La quinta edizione della Global Future of Cyber Survey individua cinque paradossi che separano la fiducia nella strategia dalla preparazione operativa. Crescono budget e supporto dei vertici, ma restano lacune nei rapporti con le funzioni aziendali, nella gestione dei fornitori e nell’integrazione tecnologica.
La cybersecurity occupa ormai uno spazio stabile nelle agende dei vertici aziendali, ma la presenza di una strategia non garantisce che le misure previste risultino applicate in modo uniforme.
La quinta edizione della Global Future of Cyber Survey di rileva che l’85% degli intervistati mostra un livello di fiducia medio o elevato nella strategia di sicurezza della propria organizzazione. La quota media di chi dichiara di avere applicato le azioni analizzate in misura ampia o molto ampia si ferma invece al 70%. Il divario tra fiducia e preparazione operativa raggiunge quindi 15 punti percentuali.
L’indagine raccoglie le risposte di 1.058 responsabili aziendali e tecnologici di 43 Paesi, attivi in cinque industrie e 23 settori. Deloitte ha inoltre realizzato interviste con nove esponenti della C-suite. La rilevazione descrive le valutazioni dei partecipanti e non costituisce una misurazione tecnica diretta delle difese delle aziende coinvolte.
Secondo Matthew Holt, Cyber Leader di Deloitte Central Mediterranean, il principale ostacolo alla maturità cyber non deriva soltanto dai budget o dalla governance. Il rapporto individua cinque tensioni strutturali che riguardano preparazione, influenza del CISO, numero di fornitori, frequenza delle violazioni e pianificazione degli investimenti.
Il primo paradosso: molta fiducia, meno preparazione
L’85% degli intervistati afferma di avere una fiducia almeno discreta nella strategia cyber della propria organizzazione. Tra i principali elementi che alimentano questa percezione figurano:
- architetture di sicurezza moderne, citate dal 42%;
- capacità di rilevamento, risposta e resilienza agli incidenti, indicate dal 36%;
- governance dei dati, al 35%;
- supporto e allineamento della C-suite, al 33%;
- disponibilità di personale qualificato, al 32%. (Deloitte)
Il dato relativo all’implementazione mostra però un quadro meno uniforme. In media, il 70% dei partecipanti dichiara che la propria organizzazione ha applicato in misura ampia o molto ampia l’insieme delle azioni di cybersecurity considerate dalla survey.
La percentuale non significa che sette aziende su dieci abbiano completato ogni intervento previsto dalla strategia. Deloitte ha calcolato una media sulle risposte relative a più attività, tra le quali gestione del rischio, risposta agli incidenti, controllo dei fornitori, integrazione con il business e protezione dei dati.
Tra le aree meno mature compare la gestione del rischio cyber legato a terze parti. Solo il 65% degli intervistati dichiara di avere adottato queste capacità in misura ampia. La presenza di una figura BISO, cioè un responsabile che collega sicurezza e unità di business, raggiunge il 63%. (Deloitte)
Deloitte attribuisce parte del divario anche alla carenza di competenze. Il 10% dei partecipanti indica la mancanza di personale qualificato come primo limite alla capacità di reagire con rapidità ai problemi cyber. L’intelligenza artificiale usata dagli attaccanti occupa il secondo posto tra i fattori citati. (Deloitte)
Il secondo paradosso: il CISO è vicino ai vertici, meno alle altre funzioni
La sicurezza informatica ha consolidato il proprio rapporto con i vertici. Il 66% degli intervistati descrive come forte o molto stretta la relazione tra CISO e CEO. La percentuale sale al 76% quando il confronto riguarda la C-suite nel suo complesso.
Il 28% dei CISO risponde direttamente al CEO, mentre il 33% fa riferimento al CIO. Inoltre, il 54% delle organizzazioni dichiara di avere già integrato la cybersecurity nella strategia tecnologica e aziendale oppure di avere inserito requisiti cyber nei piani futuri. (Deloitte)
L’influenza diminuisce però nelle relazioni con alcune funzioni operative. Solo il 22% descrive il rapporto tra CISO e Chief Architect come una collaborazione profonda e basata su una responsabilità condivisa. La quota sale al 37% per il Chief Technology Officer e al 49% per il CIO.
Nel rapporto con le risorse umane, il 20% indica una collaborazione profonda, mentre un ulteriore 37% parla di una relazione strategica o forte. Il totale delle due categorie raggiunge quindi il 57%, ma solo una parte riguarda una vera condivisione delle responsabilità.
Anche DevSecOps presenta una situazione simile. Il 78% dichiara che i responsabili cyber partecipano formalmente ai processi di sviluppo e gestione tecnologica, ma soltanto il 40% rileva una responsabilità congiunta basata su indicatori condivisi. (Deloitte)
Questa distanza può produrre controlli di sicurezza aggiunti in una fase avanzata, anziché integrati nella progettazione di prodotti, infrastrutture e processi. Può inoltre rallentare la valutazione dei rischi associati a nuove applicazioni, servizi cloud e sistemi basati sull’intelligenza artificiale.
Il terzo paradosso: le aziende cercano semplicità, ma aumentano i fornitori
Le organizzazioni mostrano interesse per piattaforme cyber più integrate, ma il numero di partner continua a crescere.
Il 38% degli intervistati lavora con 11-20 fornitori, mentre il 29% ne utilizza almeno 21. Il 74% afferma che il numero di partner di cybersecurity è aumentato nell’ultimo anno. (Deloitte)
Le previsioni indicano un’ulteriore espansione. Il 59% si attende più partner entro dodici mesi, il 79% entro tre anni e l’85% entro cinque anni.
