Nel film di fantascienza “ : Minority Report”, gli agenti di polizia non attendono che i crimini vengano commessi. Arrestano i sospettati sulla base di visioni del futuro generate dai “precog” che galleggiano in vasche nutrienti. Il sistema è veloce, efficiente e profondamente inquietante. Garantisce la sicurezza intervenendo prima che si verifichi un danno. Ciò solleva inoltre una domanda ovvia: cosa accade quando la previsione si rivela errata?
Due decenni dopo, i leader del settore della sicurezza informatica si trovano alle prese con un concetto simile. E se fosse possibile fermare gli attacchi informatici prima ancora che abbiano inizio? E se fosse il software, anziché gli analisti, a individuare i segnali più deboli di una violazione imminente e a bloccarla automaticamente?
Gartner ritiene che quel futuro sia più vicino di quanto molti pensino. Secondo le previsioni dell’azienda, entro il 2030 le soluzioni di sicurezza informatica preventive rappresenteranno il 50% della spesa per la sicurezza IT, in aumento rispetto a una percentuale inferiore al 5% nel 2024, sostituendo le soluzioni autonome di rilevamento e risposta come approccio preferito per la difesa dalle minacce informatiche.
La grande domanda è se la sicurezza informatica stia davvero andando verso una propria versione del “Precrime” o se il termine “preventivo” sia semplicemente una nuova etichetta per strumenti che esistono ormai da anni.
Cosa si intende con il termine “preventivo”
Gartner definisce la sicurezza informatica preventiva come il passaggio dall’attesa che gli attacchi si verifichino all’anticipazione e alla neutralizzazione attiva degli stessi. Nel proprio rapporto “ ottobre 2025 ” ($), Emerging Tech Impact Radar: Preemptive Cybersecurity, l’azienda ha sostenuto che le organizzazioni devono “evolvere le proprie operazioni di sicurezza in un sistema di difesa proattivo e dinamico, in grado di anticipare e prevenire attivamente gli attacchi”.
Tale sistema si avvalerebbe dell’intelligenza artificiale e dell’apprendimento automatico per analizzare il comportamento della rete, simulare i percorsi di attacco e prevedere dove gli avversari potrebbero colpire. Anziché reagire agli allarmi solo dopo che il danno si è verificato, i sistemi di difesa interverrebbero in una fase precedente, bloccando l’accesso, riconfigurando i sistemi o fuorviando gli aggressori prima che questi possano prendere piede.
In pratica, ciò significa anticipare il rilevamento “a monte”, ha affermato Wendy Nather, direttrice senior delle iniziative di ricerca presso 1Password, riferendosi all’individuazione delle attività sospette in una fase più precoce del ciclo di attacco, prima che si verifichino danni concreti.
«Abbiamo sempre puntato sulla prevenzione e sull’individuazione», ha affermato Nather. «Quando non è possibile prevenire, occorre Detect». È un'ovvietà. «Ciò che si sta effettivamente cercando di fare è anticipare il rilevamento».
La differenza, almeno in teoria, sta nell’automazione. Anziché affidare agli analisti umani il compito di esaminare gli avvisi e decidere autonomamente come agire, i sistemi basati sull’intelligenza artificiale prenderebbero sempre più spesso le decisioni in modo autonomo, con livelli variabili di supervisione umana.
La tecnologia alla base di questa visione
Affinché la sicurezza preventiva non rimanga solo una moda passeggera, secondo Gartner le organizzazioni avranno bisogno di una nuova combinazione di tecnologie predittive, adattive e ingannevoli che operino in sinergia.
Alla base vi sono piattaforme predittive di intelligence sulle minacce, che analizzano dati storici e in tempo reale per prevedere i possibili attacchi. Gli strumenti automatizzati di valutazione dei controlli di sicurezza verificano costantemente il corretto funzionamento delle configurazioni di sicurezza e individuano eventuali lacune prima che gli autori degli attacchi possano sfruttarle.
[Legga anche: Che cos’è l’automazione della sicurezza? Vantaggi, importanza e caratteristiche]
Le piattaforme di gestione preventiva delle vulnerabilità si concentrano sulla mappatura della superficie di attacco di un’organizzazione e sulla definizione delle priorità relative ai punti deboli più esposti al rischio di attacchi. Gli strumenti avanzati di inganno informatico utilizzano esche e honeypot per sviare e contrastare gli intrusi, rivelandone al contempo le tattiche.
