L’uso di strumenti senza una strategia comporta uno spreco di risorse

Le sfide che le aziende svizzere devono affrontare nel campo della cybersicurezza 

Nel 2025, le aziende e le autorità svizzere hanno segnalato circa 65.000 incidenti informatici all’Ufficio federale della cibersicurezza (B2B Cyber Security). Allo stesso tempo, più di un’azienda svizzera su dieci ha dovuto rinunciare a misure di sicurezza pianificate, non per mancanza di tecnologia, ma per insufficienza di budget (swisscybersecurity.net). Il vero problema è un altro: le organizzazioni acquistano strumenti, colmano lacune e consumano budget, ma la loro postura di sicurezza migliora comunque solo marginalmente. Ciò che manca sono strategia e struttura.

Secondo il BACS, da aprile 2025 a febbraio 2026 sono stati registrati 260 attacchi contro infrastrutture critiche. Dopo un incidente di questo tipo, le aziende coinvolte spesso iniziano la ricerca di nuovi prodotti: viene valutato, acquistato e introdotto un nuovo strumento che si aggiunge a un ambiente già composto da decine di decisioni isolate prese nel tempo. Il risultato non è un vero concetto di protezione, bensì un mosaico frammentato: molti strumenti, poca integrazione e un impatto complessivo limitato.

Il problema di fondo non è quindi la mancanza di tecnologia. È l’assenza di una strategia chiara che definisca cosa debba essere realmente protetto, quale livello di protezione si intenda raggiungere e come le misure debbano essere priorizzate e armonizzate con le risorse disponibili.

La struttura crea valore 

Una strategia di sicurezza definisce in modo concreto quali sistemi e dati richiedono il livello di protezione più elevato, quali vulnerabilità sono presenti e in quale ordine devono essere implementate le misure di sicurezza, tenendo conto del budget e delle risorse disponibili.

Questo allineamento è fondamentale: non è la misura più ampia o costosa a generare il maggiore beneficio in termini di sicurezza, ma quella giusta al momento giusto. Chi salta questa fase e passa direttamente all’architettura e all’implementazione perde il quadro d’insieme. Gli audit di sicurezza forniscono risultati e constatazioni, ma non il contesto strategico necessario. Vengono così adottate misure isolate, molti rischi rimangono irrisolti e le risorse vengono disperse perché manca una base solida. Sono essenziali tre livelli chiaramente distinti:

• Strategia: cosa deve essere protetto? Quale livello di protezione si vuole raggiungere? Quali rischi sono accettabili? Scopri di più qui.
• Architettura: come vengono progettati i livelli di difesa e strutturati i sistemi?  Scopri di più qui.
• Design: quali misure concrete devono essere implementate, dove e in che modo? Scopri di più qui.

Solo quando questi tre livelli sono correttamente allineati tra loro nasce un sistema di sicurezza efficace, in grado di funzionare nella pratica quotidiana e di garantire alle aziende la capacità di agire anche in situazioni critiche.

L’IA aumenta la pressione ad agire

Questa esigenza di chiarezza strategica diventa ancora più urgente con l’adozione dell’intelligenza artificiale. L’IA è ormai una realtà nelle aziende svizzere: viene utilizzata come assistente, strumento di analisi e componente dei processi automatizzati. Ciò comporta la creazione di nuovi flussi di dati, nuove dipendenze e nuove superfici di attacco che i modelli di sicurezza tradizionali coprono solo parzialmente.

Le aziende che introducono workload di IA senza sapere quali dati vengono trattati, dove vengono trasferiti, chi vi ha accesso e chi è responsabile in caso di errore creano rischi strutturali, indipendentemente dalla solidità del resto dell’architettura di sicurezza. La sicurezza dell’IA non è quindi una disciplina separata. È la naturale estensione di una strategia di sicurezza ben concepita: governance, trasparenza e responsabilità chiaramente definite sono importanti per i sistemi di IA tanto quanto per qualsiasi altra infrastruttura critica aziendale.