume crescente di dati digitali. Il quadro normativo europeo si è intensificato: al RGPD si aggiungono ora NIS2 per i settori critici, DORA per la finanza e l’AI Act per i sistemi di intelligenza artificiale, con scadenze di applicazione scaglionate. In questo contesto, la sicurezza dei dati non si riduce più a un antivirus o a una password robusta. Essa implica scelte di architettura, governance e verifica continua.
Backup mirati dagli attaccanti: un angolo morto delle strategie di protezione
La maggior parte delle guide di cybersicurezza raccomanda di eseguire regolarmente il backup dei propri file. Questo consiglio rimane valido, ma nasconde un problema più recente. I feedback sul campo mostrano che le infrastrutture di backup sono ora un obiettivo prioritario per gli attaccanti. L’obiettivo non è più solo cifrare i file attivi, ma anche neutralizzare le copie di sicurezza, rendendo impossibile qualsiasi recupero senza il pagamento di un riscatto.
Questa evoluzione cambia le regole del gioco per i team IT. Avere un backup non è più sufficiente se questo è accessibile dalla stessa rete dei sistemi di produzione. L’immutabilità delle copie (impossibilità di modificarle dopo la scrittura) e il loro isolamento fisico o logico diventano criteri di scelta per qualsiasi soluzione di archiviazione. È inoltre consigliato testare regolarmente il ripristino effettivo dei dati, poiché un backup che non si ripristina non è un vero backup.
Per approfondire queste questioni, le informazioni sulla sicurezza su Open Syd dettagliano diversi approcci adatti alle aziende e ai liberi professionisti.
Catena di approvvigionamento digitale e rischi legati ai fornitori
Le normative recenti, NIS2 in testa, ampliano il perimetro di responsabilità ben oltre il sistema informativo interno. La valutazione dei rischi legati ai fornitori e subappaltatori fa ora parte degli obblighi per le entità interessate. Un fornitore cloud mal sicuro, uno strumento SaaS che memorizza dati personali senza una crittografia adeguata, un accesso di terzi non revocato dopo la fine di un contratto: sono tutte falle che le soluzioni digitali devono coprire.
Concretamente, ciò implica diverse verifiche prima di affidare dati a un terzo:
- Esaminare le certificazioni di sicurezza del fornitore (ISO 27001, qualifica SecNumCloud o equivalente) e verificare il loro perimetro esatto.
- Contrattualizzare gli obblighi di notifica in caso di incidente, con scadenze precise e impegni di trasparenza.
- Prevedere un meccanismo di reversibilità: poter recuperare l’interezza dei propri dati in un formato utilizzabile se il fornitore cambia le proprie condizioni o cessa la propria attività.
- Auditare regolarmente gli accessi di terzi, rimuovendo quelli che non sono più giustificati.
I feedback sul campo divergono sulla reale capacità delle PMI di condurre questi audit in modo sistematico. Il costo e la complessità rimangono ostacoli, il che spinge alcune strutture a mutualizzare queste valutazioni tramite gruppi settoriali.
Conformità normativa: RGPD, NIS2, DORA e AI Act in pratica
Il sovrapporsi dei testi europei crea una difficoltà concreta per le aziende: ogni normativa copre un perimetro diverso, con obblighi che si sovrappongono parzialmente. Il RGPD regola il trattamento dei dati personali. NIS2 impone misure di cybersicurezza alle entità definite “importanti”. DORA si concentra specificamente sulla resilienza digitale del settore finanziario. L’AI Act aggiunge vincoli per i sistemi di intelligenza artificiale ad alto rischio.
Per un’azienda che utilizza uno strumento di IA che tratta dati personali in un settore coperto da NIS2, questi tre testi si applicano simultaneamente. Le soluzioni digitali di conformità cercano di automatizzare una parte di questo lavoro: mappatura dei trattamenti, registro delle attività, rilevamento delle anomalie. I dati disponibili non consentono ancora di misurare l’efficacia reale di questi strumenti nel lungo termine, ma la loro adozione sta progredendo nelle organizzazioni di dimensioni intermedie.
Cosa cambia l’AI Act per la protezione dei dati
L’AI Act introduce una classificazione dei sistemi di IA per livello di rischio. I sistemi ad alto rischio (reclutamento automatizzato, scoring bancario, videosorveglianza intelligente) devono rispettare requisiti di trasparenza, tracciabilità e governance dei dati di addestramento. Un modello di IA addestrato su dati distorti o mal protetti espone l’azienda a sanzioni ai sensi dell’AI Act e del RGPD simultaneamente.
La CNIL ha pubblicato linee guida sull’articolazione tra IA e protezione dei dati personali, in particolare per i sistemi definiti “agenti” (IA autonoma capace di azioni a catena). Queste precisazioni sono recenti e la loro traduzione operativa resta da costruire per molte organizzazioni.
Soluzioni digitali di rilevamento e risposta alle minacce
Gli strumenti di rilevamento si sono evoluti oltre l’analisi delle firme conosciute. Le soluzioni di tipo EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) correlano gli eventi su più livelli del sistema informativo: workstation, messaggistica, rete, cloud. La rilevazione si basa ora sull’analisi comportamentale, il che consente di identificare minacce inedite che non corrispondono a nessuna firma registrata.
Al contrario, queste soluzioni generano un volume di allerta che i team devono filtrare. Senza un processo di qualificazione chiaro, il rischio è di sommergere gli analisti sotto i falsi positivi o, al contrario, di trascurare un incidente reale sommerso nella massa. L’automazione del filtraggio (attraverso regole o IA) aiuta, ma non elimina la necessità di competenza umana per le decisioni critiche.
La scelta di una soluzione di sicurezza non si basa su un elenco di funzionalità. Essa dipende dalle dimensioni dell’organizzazione, dalla sensibilità dei dati trattati, dal quadro normativo applicabile e dalla reale capacità dei team di utilizzare lo strumento quotidianamente. Uno strumento sofisticato mal configurato protegge meno di uno strumento semplice correttamente mantenuto. È su questo punto che la maggior parte degli incidenti trova la propria origine, molto più che su una falla tecnologica spettacolare.