Molti di questi sistemi si basano su euristiche, ovvero su regole semplificate basate su modelli ricavati dai comportamenti passati, che aiutano il software a stabilire quale sia il comportamento “normale” e quando un’attività si discosti da esso.
In una prospettiva più ampia, Gartner ha evidenziato tecnologie quali l’emulazione autonoma di attacchi, la difesa a bersaglio mobile e le “piattaforme di prevenzione dei crimini informatici”, che mirano a simulare il comportamento degli aggressori, a modellare le minacce future e a testare continuamente le difese.
Nel loro insieme, questi sistemi sono progettati per far passare la sicurezza da un approccio reattivo a uno in costante adattamento, in cui le reti si monitorano autonomamente, verificano i propri punti deboli e adeguano le difese quasi in tempo reale.
Perché le organizzazioni lo desiderano
La sicurezza informatica preventiva è allettante. Le violazioni della sicurezza sono costose, causano gravi disagi e sono sempre più inevitabili. Il ransomware ha causato la chiusura di alcuni ospedali. Gli attacchi alla catena di approvvigionamento hanno avuto ripercussioni in tutti i settori. L'intelligenza artificiale ha ridotto le barriere all'ingresso per gli autori degli attacchi.
Se i sistemi di difesa potessero intervenire prima, le organizzazioni potrebbero ridurre il tempo di permanenza, sventare le violazioni, limitare i danni ed evitare molti dei costi a valle legati alla risposta agli incidenti. I sistemi preventivi potrebbero inoltre aiutare i team di sicurezza a stabilire le priorità nel proprio lavoro, concentrandosi sui rischi che, dal punto di vista statistico, hanno maggiori probabilità di rivelarsi rilevanti.
Per i CISO che riferiscono ai consigli di amministrazione, i modelli predittivi promettevano qualcos’altro: dati numerici. Se i sistemi fossero in grado di stimare la probabilità di minacce specifiche, i dirigenti potrebbero definire gli investimenti in materia di sicurezza in termini finanziari, collegando i controlli a una riduzione misurabile del rischio.
In teoria, ciò rende la sicurezza informatica più strategica e meno reattiva.
Il punto di vista dello scettico
Non tutti gli operatori del settore ne sono convinti.
Jim Routh, responsabile della sicurezza informatica presso Saviynt ed ex CISO, si chiede se la “sicurezza informatica preventiva” rappresenti una svolta significativa rispetto agli approcci del passato. «Il termine “preventivo” mi mette a disagio», ammette.
Routh ritiene che gran parte di ciò che i fornitori descrivono come sicurezza preventiva assomigli a tecniche di automazione e analisi già in uso da tempo. L’apprendimento automatico viene utilizzato da anni per la valutazione del rischio e il rilevamento delle anomalie, osserva, e i modelli più recenti non eliminano i limiti fondamentali.
““Il termine ‘preventivo’ mi mette a disagio.”Jim Routh, responsabile della sicurezza presso Saviynt ed ex CISO
Anche Nather ha espresso preoccupazioni simili. Ha ricordato un episodio in cui una rete governativa sembrava comunicare con dei server situati in Romania, suscitando sospetti. A seguito di un’indagine, è emerso che si trattava di aggiornamenti legittimi provenienti da un fornitore autorizzato.
«Questo è proprio il tipo di problema che l’automazione non ha ancora risolto del tutto», ha affermato.
Ha osservato che i rapporti commerciali, le peculiarità operative e le eccezioni temporanee venivano raramente registrati in modo completo nei dati. Di conseguenza, gli allarmi precoci si sono spesso rivelati falsi positivi.
Per anni, molte organizzazioni si sono rifiutate di adottare risposte completamente automatizzate proprio per questo motivo. Anche quando ricevevano flussi automatici di indicatori di compromissione, ha affermato Nather, le aziende spesso insistevano per effettuare una verifica manuale prima di intervenire. Ecco perché l’approccio “human-in-the-loop” continua a essere molto diffuso e — almeno per il momento — fondamentale.
Il problema dei falsi positivi
I falsi positivi non sono solo un inconveniente. In un sistema preventivo, possono risultare dannosi.
Se un agente di intelligenza artificiale interpretasse erroneamente un comportamento innocuo come dannoso e agisse quindi in modo automatico, potrebbe causare l’arresto di sistemi critici, bloccare utenti legittimi o compromettere le operazioni. Il costo di un errore può aumentare in modo proporzionale all’automazione.
