Come rendere più efficiente l’implementazione delle misure di sicurezza IT?
La sicurezza IT di molte aziende svizzere oggi assomiglia a una struttura improvvisata: molti strumenti, ma poco collegamento tra loro. Mentre il livello delle minacce aumenta, i reparti IT devono affrontare sistemi complessi e risorse limitate. Tuttavia, la sicurezza non deve restare un’utopia: con un approccio strutturato è possibile gestire la complessità e implementare una sicurezza efficace in modo sostenibile.
La sfida: complessità invece di controllo
L’attuale panorama della sicurezza IT assomiglia a una corsa agli armamenti senza fine: a ogni nuova minaccia corrisponde un nuovo strumento. Quello che un tempo iniziava con un semplice firewall e un antivirus si è trasformato in un arsenale complesso e poco trasparente composto da XDR, SIEM, PAM, SASE e molti altri meccanismi di difesa.
Il risultato? Ambienti di sicurezza sovraccarichi, difficili da gestire, ancora più difficili da comprendere – e nella pratica spesso efficaci solo in parte.
Nel mezzo: i reparti IT.
Devono rispondere a requisiti sempre più elevati, ma si trovano ad affrontare un dilemma: sistemi sempre più complessi devono essere gestiti, integrati e compresi con risorse qualificate insufficienti. Le competenze scarseggiano, la pressione aumenta – e ogni nuova soluzione introduce ulteriore complessità nel sistema.
Per questo molte aziende si affidano a Managed Services o soluzioni SaaS – un passo sensato, ma non una soluzione definitiva. Ciò che spesso si perde è l’integrazione: collaborazione, coordinamento e visione d’insieme vengono meno. Solo successivamente un SOCaaS cerca di colmare queste lacune.
Osservando la situazione con un po’ di distanza, l’architettura di sicurezza IT di molte aziende non appare come una fortezza solida – ma piuttosto come una casa instabile sul punto di crollare.
Il vero problema?
Non la mancanza di strumenti – ma l’assenza di struttura, strategia e chiarezza.
Il malinteso: il prodotto prima del piano
Troppo spesso le aziende iniziano la ricerca di un prodotto quando si trovano ad affrontare un problema di sicurezza urgente. Si dimentica però che ogni strumento di sicurezza esprime il proprio valore solo se è inserito in una strategia complessiva chiara. Marketing dei vendor e pressione sui tempi favoriscono decisioni affrettate – e la sicurezza sostenibile ne risente.
Piuttosto, dovreste porvi le seguenti domande: dove vogliamo arrivare? Come costruiamo il sistema di protezione? Di cosa abbiamo realmente bisogno?
Un’analogia strutturata: imparare dalla fortezza
La sicurezza può essere bene paragonata alla costruzione di una fortezza:
Strategia: quanto grande deve essere la fortezza? Quali valori devono essere protetti? Chi sono gli abitanti?
La strategia di sicurezza stabilisce il quadro per il livello di protezione da raggiungere nei prossimi 5–7 anni. Una fortezza non si costruisce dall’oggi al domani. Occorre sapere quanto alte e spesse dovranno essere le mura e quali asset dovranno essere protetti in modo particolare. Quanti “soldati” dovranno trovare spazio nella fortezza e chi, oltre al sovrano, dovrà essere protetto.
Architettura & concezione: dove costruire? Quali elementi difensivi sono necessari? Quali standard si applicano?
Nell’architettura di sicurezza si pianificano le linee di difesa: servono mura o fossati? Il terreno è adatto? Quali risorse devono essere considerate? Solo quando questi elementi di base sono definiti, è possibile scegliere in modo sensato la posizione della “fortezza”.
Nella fase di concezione vengono poi definiti gli standard secondo cui lavorare, affinché tutti contribuiscano allo stesso obiettivo. Nell’analogia, potrebbe trattarsi della scelta tra mattoni o pietra naturale per le mura, oppure se costruire un’unica cinta muraria spessa o più cinte più sottili.
