Le grandi imprese si trovano oggi ad affrontare un profondo divario in materia di sicurezza informatica: il crescente numero di attacchi basati sull’intelligenza artificiale e di APT sta mettendo a dura prova team già limitati dal punto di vista delle risorse umane. Allo stesso tempo, la frammentazione degli strumenti genera lacune nella visibilità e alimenta una diffusa “stanchezza da allarmi”. Per rafforzare la resilienza, le aziende dovrebbero consolidare le piattaforme, automatizzare le risposte e integrare sistemi di rilevamento basati sull’intelligenza artificiale, passando da un approccio reattivo di “spegnimento degli incendi” a una protezione su larga scala guidata dall’intelligence.
Nel giro di pochi anni, il panorama della sicurezza informatica nelle grandi aziende ha subito una trasformazione radicale. Forze lavoro ibride, architetture multi-cloud, operazioni basate sull’intelligenza artificiale e supply chain di terze parti sempre più complesse hanno ampliato la superficie di attacco ben oltre i limiti per cui i modelli di sicurezza tradizionali erano stati progettati. Parallelamente, gli autori delle minacce sono diventati più sofisticati, organizzati e persistenti. Ne deriva un disallineamento strutturale: la portata e la complessità delle minacce stanno superando la capacità di molti team di sicurezza di rilevarle, analizzarle e contrastarle in modo efficace.
Per i responsabili della sicurezza, la sfida consiste nel gestire l’intersezione tra minacce in rapida crescita, carenza di personale qualificato e architetture di sicurezza frammentate, il tutto dovendo al contempo giustificare gli investimenti al consiglio di amministrazione e garantire la resilienza operativa. Oggi questo scenario è caratterizzato da tre sfide strettamente interconnesse.
Sfida n. 1: aumento del volume e della rapidità degli attacchi
Il ritmo degli attacchi informatici moderni sta mettendo sotto pressione le operazioni di sicurezza aziendali. Gli autori delle minacce agiscono con crescente rapidità: dalla compromissione iniziale al movimento laterale fino all’esfiltrazione dei dati, il tempo disponibile per identificare e contenere un incidente si riduce sempre di più.
Le Advanced Persistent Threat (APT) continuano a rappresentare il rischio più grave per le grandi aziende. Questi gruppi, ben finanziati, disciplinati e spesso sostenuti da Stati nazionali o infrastrutture criminali organizzate, sono stati rilevati nel 21% dei clienti nel 2025 e hanno rappresentato il 23% di tutti gli incidenti ad alta gravità, secondo il report globale di Kaspersky Security Services.
Ciò che rende gli APT particolarmente pericolosi è la loro disciplina operativa. Piuttosto che affidarsi a un singolo exploit, questi attori combinano furto di credenziali, tecniche “living-off-the-land”, movimenti laterali e meccanismi di persistenza invisibile, riuscendo così a rimanere inosservati per lunghi periodi.
Su cosa dovrebbero concentrarsi i team di sicurezza:
· Garantire visibilità in tempo reale sugli endpoint, così da rilevare comportamenti anomali e segnali precoci di compromissione
· Correlare i dati di telemetria provenienti da endpoint, identità, posta elettronica e cloud per identificare attacchi multistadio e movimenti laterali
· Automatizzare le attività di triage e contenimento per ridurre il tempo di permanenza delle minacce
· Integrare attività di threat hunting proattivo per individuare persistenze nascoste e operazioni avanzate degli avversari
· Accelerare i tempi di risposta critica attraverso scenari predefiniti attivabili con un solo clic
L’obiettivo è trasformare le operazioni di sicurezza da un approccio reattivo, focalizzato sulla gestione dell’emergenza, a una difesa proattiva e intelligence-driven, in cui le minacce vengano identificate tempestivamente, contenute rapidamente e analizzate nel loro contesto per evitarne il ripetersi.
Sfida n. 2: difendersi dalle minacce basate sull’intelligenza artificiale in un contesto di carenza di personale qualificato
L’intelligenza artificiale consente agli autori degli attacchi di automatizzare le attività di ricognizione, generare su larga scala contenuti di phishing convincenti e adattare le tecniche in tempo reale, rendendo le campagne più rapide da eseguire e più difficili da individuare. La ricerca condotta da Kaspersky sulla campagna RevengeHotels evidenzia chiaramente questa tendenza: gli attori malevoli hanno sfruttato codice generato dall’intelligenza artificiale per accelerare lo sviluppo e la diffusione del malware, aumentando sia l’efficacia delle esche di phishing sia la capacità dei payload di eludere i sistemi di difesa. Questo riflette un cambiamento più ampio nelle modalità operative degli avversari più sofisticati.
