Attacchi più rapidi, uso dell’intelligenza artificiale da parte dei criminali e infrastrutture frammentate aumentano la pressione sui team di sicurezza. Per le imprese diventa essenziale migliorare la visibilità, automatizzare le risposte e ridurre la complessità degli strumenti.
Il panorama della sicurezza informatica aziendale ha subito una profonda trasformazione. Il lavoro ibrido, le architetture multi-cloud, i servizi basati sull’intelligenza artificiale e il crescente numero di fornitori esterni hanno ampliato la superficie esposta agli attacchi. Allo stesso tempo, i gruppi criminali hanno acquisito maggiori risorse, competenze e capacità operative. Molti team di sicurezza devono quindi affrontare minacce più veloci e sofisticate con personale limitato e infrastrutture composte da strumenti che spesso non comunicano tra loro. Secondo Kaspersky, le grandi imprese devono affrontare tre problemi strettamente collegati: l’aumento del volume e della velocità degli attacchi, la carenza di personale qualificato e la proliferazione delle soluzioni di sicurezza.
Gli attacchi lasciano sempre meno tempo alle aziende
Gli attacchi informatici moderni possono evolvere in tempi molto brevi. Dopo il primo accesso, i criminali tentano di acquisire privilegi più elevati, spostarsi tra i sistemi aziendali, sottrarre informazioni e mantenere una presenza nascosta nella rete.Le Advanced Persistent Threat, note come APT, rappresentano uno dei rischi più rilevanti per le grandi organizzazioni. Si tratta di gruppi strutturati, spesso sostenuti da Stati o collegati a reti criminali organizzate, che conducono operazioni mirate e prolungate. Secondo il report globale di Kaspersky Security Services, nel 2025 le attività APT hanno interessato il 21% dei clienti analizzati e hanno rappresentato il 23% degli incidenti classificati ad alta gravità.
La pericolosità di questi gruppi non dipende soltanto dall’uso di vulnerabilità sconosciute. Gli attaccanti combinano spesso credenziali rubate, strumenti legittimi presenti nei sistemi, tecniche di movimento laterale e meccanismi che permettono di mantenere l’accesso senza lasciare segnali evidenti. Per contrastare queste operazioni, le aziende devono disporre di una visibilità costante sugli endpoint e collegare i dati provenienti da identità, posta elettronica, reti e servizi cloud. L’analisi isolata dei singoli alert può infatti impedire al Security Operation Center di riconoscere un attacco articolato in più fasi.Anche la rapidità della risposta assume un ruolo centrale. Procedure predefinite possono permettere al team di sicurezza di isolare un dispositivo, bloccare un account compromesso o interrompere una connessione sospetta prima che l’incidente coinvolga altri sistemi.
L’intelligenza artificiale accelera le attività criminali
L’intelligenza artificiale offre nuovi strumenti anche agli autori degli attacchi. I criminali possono utilizzarla per automatizzare la ricognizione, produrre messaggi di phishing credibili, modificare script e adattare le campagne in tempi ridotti. La ricerca di Kaspersky sulla campagna RevengeHotels mostra un esempio di questa evoluzione. Gli attaccanti hanno utilizzato codice generato con il supporto dell’intelligenza artificiale per velocizzare lo sviluppo e la distribuzione del malware.
Questi strumenti non trasformano automaticamente una campagna ordinaria in un’operazione avanzata, ma possono ridurre il tempo e le competenze necessarie per creare nuove varianti, correggere errori e modificare le tecniche di elusione. Le aziende devono affrontare questa evoluzione in un contesto caratterizzato da una persistente carenza di specialisti. Il 41% dei professionisti della cybersecurity dichiara che la propria organizzazione soffre, almeno in parte, di una significativa carenza di personale qualificato.
