Cyber Exposure Management: perché conoscere il rischio non basta più

Negli ultimi anni le piattaforme di cyber security hanno moltiplicato la quantità di informazioni disponibili per i responsabili della sicurezza.

Security posture, vulnerability assessment, SIEM, strumenti di compliance, dashboard cloud e report di audit producono quotidianamente migliaia di evidenze tecniche.

Il paradosso è che, nonostante questa ricchezza informativa, molte organizzazioni continuano ad avere difficoltà nel rispondere ad alcune domande fondamentali: quali vulnerabilità rappresentano realmente un rischio? Quali percorsi di attacco sono concretamente sfruttabili? Quali interventi producono il maggiore beneficio in termini di riduzione dell’esposizione?

Il progetto Security Intelligence Platform, sviluppato da Kyndryl per ambienti Microsoft Azure e finalista dei Cybersecurity360 Awards, nasce proprio con l’obiettivo di superare questa frammentazione, trasformando dati tecnici distribuiti in un modello unico di supporto alle decisioni, particolarmente adatto a organizzazioni soggette a requisiti come DORA e a controlli continui di governance.

Dal Security Posture Management alla gestione dell’esposizione

Uno dei limiti più evidenti degli approcci tradizionali consiste nel considerare ogni vulnerabilità come un elemento indipendente.

Nella realtà, il livello di rischio dipende da molti altri fattori: la criticità dell’asset coinvolto, le identità che vi hanno accesso, le relazioni con altri sistemi, i possibili percorsi di attacco e il contesto operativo dell’organizzazione.

Perché una vulnerabilità non racconta tutta la storia

Per questo motivo, la piattaforma proposta da Kyndryl non si limita a raccogliere finding provenienti dal cloud, ma li collega tra loro attraverso una rappresentazione dinamica dell’ambiente, consentendo di comprendere quali esposizioni possano realmente compromettere i servizi aziendali.

Il passaggio è significativo: dalla semplice fotografia della postura di sicurezza a una valutazione dell’esposizione concreta al rischio.

Una piattaforma che unisce posture, attacco e remediation

L’architettura della Security Intelligence Platform integra in un unico framework componenti che, nella maggior parte delle organizzazioni, vengono ancora gestite separatamente.

Tra queste figurano:

• Security Posture Management;
• Attack Path Analysis;
• AI Security Posture Management (AI-SPM);
• SIEM e generazione di use case;
• compliance;
• remediation guidata;
• reporting operativo ed executive.

L’obiettivo non è aggiungere un ulteriore livello tecnologico, ma costruire una catena logica che colleghi evidenze tecniche, valutazione del rischio, scenari di attacco, priorità di intervento e decisioni operative.

Attack Path Analysis: comprendere come un attacco potrebbe evolvere

Uno degli elementi più interessanti del progetto riguarda l’analisi dei percorsi di attacco.

Anziché limitarsi a elencare vulnerabilità o configurazioni errate, la piattaforma ricostruisce le possibili catene di compromissione, mettendo in relazione asset, configurazioni, identità e dipendenze applicative.

Questa rappresentazione consente ai responsabili della sicurezza di comprendere non soltanto dove si trovi una debolezza, ma anche come potrebbe essere sfruttata da un attaccante e quali sistemi potrebbero essere coinvolti in caso di compromissione.

In questo modo la prioritizzazione delle attività di remediation si basa sul rischio effettivo e non esclusivamente sulla gravità teorica della singola vulnerabilità.

L’AI come supporto alle decisioni, non come sostituzione dei controlli

Il progetto dedica particolare attenzione anche alla sicurezza dei sistemi di intelligenza artificiale.

La piattaforma integra, infatti, funzionalità di AI Security Posture Management dedicate all’analisi di modelli linguistici, agenti AI, guardrail applicativi e possibili scenari di abuso, combinando modelli LLM con controlli deterministici progettati per garantire qualità, coerenza e verificabilità degli output.

Questo approccio appare particolarmente significativo perché evita di affidare completamente le decisioni ai modelli generativi.

L’intelligenza artificiale viene utilizzata per arricchire l’analisi contestuale, mentre i controlli deterministici garantiscono ripetibilità, auditabilità e trasparenza delle valutazioni, aspetti sempre più rilevanti nei contesti regolamentati.

Simulare il rischio prima di intervenire

Tra le funzionalità più originali figura il modulo What-If, che permette di simulare l’effetto di una modifica infrastrutturale o di una remediation prima della sua effettiva applicazione.

Questa capacità consente ai team di sicurezza di valutare preventivamente l’impatto delle azioni correttive, riducendo il rischio di introdurre effetti indesiderati negli ambienti di produzione e supportando decisioni più consapevoli.

Si tratta di un approccio che richiama i principi del digital twin applicati alla gestione del rischio cyber: prima si osservano le possibili conseguenze di un cambiamento, poi si procede alla sua implementazione.

Un modello pensato per la governance della sicurezza

Uno degli aspetti più interessanti del progetto riguarda la capacità di parlare contemporaneamente a pubblici diversi.

Le stesse informazioni vengono infatti trasformate in dashboard operative per gli specialisti della sicurezza, report destinati al management e documentazione utile per audit, compliance e attività di incident response.

In questo modo il rischio non rimane confinato all’interno delle funzioni tecniche, ma diventa un elemento condiviso anche con i livelli decisionali dell’organizzazione.

È una caratteristica sempre più importante in un contesto nel quale normative come DORA richiedono che il rischio cyber venga governato anche a livello manageriale e non soltanto operativo.

Una piattaforma replicabile oltre il cloud Azure

Pur essendo progettata per ambienti Microsoft Azure, la piattaforma è stata sviluppata secondo un’architettura modulare e API-first che ne facilita l’estensione verso altri contesti tecnologici.

I singoli moduli possono essere adottati progressivamente oppure integrati in un framework più ampio, consentendo alle organizzazioni di adattare il percorso di evoluzione al proprio livello di maturità e ai requisiti normativi di riferimento.

Questa flessibilità rappresenta uno degli elementi che ne favoriscono la replicabilità in differenti settori e modelli organizzativi.

Dal dato tecnico alla decisione consapevole

Il progetto sviluppato da Kyndryl evidenzia un cambiamento che sta interessando sempre più da vicino il lavoro dei responsabili della sicurezza. Il valore delle piattaforme di cybersecurity non dipende più soltanto dalla loro capacità di raccogliere informazioni, ma dalla possibilità di trasformare queste informazioni in decisioni coerenti, motivate e verificabili.

In questa prospettiva, concetti come Security Posture Management, Attack Path Analysis, AI Security e remediation cessano di essere discipline separate e diventano componenti di un unico processo di governo del rischio.

È un’evoluzione che risponde a una delle esigenze più sentite dai CISO: ridurre la distanza tra evidenze tecniche e scelte strategiche, costruendo una gestione dell’esposizione sempre più contestualizzata, misurabile e orientata al business.