Exprivia, Raguseo. Governare l’incertezza digitale: la cybersecurity nel 2026
Approfondita ed esaustiva l’analisi che presenta Domenico Raguseo, Direttore Cybersecurity & Digital Infrastructure di Exprivia, nel delineare quella che dovrebbe essere la cybersecurity nel 2026: una disciplina strategica che abilita continuità operativa, fiducia digitale e competitività.
Buona lettura!
GOVERNARE L’INCERTEZZA DIGITALE: LA CYBERSECURITY NEL 2026
a cura di Domenico Raguseo
Nel 2026 le organizzazioni devono affrontare un panorama digitale sempre più complesso, incerto e interconnesso. La velocità con cui emergono nuove tecnologie, l’evoluzione delle minacce e la pressione normativa rendono impossibile affidarsi a strategie puramente difensive. La sfida non è più difendersi da tutto, ma governare l’incertezza digitale, sviluppando una resilienza reale e misurabile che integri persone, processi e tecnologia.
I budgets di cybersecurity sono limitati in natura, mentre il numero, la sofisticazione e l’impatto degli attacchi continuano ad aumentare. Questa asimmetria rende insostenibile un approccio basato sull’accumulo di strumenti o sull’espansione indiscriminata dei controlli. La vera sfida è fare meglio, concentrando risorse e attenzione sui rischi concreti e sulle minacce realmente rilevanti per l’organizzazione.
Attenzione particole è richiesta in ambito industriale. Secondo Giuseppe Marullo, OT Security Architect in Exprivia, “la sicurezza digitale è ormai un elemento critico per i sistemi industriali digitalizzati (OT), dai quali dipendono non solo la continuità della produzione, ma aspetti essenziali della nostra vita quotidiana. Nel 2026 questo legame diventerà ancora più stretto, rendendo la cybersecurity OT una priorità strategica e non più soltanto tecnica. Non sorprenderebbe, quindi, se nel prossimo futuro il paradigma stesso evolvesse: lo shift-left applicato ai sistemi industriali potrebbe portare a un ribaltamento culturale, in cui la sicurezza diventa il prerequisito della progettazione e dell’esercizio. In questo contesto, non si tratterebbe più solo di integrare la sicurezza nello sviluppo, ma di ripensare l’intero ciclo di vita dei sistemi industriali, fino a mettere la sicurezza al centro: un’evoluzione da DevSecOps a SecDevOps per enfatizzare quanto la Security pesi rispetto al DevOps. Questo si riflette anche nell’emergere di richieste di sistemi OT che siano progettati e, ove disponibili, utilizzando componenti progettati secondo lo standard ISA/IEC 62443: 62443-4-1 per il ciclo di sviluppo e 62443-4-2 per il prodotto OT stesso”.
Resilienza digitale
La resilienza digitale richiede un cambiamento culturale e tecnologico: le aziende devono passare da un approccio puramente reattivo a uno proattivo e adattivo, coinvolgendo tutte le funzioni aziendali nella prevenzione, nella risposta e nel recupero dagli incidenti.
Misurare la resilienza significa monitorare indicatori come RTO (Recovery Time Objective), RPO (Recovery Point Objective), test periodici di crisi e resilienza della supply chain, integrando sicurezza, continuità operativa e miglioramento continuo. La crescente complessità dell’ecosistema digitale è anche un’opportunità: chi riesce a integrare sicurezza, continuità e innovazione non solo reagisce alle crisi, ma le anticipa, trasformandole in un vantaggio competitivo.
La cybersecurity deve essere un processo razionale e basato sull’analisi. Comprendere le minacce – attori ostili, obiettivi, tecniche e loro evoluzione – è fondamentale. Qui entra in gioco la threat intelligence, cuore della strategia di sicurezza.
Threat intelligence
La threat intelligence strategica permette di leggere il panorama cyber in modo prospettico, allineando decisioni di sicurezza a obiettivi di business e requisiti normativi emergenti, come NIS2 e DORA, evitando approcci puramente reattivi.
Per Valeria Vetrano, Security Analyst dell’Osservatorio Exprivia sulla Cybersecurity, “durante il 2025, grazie ai dati raccolti dall’Osservatorio Exprivia sulla Cybersecurity, è stata registrata una media di oltre mille attacchi a trimestre, principalmente guidati dal cybercrime, rimasto costantemente sistemico durante l’anno. Inoltre, sebbene la distribuzione geografica di attacchi e incidenti cyber sia risultata più elevata nel Nord Italia, il numero di incidenti di sicurezza misurato pro capite ha mostrato un andamento differente. Ciò evidenzia come il rischio non dipenda solo dal livello di tecnologia, ma anche da fattori quali la protezione dei sistemi e la consapevolezza degli utenti. Pertanto, se da un lato la digitalizzazione del Paese offre significative opportunità di innovazione e crescita, dall’altro, in assenza di un investimento parallelo in cybersecurity, rischia di diventare un moltiplicatore di vulnerabilità. Le normative e gli standards adottati negli ultimi anni si sono dimostrati efficaci nel limitare l’impatto operativo di attacchi e incidenti, ma è ormai chiaro che la resilienza digitale rappresenta una componente chiave dello sviluppo nazionale”.
