Il Global Cybersecurity Skills Gap Report 2026 di Fortinet fotografa uno stallo delle assunzioni in cyber security.
Dall’indagine emergono un legame tra assenza di talenti (skill gap) e violazioni, la necessità di aggiornamenti professionali sull’AI e l‘accelerazione verso nuove iniziative volte a colmare il divario.
Secondo Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0, “lo stallo delle assunzioni in cybersecurity è un segnale pericoloso: le aziende dichiarano di temere il rischio cyber, ma spesso non investono abbastanza sulle competenze necessarie per governarlo”.
“Il report Fortinet fotografa una contraddizione sempre più evidente”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus. Ecco quale e come sperarla.
Indice degli argomenti
Stallo delle assunzioni in cyber security: la contraddizione da risolvere
Secondo l’indagine globale di Fortinet, per il terzo anno di seguito, , il 56% dei responsabili IT punta il dito contro la mancanza di competenze in cyber security, ritenuta il principale motivo delle violazioni.
Per minimizzare i rischi interni e consentire ai difensori di affrontare le minacce automatizzate, occorre fare presto sull’esigenza di effettuare aggiornamenti professionale sull’AI, il cui ruolo è sempre più protagonista in fase offensiva (e difensiva).
Infine il 92% delle aziende si appresta a effettuare investimenti in formazione o certificazioni di cyber security connesse all’intelligenza artificiale nell’arco del prossimo anno.
La contraddizione che emerge dal report è sempre più evidente, secondo Paganini: “Le aziende dichiarano che la cyber security è una priorità strategica, ma continuano a frenare su assunzioni, formazione e sviluppo delle competenze”.
I dettagli
L’86% delle organizzazioni denuncia uno o più breach nell’ultimo anno. Il 52% riporta il costo delle violazioni: oltre un milione di dollari, in crescita rispetto al 38% del 2021.
Le spese sono superiori in Nord America, dove il costo medio per ogni breach raggiunge i 2 milioni di dollari.
Ma il 49% arranca a trovare il semaforo verde per assumere nuovi talenti. Eppure metà afferma che i dirigenti e perfino i membri del CdA sono state sanzionate in seguito a cyber attacchi.
“Il dato più significativo è forse proprio questo: quasi la metà dei responsabili IT incontra resistenze interne quando chiede nuove risorse, nonostante l’86% delle organizzazioni abbia subito almeno una violazione nell’ultimo anno. È il segnale di una difficoltà culturale prima ancora che tecnologica. La sicurezza continua spesso a essere percepita come costo e non come fattore di resilienza operativa“, mette in risalto Paganini.
L’AI aiuta, ma crea nuovi rischi e non sostituisce la formazione
Il report evidenzia che l’adozione dell’AI in azienda introduce nuovi rischi. L’uso dell’AI, da parte dei dipendenti, crea nuovi rischi, ma solo la metà (50%) dei decision maker considera “pienamente consapevoli” i membri del proprio CdA.
“L’aspetto più interessante del rapporto riguarda però l’impatto dell’IA. Gli attaccanti stanno già integrando modelli AI nelle proprie attività offensive, dalla creazione di phishing più credibili fino allo sviluppo di exploit e malware evasivi”, mette in guardia Paganini: “Google Threat Intelligence Group ha recentemente documentato lo sviluppo di uno zero-day exploit mediante l’AI. Questo cambia radicalmentela velocità e la scala delle minacce“.
Tuttavia, in questo scenario, emerge un nuovo divario di competenze. Il63% stima che nel prossimo triennio accrescerà l’esigenza di figure professionali specializzate nella supervisione e nella governance dell’IA.
Il 91% degli intervistati sta sfruttando o testando soluzioni di cyber security alimentate dall’AI. Cala dal 43% dello scorso anno al 38% di oggi lo scetticismo o l’incertezza sull’IA per la cyber.
“Fortinet evidenzia che le aziende adottano strumenti AI più rapidamente di quanto riescano a comprenderne i rischi. Solo metà dei board avrebbe piena consapevolezza delle implicazioni cyber legate all’AI. È un elemento critico, soprattutto considerando la diffusione di strumenti generativi utilizzati direttamente dai dipendenti senza reali processi di governance”, avverte Paganini.
Secondo l’84%, gli strumenti di sicurezza rafforzati dall’AI stanno contribuendo a rendere più efficaci ed efficienti i team IT e di sicurezza. E ciò serve, dal momento che difensori e i cyber criminali sono equipaggiati con la stessa tecnologia.
Il 44% dei partecipanti si preoccupa, infatti, soprattutto degli attacchi informatici basati sull’AI.
“La tecnologia aiuta, anche con l’IA, ma non sostituisce persone preparate, processi maturi e capacità decisionale“, conclude Sandro Sana: “Il punto vero è che la cyber security non può essere trattata come un costo rinviabile: quando mancano competenze, il rischio non sparisce, semplicemente entra in azienda dalla porta principale”.
Certificazioni, sviluppo competenze e riqualificazioni
Il 92% dei partecipanti afferma che sarebbe pronto a pagare affinché un dipendente consegua una certificazione, in rialzo rispetto al 73% del 2025.
Il 60% dei rispondenti riporta che nel recruiting la difficoltà consiste nel trovare talenti di cyber security con esperienza specifica nell’AI. Attualmente, il 92% è incline a investimenti in formazione o certificazioni di cyber security associate all’AI nel prossimo anno.
Le aziende affermano di aver necessità di personale dotate di nuove competenze per il supporto all’implementaszione dell’AI, tra cui:
- sviluppo di modelli di AI (55%);
- supervisione degli strumenti di AI (54%);
- automazione della sicurezza (52%).
Il 59% delle organizzazioni sta pianificando programmi interni di formazione o riqualificazione per supportare l’adozione dell’IA, mentre il 52% sta acquistando servizi di formazione o riqualificazione da fornitori del settore.
Tre pilastri per superare lo stallo nelle assunzioni cyber security
Per assumere persone da bacini di talenti sottoimpiegati e investire in formazione e aggiornamento professionale, per lo sviluppo e il mantenimento delle competenze di cui necessitano, serve un approccio coordinato basato su tre pilastri chiave:
- sensibilizzazione e formazione;
- più accesso a corsi mirati e certificazioni;
- adozione di tecnologie di sicurezza avanzate.
“La cyber security non è solamente una questione tecnica, ma riguarda il rischio aziendale strategico. Lo studio di quest’anno suggerisce che, sebbene generalmente i consigli di amministrazione ne riconoscono l’importanza, sono necessari maggiori investimenti per far fronte alle sfide principali – quali le minacce emergenti legate all’IA e la continua carenza di competenze – e garantire la resilienza aziendale in un panorama sempre più complesso”, avverte Carl Windsor, CISO di Fortinet.
“Il report mostra comunque segnali positivi: cresce l’attenzione verso certificazioni, reskilling e programmi di formazione interna. Tuttavia il problema non si risolve solo formando più specialisti. Serve una revisione del modello organizzativo, perché oggi mancano figure ibride capaci di comprendere contemporaneamente sicurezza, dati, cloud e AI. In questo scenario, il vero rischio non è soltanto la mancanza di personale, ma la crescente asimmetria tra attaccanti sempre più automatizzati e difensori che faticano ancora a ottenere budget e competenze adeguate”, conclude Paganini.