Parallelamente, le aziende devono fare i conti con una persistente carenza di professionisti qualificati nel campo della sicurezza informatica. Il deficit globale di personale specializzato ammonta a milioni di unità e il 41% dei professionisti della cybersecurity afferma che la propria organizzazione soffre, almeno in parte, di una significativa carenza di personale. I Security Operation Center gestiscono volumi crescenti di alert con team che non aumentano allo stesso ritmo, mentre burnout ed elevato turnover aggravano ulteriormente la situazione.
La risposta strategica non può limitarsi all’assunzione di nuovi analisti, anche perché i canali di reclutamento non riescono a soddisfare la domanda. Le aziende devono invece integrare l’automazione assistita dall’intelligenza artificiale direttamente nei flussi di lavoro della sicurezza, automatizzando la classificazione degli alert, accelerando le indagini grazie alla sintesi contestuale, standardizzando la risposta attraverso procedure operative predefinite e consentendo a team più piccoli di operare con la stessa efficacia di strutture più ampie.
Anche il consolidamento degli strumenti contribuisce a ridurre il carico cognitivo degli analisti, che oggi sono costretti a passare continuamente da una dashboard all’altra per ricostruire la cronologia di un singolo incidente.
Sfida n. 3: la proliferazione degli strumenti crea ostacoli e compromette la visibilità
Nel corso degli anni, le infrastrutture di sicurezza aziendale si sono sviluppate in modo organico, con l’aggiunta progressiva di soluzioni pensate per rispondere a minacce specifiche o a requisiti normativi. In molte organizzazioni il risultato è un’architettura frammentata, composta da decine di strumenti autonomi distribuiti tra endpoint, reti, ambienti cloud, gestione delle identità e protezione dei dati, ciascuno dei quali genera alert, richiede gestione dedicata e opera in larga parte in isolamento.
Le conseguenze operative sono significative. I team di sicurezza dedicano molto tempo all’integrazione degli strumenti, alla riconciliazione dei dati di telemetria e al continuo passaggio tra console differenti per ricostruire l’entità di un incidente. Si sviluppa così una vera e propria “stanchezza da allarmi”, mentre i tempi delle indagini si allungano. Gli analisti qualificati, già difficili da reperire, vengono assorbiti da attività manuali di correlazione invece di concentrarsi sulla riduzione proattiva dei rischi. Oltre la metà degli esperti di sicurezza dichiara di sentirsi sopraffatta dalla gestione di strumenti di cybersecurity appartenenti a fornitori diversi.
Anche le conseguenze a livello aziendale sono rilevanti. Gli stack frammentati generano lacune nella visibilità sugli endpoint — ancora oggi il principale punto di accesso alle reti aziendali per gli attacchi informatici — e rendono difficile dimostrare al consiglio di amministrazione un ritorno sull’investimento misurabile in termini di sicurezza. Inoltre, il costo totale di proprietà va ben oltre le sole licenze: complessità di integrazione, requisiti infrastrutturali e attività continue di ottimizzazione possono moltiplicare gli investimenti iniziali da tre a cinque volte.
Per affrontare la proliferazione degli strumenti è necessario adottare una strategia di consolidamento mirata. Le organizzazioni dovrebbero:
· Integrare gli strumenti sovrapposti in piattaforme EDR e XDR unificate
· Centralizzare la raccolta della telemetria e la gestione degli incidenti per eliminare le lacune di visibilità
· Automatizzare i flussi di lavoro di correlazione e risposta, riducendo il carico manuale e i continui cambi di contesto
· Implementare procedure di indagine predefinite e workflow di risposta standardizzati per garantire una gestione coerente
· Allineare le decisioni relative agli strumenti a risultati operativi misurabili e a un ROI dimostrabile
L’obiettivo non è soltanto ridurre i costi, ma anche ottenere maggiore chiarezza operativa. Una piattaforma di sicurezza unificata consente infatti di diminuire il numero di strumenti, migliorare la visibilità, accelerare la risposta agli incidenti e garantire un’efficienza sostenibile e scalabile, senza richiedere un aumento proporzionale di personale o infrastrutture.
Sviluppare la resilienza su larga scala
Le sfide legate all’aumento del volume degli attacchi, all’utilizzo dell’intelligenza artificiale da parte degli aggressori e ai rallentamenti operativi causati da architetture di sicurezza frammentate non possono più essere considerate fenomeni isolati. Affrontarne soltanto una non è sufficiente. Le soluzioni della linea di prodotti Kaspersky Next Expert sono progettate proprio per rispondere a queste esigenze, offrendo protezione continua basata sull’intelligenza artificiale, funzionalità di rilevamento e risposta estese a tutti gli endpoint e oltre, correlazione cross-domain in tempo reale e una piattaforma di gestione unificata in grado di ridurre la frammentazione degli strumenti e abbassare il costo totale di proprietà. Le aziende possono inoltre migliorare il proprio livello di sicurezza grazie alla consulenza degli esperti Kaspersky, personalizzata in base alle esigenze e al contesto specifico di ciascuna organizzazione.