L’incremento dipende in parte dalla necessità di aggiungere competenze specialistiche. Il 76% delle organizzazioni dichiara di avere scelto fornitori che includono funzioni di intelligenza artificiale nei propri servizi. Quasi tre intervistati su quattro hanno inoltre aggiornato i programmi cyber per introdurre capacità avanzate di analisi delle minacce e controllo delle infrastrutture. (Deloitte)
La presenza di molti prodotti può però creare sovrapposizioni, formati di dati incompatibili e procedure separate. Solo il 30% circa degli intervistati considera la cybersecurity fortemente integrata nello stack tecnologico aziendale. (Deloitte)
Deloitte non propone una riduzione indiscriminata del numero di fornitori. Il rapporto suggerisce piuttosto una razionalizzazione basata su requisiti tecnici, interoperabilità, copertura del rischio e qualità dei dati.
Le piattaforme integrate assumono particolare importanza per i sistemi di intelligenza artificiale e per i flussi di lavoro agentici. Queste tecnologie richiedono dati normalizzati, autorizzazioni coerenti e una visibilità comune sugli eventi di sicurezza.
La quota di organizzazioni che considera trasformativo il passaggio verso piattaforme cyber integrate era pari al 10% nel 2024 e ha raggiunto il 21% nel 2025. Il 51% prevede che tale trasformazione assuma un ruolo rilevante nel 2026. (Deloitte)
Il quarto paradosso: molte violazioni, ma impatti meno gravi
Il 78% delle organizzazioni ha dichiarato pubblicamente almeno una violazione di sicurezza nel 2025, contro il 91% rilevato nell’edizione precedente.
Il 27% ha comunicato tra una e cinque violazioni, il 31% tra sei e dieci, il 16% tra 11 e 15 e il 4% almeno 16. Il 17% non ha dichiarato alcun incidente. Un ulteriore 5% del campione appartiene a società private senza obbligo di comunicazione pubblica, motivo per il quale le percentuali del grafico non raggiungono il 100%.
I criminali informatici rappresentano la fonte di minaccia che suscita maggiore preoccupazione, con il 30% delle risposte. Seguono cyberterroristi al 15%, hacktivisti e terze parti affidabili al 10%. Tra le tecniche più temute compaiono ransomware al 20%, malware al 15% ed esfiltrazione dei dati al 14%.
Diminuisce anche la quota media di intervistati che attribuisce agli incidenti conseguenze ampie o molto ampie: 52% nel 2025, contro il 64% dell’anno precedente. (Deloitte)
Le interruzioni operative restano l’effetto più frequente, citato dal 58% del campione, ma il dato era pari al 66% dodici mesi prima. La riduzione può indicare una maggiore capacità di contenimento e ripristino. (Deloitte)
Il numero inferiore di violazioni pubbliche non permette però di stabilire, da solo, che gli incidenti siano diminuiti. Alcune organizzazioni potrebbero non individuare tutti gli accessi illeciti oppure potrebbero non avere obblighi di comunicazione equivalenti. La stessa Deloitte invita a considerare la possibilità di eventi non rilevati o non dichiarati.
Il quinto paradosso: più budget in uno scenario meno prevedibile
Gli investimenti continuano a crescere. L’85% degli intervistati dichiara un aumento del budget cyber rispetto all’anno precedente, mentre l’88% prevede un’ulteriore crescita nei dodici mesi successivi.
Per il prossimo anno:
- il 43% prevede un incremento inferiore al 10%;
- il 37% stima una crescita compresa tra il 10% e il 25%;
- l’8% si attende un aumento superiore al 25%;
- il 10% non prevede variazioni.
La provenienza dei fondi resta distribuita tra budget IT centrale, che copre il 43%, unità di business al 30% e gestione del rischio aziendale al 26%.
Il problema non riguarda quindi soltanto la disponibilità di risorse. Le organizzazioni devono assegnare il budget in un contesto nel quale tecnologie, minacce e requisiti normativi possono cambiare durante lo stesso ciclo di pianificazione.
Il 72% dei partecipanti ha già inserito nuovi approcci di ragionamento generativo nelle capacità di intelligenza artificiale esistenti. Questo sviluppo richiede investimenti nella protezione dei modelli, nella governance dei dati, nel controllo delle identità non umane e nella supervisione degli agenti autonomi. (Deloitte)
Dalla strategia cyber all’esecuzione operativa
I cinque paradossi descritti da Deloitte mostrano organizzazioni che hanno consolidato il sostegno dei vertici e aumentato gli investimenti, ma che non hanno ancora esteso la sicurezza con la stessa profondità a ogni processo.
Il passaggio operativo richiede rapporti più stretti tra CISO, architettura, risorse umane, sviluppo, acquisti e unità di business. Richiede anche una gestione dei fornitori basata sulla visibilità e sull’integrazione, anziché sul semplice numero di prodotti acquistati.
Il rapporto assegna una particolare importanza alla capacità di collegare il rischio tecnico alle conseguenze aziendali. Il 67% degli intervistati svolge esercizi di scenario per associare la cybersecurity alla strategia del business. Queste attività permettono di definire priorità, stimare gli impatti e valutare l’efficacia dei piani di risposta. (Deloitte)
La maturità cyber non coincide quindi con la sola presenza di una strategia, di un budget o di un rapporto diretto con il CEO. Dipende dalla capacità di applicare controlli, ruoli e procedure nelle attività quotidiane, anche quando infrastrutture e minacce cambiano rapidamente.