La threat intelligence tattica fornisce informazioni immediatamente utilizzabili su tattiche, tecniche e procedure degli attaccanti (TTP), indicatori di compromissione (IoC) e patterns di attacco osservati sul campo.
Secondo Antonio Pontrelli, Security Analyst di Exprivia “nel 2025 la threat intelligence è diventata il pilastro indispensabile della difesa proattiva, assumendo un ruolo ancora più cruciale nello scenario globale della sicurezza informatica, perché le minacce diventano più rapide, automatizzate e difficili da attribuire. Rispetto al 2025, l’importanza di questa disciplina è cresciuta esponenzialmente a causa dell’avvento dell’AI agentica (un’evoluzione dell’intelligenza artificiale in cui i sistemi non si limitano a rispondere a input o a generare contenuti, ma sono progettati per agire come agenti autonomi, capaci di percepire un contesto, prendere decisioni, pianificare azioni, eseguire compiti, adattarsi dinamicamente ai risultati) e dei sistemi di attacco autonomi, che operano a una velocità tale da rendere obsoleta qualsiasi reazione puramente umana o manuale. Nel 2026 non è più sufficiente reagire agli incidenti: anticiparli diventa una necessità strategica. La condivisione di informazioni tra attori pubblici e privati diventa più strutturata e indispensabile. Senza threat intelligence, le difese risultano frammentate e inefficaci. Pertanto, nel 2026 la threat intelligence non sarà solo un supporto tecnico, ma un fattore chiave di resilienza globale”.
Dalla comprensione del rischio alle priorità operative
Integrare threat intelligence strategica e tattica permette di tradurre la comprensione del rischio in priorità operative concrete, calibrando le capacità difensive e concentrando gli investimenti su misure che riducono realmente la superficie di attacco. Come nel mondo fisico, anche in cybersecurity le contromisure devono derivare da un’analisi accurata del rischio ed essere proporzionate alle minacce reali.
Shift-Left e DevSecOps
La threat intelligence influenza direttamente la sicurezza del software. Il DevSecOps trasforma la conoscenza delle minacce in controlli continui e misurabili lungo tutto il ciclo di vita del software. Le strategie Shift-Left portano la sicurezza nelle fasi iniziali del processo, allineando architetture, pratiche di sviluppo e policy alle minacce reali, non a scenari astratti.
La threat intelligence strategica e operativa definisce quali vulnerabilità, componenti, dipendenze, attori e patterns rappresentano il rischio maggiore, traducendoli in criteri di progettazione e requisiti di conformità applicati nelle pipeline CI/CD. La threat intelligence tattica alimenta i controlli tecnici automatizzati, aggiornando regole di analisi del codice, test e controlli a runtime in base alle minacce osservate. Il DevSecOps diventa così il punto di convergenza tra conoscenza delle minacce e automazione della sicurezza, aumentando qualità del software, sicurezza e resilienza.
Monitoraggio continuo e dwell time
Il monitoraggio continuo è essenziale perché la differenza tra un attacco e un incidente reale spesso si misura in dwell time (dwell: tempo di permanenza dell’attaccante all’interno dei sistemi senza essere rilevato). Durante questo periodo, l’attaccante può muoversi lateralmente, elevare privilegi, esfiltrare dati o preparare attacchi più distruttivi. Solo un monitoraggio costante, integrato con AI e ML, permette di ridurre il dwell time, mitigare i rischi e garantire resilienza operativa.
Secondo Gianluca Cighetti , Business Development Strategy in Present, “l’intelligenza artificiale e il machine learning trasformano il monitoraggio degli eventi da un approccio basato su regole statiche a un riconoscimento intelligente dei patterns. Gli algoritmi di machine learning apprendono nel tempo i comportamenti normali di utenti, traffico di rete e sistemi, costruendo baseline dinamiche capaci di adattarsi ai cambiamenti legittimi dell’ambiente e di rendere immediatamente visibili le deviazioni. Attraverso algoritmi di rilevamento delle anomalie, come isolation forest, autoencoder e tecniche di clustering, è possibile individuare outlier all’interno di enormi volumi di dati che risulterebbero ingestibili per un analista umano. Questi algoritmi riescono a cogliere segnali deboli, quali orari di accesso insoliti, volumi di trasferimento dati anomali o esecuzioni di processi inattese che, se considerate singolarmente, possono apparire innocue ma che, nel loro insieme, indicano una potenziale compromissione. Inoltre, l’AI è particolarmente efficace nel correlare eventi eterogenei provenienti da log, endpoint, reti e ambienti cloud, fornendo una visione unificata del contesto. Infine, grazie a modelli di machine learning addestrati su dati di threat intelligence globali, è possibile riconoscere patterns di attacco, TTP e exploit zero-day, spesso anticipando le minacce rispetto ai tradizionali sistemi di difesa basati su firme”.