«Ecco perché, prima di arrivare a un livello troppo elevato di automazione e di spingerci troppo a sinistra, dobbiamo davvero riflettere su come intendiamo convalidare tutto ciò», ha affermato Nather. «Dovrà dimostrarsi più sicuro di quanto non sia stato finora.»
«Ecco perché, prima di arrivare a un livello troppo elevato di automazione e di spingerci troppo a sinistra, dobbiamo davvero riflettere su come convalidare tutto ciò.»Wendy Nather, direttrice senior delle iniziative di ricerca presso 1Password
Tali garanzie richiedono non solo un controllo umano, ma anche funzionalità aggiuntive quali l’intelligence sulle minacce in tempo reale e la gestione continua dell’esposizione, rese possibili da un sistema IT autonomo in grado di distinguere con precisione i segnali dal rumore di fondo. I membri del team di sicurezza incaricati della supervisione avranno inoltre bisogno di informazioni in tempo reale su tutti i propri endpoint per poter stabilire con certezza se un cambiamento improvviso costituisca una deviazione di entità reale e grave.
In un rapporto intitolato “ ” () redatto per l’Institute for Critical Infrastructure Technology (ICIT), Routh ha sostenuto che l’automazione precoce funziona al meglio quando si basa su modelli deterministici che si attivano in presenza di deviazioni evidenti dai modelli prestabiliti. Gli ambienti più complessi, ha scritto, potrebbero richiedere che l’IA generativa valuti molteplici variabili, ma solo sotto un’attenta supervisione. Ha avvertito che consentire a sistemi probabilistici di controllare sistemi di difesa di grande impatto senza un’accurata convalida aumenta il rischio operativo anziché ridurlo.
Routh ha inoltre indicato la probabilità come un ostacolo pratico. Anche se un modello stimasse una probabilità del 70 % che si verifichi un attacco, i dirigenti potrebbero comunque contestare tale cifra, soprattutto se le misure di mitigazione fossero costose.
«Vi chiederanno: “Come le è venuta in mente questa idea?”» ha affermato. «E non saranno disposti a fare qualcosa finché non saranno abbastanza sicuri che ne avranno bisogno.»
Introduzione
Se siete interessati a un approccio preventivo, gli esperti sostengono che le basi debbano sempre avere la priorità.
«Fareste meglio a migliorare la vostra igiene», ha affermato Nather. “Fate un inventario accurato di ciò che avete a disposizione. “Essere in grado di controllarne le modifiche.”
In assenza di una gestione accurata delle risorse, della configurazione e della visibilità, i sistemi predittivi disponevano di pochi dati affidabili su cui basarsi.
A quel punto, le aziende potrebbero iniziare a introdurre gradualmente l’automazione. Ciò potrebbe includere valutazioni continue dei controlli, piattaforme di gestione delle esposizioni e forme limitate di risposta automatizzata, quali l’isolamento di endpoint sospetti o il blocco di credenziali a rischio.
Routh ha indicato la gestione degli accessi privilegiati come uno dei settori in cui tale approccio viene già applicato. Nel suo rapporto per l’ICIT, ha descritto sistemi che monitorano in tempo reale il comportamento degli utenti con privilegi, lo confrontano con i valori di riferimento stabiliti e revocano automaticamente l’accesso qualora si verifichino deviazioni significative dai modelli di riferimento. I team di sicurezza vengono informati a posteriori, ha scritto, consentendo all’automazione di contenere le potenziali minacce prima che si diffondano.
Molte organizzazioni stanno inoltre sperimentando modelli “human-in-the-loop”, in cui i sistemi di intelligenza artificiale propongono delle azioni ma necessitano dell’approvazione di un analista prima della loro esecuzione.
Routh ha descritto l’automazione come uno strumento volto a potenziare il talento anziché a sostituirlo. Nella ricerca che ha condotto in collaborazione con lo Scientia Institute, ha riscontrato che l’automazione ha aiutato gli analisti alle prime armi a raggiungere livelli di rendimento più elevati, senza tuttavia eliminare la necessità di un giudizio esperto.
«C’è sempre molto lavoro investigativo che non può essere svolto in via preventiva», ha affermato.
Sfide strutturali
Pur disponendo di solide basi, la sicurezza preventiva deve affrontare ostacoli strutturali.
La qualità dei dati rimane disomogenea. Molte organizzazioni operano su sistemi frammentati e ambienti cloud, il che limita la visibilità. I modelli di intelligenza artificiale addestrati su dati incompleti o distorti ereditano tali difetti.