Design: quali funzionalità specifiche (ad es. controlli di accesso, monitoraggio) vengono implementate e dove
Nella fase di design si definiscono i dettagli: di quali feritoie c’è bisogno – e per quali “armi”? Dove si trovano le aree sensibili e come vengono protette? Solo quando questa pianificazione di dettaglio è completata, si passa alla fase di approvvigionamento.
Solo con questo approccio è possibile evitare di costruire un bel portone – dimenticandosi però di collegarlo a una muratura.
Ein Beispiel aus der Praxis: Struktur statt Schnellschuss
Un cliente di Axians si trovava ad affrontare la complessa sfida di proteggere dati personali altamente sensibili, garantendo al contempo un accesso semplice per gli utenti autorizzati. Il contesto iniziale:
- Strategia SaaS-first
- Home office come standard
- Zero Trust come filosofia portante
La realtà dell’infrastruttura IT risultava però articolata: un data center proprio, servizi ospitati presso partner e un paesaggio software eterogeneo generavano un’elevata complessità.
La nostra risposta non è stata un ulteriore strumento di sicurezza, bensì un approccio guidato dalla strategia:
Fase 1: concetto di classificazione del fabbisogno di protezione
- I dati sono stati classificati secondo chiare classi di protezione
- Da queste sono stati derivati i requisiti di sicurezza e accesso
- Risultato: una visione sistematica dei rischi e degli obiettivi di protezione
Fase 2: architettura e concetto di zonizzazione
- Sulla base del concetto di protezione è stata creata una solida base di sicurezza:
- Modello di zone di rete per separare e proteggere i sistemi
- Concetti di sicurezza per IaaS e SaaS
- Linee guida per lo sviluppo software per proteggere il processo di sviluppo
Fase 3: design & consolidamento
Nella fase di design sono stati consolidati i requisiti dei diversi gruppi di utenti. Risultato:
- Sviluppo di un’architettura SASE,
- che integra componenti esistenti come firewall, WAN, accessi Internet e remote access
- creando così il punto di partenza per una piattaforma di sicurezza coerente
Fase 4: selezione & implementazione
- Sulla base di un catalogo di requisiti chiaro sono state richieste e valutate diverse offerte
- È stata selezionata una soluzione target
- L’implementazione è avvenuta con un affiancamento specialistico continuo, per garantire il raggiungimento sia degli obiettivi di sicurezza sia delle esigenze degli utenti
Il risultato: meno complessità, più sicurezza
- Struttura chiara e maggiore trasparenza nell’architettura di sicurezza
- Riduzione della complessità e amministrazione semplificata
- Livello di protezione più elevato con una migliore user experience
- Implementazione sostenibile della strategia di sicurezza
Conclusione: la sicurezza non è un prodotto – ma un processo
I reparti IT operano sotto una pressione costante: troppi strumenti, risorse insufficienti, poco spazio per la strategia. Ogni nuovo elemento di sicurezza si aggiunge come un’ulteriore toppa su un sistema già instabile.
Ciò che manca non è la tecnologia, ma una direzione chiara e condivisa. Solo quando IT, networking, team di sviluppo e partner esterni lavorano insieme verso un obiettivo comune, nasce una sicurezza reale: strutturata, coordinata e sostenibile.
La chiave è la strategia.
Non nella prossima soluzione, ma in un approccio trasversale. Chi pensa alla sicurezza IT come a un progetto olistico alleggerisce i propri team, crea chiarezza e getta le basi per una fortezza digitale solida e duratura.
Martin Buck
Dopo aver studiato informatica ed economia aziendale in Germania, Martin Buck è stato non solo co-proprietario e partner di AVANTEC AG, ma anche attivo come IT Security Engineer. Successivamente ha lavorato nelle vendite e come Senior ICT Architect presso Sidarion AG. Nel 2018 ha assunto il ruolo di Sales Director Zürich presso Axians, per poi diventare Head of Competence Center Security.