Consapevolezza, formazione e fattore umano nell’era dell’AI
La formazione resta un pilastro della resilienza digitale e un requisito normativo chiave (NIS2, DORA). Phishing e social engineering rimangono tra le minacce più efficaci, aggravate dall’uso dell’AI. Le campagne oggi includono quishing, vishing e manipolazioni multicanale di informazione, alterando la percezione della realtà. Proteggere le organizzazioni significa prevenire frodi e mantenere fiducia e integrità dell’informazione. Riconoscere se un messaggio è generato dall’AI è complesso, ma indicatori come la perplessità e patterns stilistici possono aiutare a distinguere testi umani da quelli generati da modelli linguistici.
Cyber-range
I cyber-range forniscono ambienti controllati e realistici che riproducono infrastrutture, applicazioni, identità e processi di business. Consentono formazione avanzata, esercitazioni operative e test di sicurezza senza impattare sui sistemi reali. Sono veri e propri “cyber gym” che trasformano la cybersecurity in una capacità misurabile, supportando i requisiti di test periodici e miglioramento continuo previsti da NIS2 e DORA.
Red, Blue e Purple Team
I cyber-range esaltano il valore di Red, Blue e Purple Team. Red Team simula attacchi realistici e multi-fase. Blue Team allena rilevazione, risposta e recupero. Purple Team analizza e traduce le lezioni apprese in miglioramenti concreti, integrando framework come MITRE ATT&CK. Sebbene le attività possano essere svolte senza un cyber-range, quest’ultimo agisce da moltiplicatore di efficacia, garantendo realismo, ripetibilità, sicurezza ed evidenze strutturate.
Identità, networking e tecnologie emergenti
La protezione delle identità è fondamentale. L’Identity Fabric integra autenticazione, autorizzazione, governance e gestione degli accessi privilegiati lungo tutto il ciclo di vita dell’identità, rendendo sostenibili Zero Trust e compliance. Networking moderno, SASE e microsegmentazione integrano connettività e sicurezza, limitando movimenti laterali e rafforzando fiducia digitale. L’AI introduce nuove opportunità ma anche rischi, richiedendo governance, trasparenza e sicurezza lungo tutto il ciclo di vita dei dati e dei modelli.
Secondo Giuseppe Fabrizi, Competence Team Manager Cybersecurity & Network Intergation in Exprivia, “l’integrazione tra Networking moderno, architetture SASE (Secure Access Service Edge) e Microsegmentazione definisce oggi il nuovo paradigma della Resilienza Digitale, volto a neutralizzare i movimenti laterali e consolidare l’affidabilità dell’intera infrastruttura. In questo scenario, l’Intelligenza Artificiale agisce come acceleratore di opportunità e rischi, imponendo una governance rigorosa lungo l’intero ciclo di vita dei dati. Come evoluzione naturale di SD-WAN, il modello SASE integra connettività e sicurezza in un’architettura cloud-native che supera il concetto di perimetro fisico e, attraverso tecnologie quali ZTNA (Zero Trust Network Access ) e il monitoraggio continuo, potenzia la microsegmentazione e la capacità di risposta rapida garantendo un vantaggio competitivo strategico nell’era delle infrastrutture distribuite e dei processi digitali pervasivi”.
Giuseppe Giordano, Competence Team Manager Cybersecurity & Network Intergation in Exprivia, aggiunge pertanto che “entro il 2026 l’orientamento strategico si sposterà verso l’Edge Computing, posizionando i controlli di sicurezza in prossimità dell’utente e dei dati per minimizzare la latenza e ottimizzare le performances. Questo approccio abilita una protezione dinamica basata su identità e contesto, pilastro fondamentale per la difesa di ecosistemi ibridi e multicloud. La resilienza si traduce dunque nella capacità del SASE di adattarsi proattivamente alle minacce mediante analisi predittiva basata su AI, garantendo la continuità operativa anche in caso di attacchi informatici complessi”.
