La compromissione di una PEC istituzionale può trasformare un canale considerato sicuro in uno strumento di social engineering. Il caso Revolut mostra perché certificazioni e procedure non bastano: servono verifiche out-of-band, controlli indipendenti e processi capaci di resistere alla pressione dell'autorità
Gli interventi normativi ridisegnano il perimetro della responsabilità delle imprese. Ecco cosa succede se un sistema di IA ad alto rischio causa un danno e l’azienda non ha predisposto adeguate misure, commisurate ai rischi. D’ora in avanti, la risposta è anche penale
Privacy by design e security by design non coincidono, ma convergono nel governo selettivo degli accessi. Ecco perché proteggere i dati non significa chiudere ogni porta, bensì disegnare soglie appropriate, tracciabili, revocabili e proporzionate
Un’informativa privacy non protegge una persona vulnerabile se è incomprensibile o promette una riservatezza che l’Ente non può garantire. Anonimato, segnalazioni, minori e obblighi di comunicazione mostrano perché la trasparenza deve chiarire, fin dall’inizio, anche ciò che il servizio non potrà mantenere segreto
Il vero rischio non è più il singolo dato rubato, ma ciò che i criminali possono costruire aggregandolo agli altri. Il rapporto CRIF 2026 mostra come infostealer, dark web e AI stiano trasformando credenziali e informazioni personali in identità digitali utilizzabili per frodi sempre più credibili. E l'Italia è tra i Paesi più esposti
Un solo errore dell’algoritmo può bastare per spingere gli analisti a ricontrollare ogni decisione automatica. Ma la sfiducia ha un costo: rallenta l’incident response e può offrire agli attaccanti tempo prezioso. Per i CISO, progettare l’automazione significa quindi progettare anche la fiducia di chi dovrà utilizzarla
L’AI agentica porta le imprese oltre l’automazione di singoli compiti: agenti capaci di pianificare, usare strumenti, consultare dati e attivare workflow ridisegnano produttività, finanza, manifattura e supply chain, ma impongono nuove regole di governance, tracciabilità, sicurezza e responsabilità operative misurabili
Valutare un agente significa verificare quanto bene riesce a completare un task e come reagisce quando l’obiettivo diventa irraggiungibile, il perimetro si fa ambiguo o le informazioni iniziali non sono più affidabili. Ecco la lezione da trarre dal report di Anthropic e i quattro incidenti cyber: per l’agentic AI la capacità di fermarsi è priorità
Niente malware sui PC, nessun file cifrato e nessun processo sospetto da intercettare. In un incidente analizzato da Kaspersky, gli attaccanti hanno utilizzato le Group Policy di Active Directory per colpire contemporaneamente l’intero dominio, trasformando uno degli strumenti più fidati dell’amministrazione Windows in un meccanismo di estorsione
Il controllo umano effettivo è e sarà uno degli argomenti di maggior rilievo nei dibattiti e, probabilmente, nell'attribuzione di responsabilità anche in sede processuale. Motivo per cui il mero posizionamento formale di un operatore umano con il ruolo di controllore non è sufficiente ma richiede alcuni elementi ulteriori a presidiarne l'efficacia
Quando c'è un incidente provocato da un modello di IA, o da un agente, il discorso viene convenientemente orientato verso il disallineamento evitando di parlare di gestione del rischio. Uno spostamento d'attenzione che giova più alla spregiudicatezza di chi vuole restringere al minimo le responsabilità che alla sicurezza cyber
