Nel film di fantascienza Minority Report, gli agenti di polizia non aspettano che i crimini accadano. Arrestano i sospetti sulla base di visioni del futuro, generate da “precog” che galleggiano in serbatoi di nutrienti. Il sistema è veloce, efficiente e profondamente inquietante. Promette sicurezza agendo prima che si verifichi il danno. Solleva anche una domanda ovvia: cosa succede quando la previsione è sbagliata?
Due decenni dopo, i leader della sicurezza informatica stanno lottando con un’idea simile. E se gli attacchi digitali potessero essere fermati prima ancora di iniziare? E se il software, e non gli analisti, potesse individuare i deboli segnali di una violazione imminente e spegnerla automaticamente?
Gartner ritiene che il futuro sia più vicino di quanto molti pensino. Entro il 2030, l’azienda prevede che le soluzioni di cybersecurity preventiva rappresenteranno il 50% della spesa per la sicurezza IT, rispetto a meno del 5% nel 2024, sostituendo le soluzioni di rilevamento e risposta come approccio preferito per difendersi dalle minacce informatiche.
La grande domanda è se la sicurezza informatica è davvero diretta verso la propria versione di Precrime o se "preventiva" è semplicemente una nuova etichetta per strumenti che esistono da anni.
Cosa significa “preventivo”
Gartner definisce la sicurezza informatica preventiva come un passaggio dall’attesa che gli attacchi si manifestino ad anticiparli attivamente e neutralizzarli. Nel suo ottobre 2025 rapporto ($), Emerging Tech Impact Radar: Preemptive Cybersecurity, l’azienda sostiene che le organizzazioni devono “evolvere le proprie operazioni di sicurezza in un sistema di difesa proattivo e vivente che anticipa e previene attivamente gli attacchi”.
Tale sistema si baserebbe sull’intelligenza artificiale e sull’apprendimento automatico per analizzare il comportamento della rete, simulare i percorsi di attacco e prevedere dove è probabile che gli avversari colpiscano. Invece di rispondere agli avvisi dopo che si è verificato un danno, le difese intervengono prima, bloccando l’accesso, riconfigurando i sistemi o ingannando gli aggressori prima che ottengano trazione.
In pratica, ciò significa spingere il rilevamento "a sinistra", ha affermato Wendy Nather, senior research initiatives director di 1Password, riferendosi alla cattura di attività sospette all'inizio del ciclo di attacco, prima che si verifichino danni reali.
"Abbiamo sempre avuto la prevenzione e il rilevamento", ha detto Nather. “Quando non puoi prevenire, devi Detect. Questo è un truismo. Ciò che questo sta davvero cercando di fare è spingere il rilevamento a sinistra”.
La differenza, almeno in teoria, è l’automazione. Invece di analisti umani che esaminano gli avvisi e decidono cosa fare interamente da soli, i sistemi basati sull'intelligenza artificiale prenderebbero sempre più decisioni da soli, con diversi livelli di supervisione umana.
La tecnologia dietro la visione
Affinché la sicurezza preventiva diventi più di una parola d’ordine, Gartner ha affermato che le organizzazioni avranno bisogno di un nuovo mix di tecnologie predittive, adattive e ingannevoli che lavorino insieme.
Alla base ci sono le piattaforme di threat intelligence predittive, che analizzano i dati storici e in tempo reale per prevedere i probabili attacchi. Gli strumenti automatici di valutazione del controllo della sicurezza valutano continuamente se le configurazioni di sicurezza funzionano e identificano le lacune prima che gli aggressori le sfruttino.
[Leggi anche: Che cos'è l'automazione della sicurezza? Vantaggi, importanza e caratteristiche]
Le piattaforme di gestione dell’esposizione preventiva si concentrano sulla mappatura della superficie di attacco di un’organizzazione e sulla priorità dei punti deboli che hanno maggiori probabilità di essere presi di mira. Gli strumenti avanzati di inganno informatico impiegano esche e honeypot per ingannare e frustrare gli intrusi, rivelando al contempo le loro tattiche.
Molti di questi sistemi sono costruiti sull’euristica, o regole basate su schemi semplificati tratte dal comportamento passato che aiutano il software a decidere come appare “normale” e quando l’attività devia da esso.
Inoltre, Gartner ha indicato tecnologie come l’emulazione antagonista autonoma, la difesa contro gli obiettivi mobili e le “piattaforme pre-crimine di sicurezza informatica”, che mirano a simulare il comportamento degli aggressori, modellare le minacce future e testare continuamente le difese.
Insieme, questi sistemi sono progettati per spostare la sicurezza da un atteggiamento reattivo a uno costantemente adattabile, in cui le reti si monitorano, testano le proprie debolezze e regolano le difese quasi in tempo reale.
Perché le organizzazioni lo vogliono
La sicurezza informatica preventiva è allettante. Le violazioni sono costose, dirompenti e sempre più inevitabili. Il ransomware ha chiuso gli ospedali. Gli attacchi alla catena di approvvigionamento si sono diffusi in tutti i settori. L’IA ha abbassato la barriera all’ingresso per gli aggressori.
Se le difese potessero intervenire prima, le organizzazioni potrebbero ridurre i tempi di attesa, contrastare le violazioni, limitare i danni ed evitare molti dei costi a valle della risposta agli incidenti. I sistemi di prevenzione potrebbero anche aiutare i team di sicurezza a dare priorità al proprio lavoro, concentrandosi sui rischi statisticamente più importanti.