Quantum computing
Il quantum computing rappresenta una sfida di lungo periodo più che un pericolo immediato. Gli algoritmi crittografici oggi diffusi sono vulnerabili a futuri attacchi quantistici, creando il rischio di “harvest now, decrypt later”. È necessario identificare dati critici e pianificare la post-quantum cryptography lungo sistemi, supply chain e processi DevSecOps. Allo stesso tempo, il quantum rappresenta anche un’opportunità difensiva. Secondo Paolo Crosta, Chief Innovation Officer di Exprivia, “tecnologie come la Quantum Key Distribution (QKD), in combinazione con algoritmi di Post-Quantum Cryptography (PQC), consentono lo scambio di chiavi con garanzie di sicurezza basate sulle leggi della fisica e sono già in fase di sperimentazione per la protezione delle comunicazioni strategiche”.
“D’altra parte il Quantum Computing e l’IA non devono essere visti come due mondi separati, bensì mondi complementari che si tengono per mano. Non perché si assomiglino, ma perché da soli inciampano – spiega Cosimo Binetti, Competence Team Manager Cybersecurity & Digital Infrastructure in Exprivia. – L’intersezione di queste due tecnologie ed altre tecnologie emergenti come i modelli linguistici di grandi dimensioni, apre nuovi scenari: l’applicazione del Quantum Computing allo sviluppo dell’AI è pronta a catapultare entrambe le tecnologie in un’era rivoluzionaria. Le rivoluzionarie capacità di calcolo del Quantum Computing rappresentano un grande passo avanti per l’IA, consentendo possibilità quasi illimitate. L’emergere del Quantum IA aprirebbe nuove frontiere nella potenza di calcolo, nella riduzione dei tempi di addestramento, nell’efficienza degli algoritmi e nelle capacità di risoluzione dei problemi in innumerevoli settori come la finanza, la creazione di modelli meteorologici, data science, ecc.
Da non trascurare il vantaggio che l’IA avrebbe sul consumo energetico dei sistemi di calcolo e sui lunghi tempi di elaborazione degli attuali sistemi di IA. Nonostante le complessità che possono essere supposte, la Quantum AI potrebbe rivelarsi fondamentale per superare gli ostacoli più impegnativi che vengono presentati”.
Conclusioni
Nel 2026 la cybersecurity non può più essere interpretata come una funzione tecnica isolata né come un semplice centro di costo. È una disciplina strategica che abilita continuità operativa, fiducia digitale e competitività. In questo scenario, il governo dell’incertezza digitale non può prescindere dall’accettare che gli incidenti non siano eccezioni, ma una condizione strutturale degli ecosistemi interconnessi, laddove il vero vantaggio risiede nella capacità di anticipare, assorbire e recuperare rapidamente.
La resilienza digitale emerge come sintesi di analisi del rischio, threat intelligence, automazione, formazione e governance. Non si costruisce accumulando tecnologie, ma integrando informazioni, processi e persone in un modello adattivo e misurabile. La threat intelligence, nelle sue dimensioni strategica, operativa e tattica, rappresenta il filo conduttore che consente di trasformare la complessità in decisioni consapevoli, orientando investimenti, architetture e priorità operative.
In questo contesto, i framework normativi come NIS2 e DORA non rappresentano meri obblighi di conformità, ma catalizzatori di un cambio di paradigma: spingono le organizzazioni a dimostrare, e non solo dichiarare, la propria resilienza operativa e la capacità di gestione del rischio cyber lungo l’intera catena del valore. La sicurezza non riguarda più esclusivamente il perimetro interno, ma si estende in modo strutturale alla supply chain digitale, rendendo la gestione del rischio di terze parti un elemento imprescindibile della strategia di cybersecurity.
DevSecOps, monitoraggio continuo, AI, cyber-range e nuove architetture di rete non sono obiettivi in sé, ma strumenti per ridurre il dwell time, aumentare la qualità del software e rendere la sicurezza parte integrante del business, anche nei rapporti con fornitori, partners e service providers critici. Allo stesso tempo, il fattore umano resta centrale: consapevolezza, competenze e cultura della sicurezza determinano il successo di qualsiasi strategia tecnologica, soprattutto in un contesto in cui l’AI amplifica tanto le opportunità quanto i rischi.
Infine, le tecnologie emergenti, dal SASE al quantum computing, impongono una visione di lungo periodo: prepararsi oggi significa evitare domani decisioni affrettate e costose. Le organizzazioni che sapranno adottare un approccio razionale, basato sul rischio, sulla misurabilità e sulla collaborazione tra pubblico e privato, non si limiteranno a resistere agli attacchi, ma trasformeranno la resilienza digitale, obiettivo finale verso cui convergono NIS2 e DORA, in un vero fattore di sviluppo, fiducia e vantaggio competitivo sostenibile.