[Legga anche: Che cos’è l’IA agentica? Cosa occorre sapere su questo nuovo tipo di IA]
L'integrazione rappresenta un altro ostacolo. Gli approcci preventivi danno i migliori risultati quando gli strumenti condividono i dati e coordinano le risposte. In pratica, gli stack di sicurezza rimangono compartimentati, con un’interoperabilità limitata.
Esiste inoltre una barriera culturale. Il passaggio da un’indagine condotta dall’uomo a un’azione guidata dalle macchine richiede fiducia. Tale fiducia si sviluppa lentamente, soprattutto dopo i fallimenti dell’intelligenza artificiale che hanno avuto grande risonanza mediatica.
Gli autori degli attacchi continuano a studiare i sistemi di difesa e a metterne alla prova i limiti. Man mano che gli strumenti predittivi si diffondono sempre più, gli autori degli attacchi sperimentano nuove tecniche per eludere il rilevamento, manipolare i modelli e sfruttare i punti deboli. Tale ciclo continuo esercita una pressione costante sulle organizzazioni affinché aggiornino i sistemi, perfezionino i controlli e rivedano le ipotesi.
Un futuro ancora in fase di definizione
La visione di Gartner è ambiziosa. Prevede sistemi di sicurezza che funzionino in modo più simile al sistema immunitario, in grado di rilevare le minacce, adattarsi continuamente e neutralizzare i rischi in modo autonomo.
«: intravedo un sistema immunitario digitale per l’azienda...»L’intelligenza artificiale è parte integrante di questa trasformazione.”Jim Routh, responsabile della sicurezza presso Saviynt ed ex CISO
Routh ha descritto un concetto simile nel suo lavoro presso l’ICIT, che egli definisce un «sistema immunitario digitale». In tale modello, i sistemi basati sull’intelligenza artificiale monitorano costantemente eventuali scostamenti dai modelli prestabiliti e attivano risposte automatizzate in pochi millisecondi, ricorrendo all’intervento umano solo quando necessario. L'obiettivo, ha scritto, è quello di tenere il passo con la rapidità degli attacchi moderni senza dover ricorrere agli analisti per avviare ogni singola azione difensiva.
«Vedo un sistema immunitario digitale per l’azienda», ha affermato Routh. «L’intelligenza artificiale fa parte di questa trasformazione.»
La differenza sta nelle aspettative. Gartner ha definito la sicurezza preventiva come un cambiamento a breve termine. Gli operatori del settore l’hanno descritta come un’evoluzione graduale, vincolata dalla realtà organizzativa.
Per il momento, è probabile che la maggior parte delle aziende adotti una posizione intermedia e sperimentino strumenti quali il cyber deception. Possono avvalersi di analisi predittive, gestione dell’esposizione e automazione per migliorare i tempi di risposta e ridurre il rumore. Gli esseri umani continueranno a svolgere un ruolo fondamentale nell'interpretazione dei segnali e nella gestione dei rischi.
Una vera previsione in stile “Precrime” rimane un obiettivo irraggiungibile.
Quali vantaggi si potrebbero ottenere
Se la sicurezza preventiva dovesse davvero prendere piede, i benefici potrebbero essere notevoli. Le organizzazioni potrebbero ridurre le superfici di attacco prima che vengano sfruttate. Potrebbero ridurre le epidemie di ransomware, limitare i movimenti laterali e impedire che piccoli incidenti si trasformino in crisi. I team di sicurezza potrebbero dedicare meno tempo a risolvere i problemi urgenti e più tempo a migliorare la resilienza.
Potrebbe inoltre ridefinire il modo in cui le aziende concepiscono il rischio, spostando l’attenzione dall’analisi a posteriori alla prevenzione.
Tuttavia, tale futuro dipende da un’attuazione accurata, da aspettative realistiche e da investimenti costanti negli aspetti fondamentali.
Come ha osservato Nather, «Prima di cambiare le carte in tavola riguardo alle azioni che intendete intraprendere, è meglio che siate certi di volerle davvero mettere in atto».
Il sistema di prevenzione dei crimini “Precrime” di * *, tratto dal film *Minority Report*, alla fine è crollato sotto il peso dei propri errori. La versione dedicata alla sicurezza informatica è ancora in fase di sviluppo. Che si tratti di una rete di allerta precoce affidabile o di un’altra visione che promette più di quanto possa mantenere dipenderà meno dagli algoritmi stessi e più dal modo in cui le organizzazioni li utilizzeranno con accortezza.
Per il momento, i precog rimangono esseri umani.
