Cyber risk, Italia nel mirino: perché la scelta del partner è una decisione di governance

Il cyberspazio non è mai stato così dinamico. Nel 2024 sono stati censiti circa 3.541 incidenti gravi a livello globale, il numero più alto di sempre e il 27% in più rispetto all’anno precedente, con circa l’80% degli eventi classificati come critici o di elevata gravità.

I dati rivelano che il cybercrime è il motore principale. Infatti, quasi nove attacchi su dieci hanno finalità economiche, favoriti da modalità “as-a-Service” che rendono gli strumenti offensivi accessibili anche a chi non ha particolari competenze tecniche.

Cyber risk: l’Italia è nel mirino

In questo quadro, stando alle informazioni diffuse dall’Agenzia per la Cybersicurezza Nazionale, nel 2025 il CSIRT Italia (la struttura nazionale per la prevenzione e la risposta agli incidenti di sicurezza informatica, operante all’interno dell’Agenzia) ha gestito 2.729 eventi cyber – ossia avvenimenti con potenziale impatto su enti nazionali per cui il CSIRT Italia ha diramato alert e/o supportato i soggetti colpiti –, con un incremento del 38% rispetto all’anno precedente, e 615 di essi hanno avuto un concreto impatto per le vittime.

Il numero maggiore per tipologia è rappresentato da Distributed Denial of Service (DDoS), esposizione di dati e phishing, ma quelli che hanno causato maggiori danni sono stati malware, ransomware e compromissione delle caselle di posta.

Il dato più eloquente, però, riguarda i vettori di accesso dal momento che il 40% degli attacchi passa dall’e-mail e il 24% dall’uso di credenziali valide, contro l’11% dello sfruttamento di vulnerabilità.

Da questi dati emerge con chiarezza che il fattore umano resta la prima linea di difesa e la più esposta. Inoltre, le vittime preferite dagli attaccanti sono soprattutto le piccole imprese, dal moment che spesso hanno livelli di protezione limitati e di frequente costituiscono una porta di accesso ai sistemi di aziende più grandi.

Tali fattori fanno sì che l’Italia abbia subito un numero decisamente superiore di attacchi gravi rispetto a quelli subiti da altri Stati europei come Francia, Germania e Regno Unito.

Le principali ragioni sottostanti a questa differenza sono la presenza di un tessuto produttivo costituito in prevalenza di PMI, che faticano a reperire risorse e competenze, una forte esposizione del manifatturiero (circa un quarto degli incidenti del settore a livello globale riguarda realtà italiane) e una capacità di contrasto ancora disomogenea anche verso attacchi poco sofisticati.

Il quadro normativo

Coerentemente con questo scenario in costante evoluzione, il legislatore europeo ha posto l’accento sull’importanza che una maggiore regolamentazione ha nella gestione delle minacce derivanti dal cyberspazio incrementando la produzione di normative volte ad incrementare la sicurezza informatica delle realtà pubbliche e private.

Tra quelle che hanno avuto maggiore eco spicca sicuramente la Direttiva NIS 2 che sta cercando di cambiare il paradigma della cyber security rendendola un profilo strutturale della governance aziendale.

A tal fine, ha introdotto una diretta responsabilità degli organi di vertice in caso di inosservanza delle disposizioni normative, nonché l’obbligo di creare dei canali di comunicazione periodici e strutturati affinché essi siano sempre aggiornati sullo stato di implementazione delle misure prescritte dalla normativa e possano esercitare efficacemente il loro potere di supervisione.

In tale contesto sono previsti anche obblighi di formazione periodica sui temi della cyber security per consentire anche ai vertici aziendali di acquisire competenze e conoscenze utili a individuare i rischi e valutare le pratiche di gestione dei rischi per la sicurezza informatica e il loro impatto.

Inoltre, sono previsti obblighi di notifica, a cui le aziende devono ottemperare in tempi ancora più stringenti di quelli previsti dalla normativa in materia di protezione dei dati personali, ossia 24 ore dal rilevamento dell’incidente. Ciò porta alla necessità di avere procedure interne chiare, definite e ben collaudate che consentano di fluidificare i processi e di avere criteri decisionali chiari.

Da quanto sopra emerge chiaramente, come la cyber sicurezza, così come concepita dalle più recenti normative, abbia numerose sfaccettature, che abbracciano diverse aree aziendali. Proprio in quest’ottica, alle aziende viene richiesto di implementare misure organizzative, operative e tecniche.

La scelta del partner giusto

È qui che la scelta dei partner tecnologici smette di essere una questione di procurement e diventa una decisione di governance. Le organizzazioni più resilienti coinvolgono la funzione sicurezza negli acquisti (70%) e valutano la maturità dei fornitori (59%).

Dunque, servono interlocutori capaci di accompagnare l’impresa lungo l’intera catena del valore, di integrare tecnologie diverse e di garantire competenze che, soprattutto per le PMI, è difficile costruire in casa.

In questa prospettiva si colloca V-Valley, società del Gruppo Esprinet specializzata in soluzioni IT avanzate. Affianca reseller, system integrator e fornitori di servizi gestiti nei progetti di cybersecurity, integrando la protezione di reti, identità e dati con le esigenze di cloud e data center. Aiuta così i partner a costruire proposte coerenti con i rischi e le infrastrutture di ciascun cliente.

«La scelta del partner giusto incide sulla capacità di trasformare un’esigenza di sicurezza in un progetto sostenibile e gestibile nel tempo», sottolinea Sergio Grassi, Chief Revenue Officer Value, Green & Services. «In V-Valley affianchiamo il canale con specialisti capaci di valutare le soluzioni, integrarle nell’infrastruttura esistente e accompagnarne l’adozione. Attraverso Innovexya, questo supporto si estende agli aspetti organizzativi e di compliance: l’obiettivo è aiutare i partner a costruire per i propri clienti un percorso in cui tecnologie, competenze e processi evolvano insieme».

Il percorso coinvolge specialisti commerciali e tecnici fin dalle prime fasi: dalla scelta delle soluzioni alla progettazione, fino alle verifiche sul campo e alla formazione. Il partner può contare su competenze specialistiche anche quando non le possiede tutte al proprio interno. Una volta definite le misure tecniche, resta però un passaggio essenziale: inserirle nei processi aziendali e mantenerle efficaci nel tempo.

È su questo passaggio che si innestano i servizi professionali di Innovexya, la Business Unit del Gruppo Esprinet dedicata ai servizi tecnici di pre e post sales, servizi finanziari, logistici e consulenziali nel mondo ICT e Green.

Per saperne di più su questi temi, il 5 novembre torna VValleySecurityRoad2026, l’evento dedicato a imprese, system integrator e vendor per fare il punto sull’evoluzione delle minacce, sugli obblighi NIS2 e sulle soluzioni per rafforzare la resilienza tra cybersecurity, AI e cloud.

L’appuntamento è all’Opiquad Arena di Monza, dalle 14:00 alle 19:00. Programma e iscrizioni sono disponibili nella pagina dell’evento.