I Security Operation Center ricevono quantità crescenti di segnalazioni, ma gli organici non aumentano allo stesso ritmo. Il sovraccarico di lavoro, il burnout e il ricambio frequente del personale possono ridurre ulteriormente la capacità di analisi. La risposta non può dipendere soltanto da nuove assunzioni. Le imprese devono introdurre strumenti capaci di classificare gli alert, raccogliere le informazioni relative agli incidenti e applicare procedure operative standard. L’automazione può sollevare gli analisti dalle attività ripetitive e lasciare più spazio alle indagini complesse. La supervisione umana resta però necessaria. Un sistema automatizzato deve supportare il lavoro degli specialisti, non sostituire la valutazione tecnica nei casi che possono avere conseguenze sui servizi aziendali.
La frammentazione degli strumenti riduce la visibilità
Molte infrastrutture di sicurezza aziendali si sono sviluppate attraverso acquisizioni successive. Ogni nuova minaccia o obbligo normativo ha portato all’introduzione di una soluzione dedicata.
Il risultato è spesso un insieme composto da decine di prodotti distinti per endpoint, reti, cloud, identità, posta elettronica e protezione dei dati. Ogni piattaforma produce alert, richiede configurazioni specifiche e utilizza una propria console.
Gli analisti devono quindi confrontare informazioni provenienti da sistemi differenti per comprendere la reale portata di un incidente. Questa attività manuale allunga i tempi delle indagini e aumenta il rischio che alcuni segnali passino inosservati.
Oltre la metà degli esperti di sicurezza coinvolti nelle rilevazioni citate da Kaspersky afferma di sentirsi sopraffatta dalla gestione di strumenti appartenenti a fornitori diversi.
La proliferazione delle piattaforme alimenta anche la cosiddetta stanchezza da allarmi. Quando il numero di segnalazioni supera la capacità del team, gli eventi realmente pericolosi possono confondersi con falsi positivi o notifiche di scarsa rilevanza.
La frammentazione ha inoltre un impatto economico. Il costo di una soluzione non comprende soltanto le licenze, ma anche l’integrazione, l’infrastruttura necessaria, la formazione del personale e le attività di manutenzione. Secondo Kaspersky, questi elementi possono portare il costo totale di proprietà a un valore compreso tra tre e cinque volte l’investimento iniziale.
Il consolidamento può ridurre la complessità
Le aziende possono affrontare la proliferazione degli strumenti attraverso una strategia di consolidamento mirata. L’obiettivo non consiste necessariamente nell’affidare ogni funzione a un unico fornitore, ma nel ridurre le sovrapposizioni e centralizzare i dati più importanti.
Le piattaforme EDR permettono di rilevare e analizzare le attività sospette sugli endpoint. Le soluzioni XDR estendono questa capacità a più domini, come identità, cloud, posta elettronica e reti.
Una maggiore integrazione permette al Security Operation Center di osservare l’intera sequenza di un attacco, invece di analizzare una serie di eventi separati. Procedure uniformi possono inoltre assicurare una risposta coerente e ridurre i continui passaggi tra console diverse.
Kaspersky indica la linea Kaspersky Next Expert come una risposta a queste esigenze. La proposta comprende funzioni di protezione degli endpoint, rilevamento e risposta, correlazione tra più domini e gestione centralizzata.
Le aziende possono affiancare queste tecnologie a servizi di consulenza e threat hunting, soprattutto quando non dispongono internamente di tutte le competenze necessarie.
La resilienza richiede preparazione e capacità di recupero
La sicurezza aziendale non può basarsi soltanto sulla prevenzione. Nessuna organizzazione può escludere del tutto la possibilità di una compromissione.
La resilienza dipende quindi dalla capacità di riconoscere rapidamente un incidente, limitarne gli effetti, ripristinare i servizi e utilizzare le informazioni raccolte per evitare il ripetersi dello stesso schema di attacco.
Le imprese devono valutare risultati concreti, come il tempo medio di rilevamento, il tempo necessario per contenere un incidente, il numero di falsi positivi, la copertura degli endpoint e la durata della permanenza degli attaccanti nei sistemi.
La combinazione tra visibilità, automazione, competenze specialistiche e strumenti integrati può aiutare i team di sicurezza a superare un modello basato sulla sola gestione delle emergenze e a costruire una difesa più coerente con la complessità delle infrastrutture moderne.