Per i CISO che facevano capo ai consigli di amministrazione, i modelli predittivi promettevano qualcos’altro: i numeri. Se i sistemi potessero stimare la probabilità di minacce specifiche, i leader potrebbero inquadrare gli investimenti in sicurezza in termini finanziari, legando i controlli alla riduzione misurabile del rischio.
In teoria, ciò rende la sicurezza informatica più strategica e meno reattiva.
Il punto di vista dello scettico
Non tutti i praticanti sono convinti.
Jim Routh, Chief Trust Officer di Saviynt ed ex CISO, si chiede se la “sicurezza informatica preventiva” rappresenti una rottura significativa rispetto agli approcci passati. “Mi sento a disagio con il termine ‘preventivo’”, ammette.
Routh ritiene che gran parte di ciò che i fornitori descrivono come sicurezza preventiva assomiglino a tecniche di automazione e analisi di lunga data. L’apprendimento automatico è stato utilizzato per la valutazione del rischio e il rilevamento delle anomalie per anni, e i modelli più recenti non eliminano le limitazioni fondamentali.
“Mi sento a disagio con il termine ‘preventivo’.”Jim Routh, Chief Trust Officer di Saviynt ed ex CISO
Nather ha sollevato preoccupazioni simili. Ha ricordato un incidente in cui una rete governativa sembrava comunicare con i server in Romania, innescando sospetti. Dopo un’indagine, il traffico si è rivelato essere aggiornamenti legittimi da un fornitore approvato.
"Questo è il tipo di cose che l'automazione non ha completamente risolto", ha detto.
Le relazioni commerciali, le stranezze operative e le eccezioni temporanee sono state raramente catturate completamente nei dati, ha osservato. Di conseguenza, i primi avvertimenti spesso si sono rivelati falsi positivi.
Per anni, molte organizzazioni hanno resistito ad agire su risposte completamente automatizzate per questo motivo. Anche quando ricevevano feed automatici di indicatori di compromissione, ha affermato Nather, le aziende spesso insistevano sulla revisione manuale prima di agire. Questo è il motivo per cui la necessità di un approccio human-in-the-loop rimane popolare e, almeno per ora, critico.
Il problema dei falsi positivi
I falsi positivi non sono solo scomodi. In un sistema preventivo, possono essere dannosi.
Se un agente di IA interpreta erroneamente un comportamento benigno come dannoso e quindi agisce automaticamente, potrebbe arrestare i sistemi critici, bloccare gli utenti legittimi o interrompere le operazioni. Il costo di sbagliare può aumentare proporzionalmente con l'automazione.
“Ecco perché, prima di arrivare troppo automatizzati e troppo a sinistra, abbiamo davvero bisogno di pensare a come stiamo andando a convalidare questo”, ha detto Nather. “Dovrai essere più sicuro di quanto sei stato fino ad ora.”
“Ecco perché, prima di diventare troppo automatizzati e troppo a sinistra, abbiamo davvero bisogno di pensare a come convalidare questo.Wendy Nather, direttore senior delle iniziative di ricerca presso 1Password
Tali garanzie richiedono non solo la supervisione umana, ma anche funzionalità aggiuntive come l’intelligence sulle minacce in tempo reale e la gestione continua dell’esposizione, abilitate dall’IT autonomo per separare accuratamente i segnali dal rumore. I membri del team di sicurezza che la supervisionano avranno anche bisogno di informazioni in tempo reale su tutti i loro endpoint per sapere con certezza se un cambiamento improvviso è una deviazione di proporzioni vere e serie.
In un rapporto per l'Institute for Critical Infrastructure Technology (ICIT), Routh ha sostenuto che l'automazione precoce funziona meglio quando è costruita su modelli deterministici che attivano chiare deviazioni dei modelli. Ambienti più complessi, ha scritto, potrebbero richiedere l’IA generativa per valutare più variabili, ma solo con un’attenta supervisione. Permettere ai sistemi probabilistici di controllare le difese ad alto impatto senza una forte convalida, ha avvertito, aumenta il rischio operativo piuttosto che ridurlo.
Routh ha anche indicato la probabilità come un ostacolo pratico. Anche se un modello stimasse una probabilità del 70 % di un attacco, i dirigenti potrebbero comunque contestare il numero, soprattutto se la mitigazione fosse costosa.
"Stanno per dire, 'Come hai fatto a venire con questo?'" ha detto. “E non vorranno fare qualcosa finché non saranno abbastanza sicuri di averne bisogno.”
Guida introduttiva
Se sei interessato a un approccio preventivo, gli esperti dicono che le basi dovrebbero sempre venire prima.
“È meglio migliorare la tua igiene”, ha detto Nather. “Ottieni un inventario decente di ciò che hai. Essere in grado di controllare le modifiche ad esso.”
Senza un’accurata gestione delle risorse, della configurazione e della visibilità, i sistemi predittivi avevano pochi dati affidabili con cui lavorare.
Da lì, le aziende potrebbero iniziare a stratificare nell'automazione. Ciò potrebbe includere una valutazione del controllo continuo, piattaforme di gestione dell’esposizione e forme limitate di risposta automatizzata, come l’isolamento degli endpoint sospetti o il blocco delle credenziali rischiose.
Routh ha indicato la gestione degli accessi privilegiati come un'area in cui questo approccio è già applicato. Nel suo rapporto ICIT, ha descritto i sistemi che monitorano il comportamento in tempo reale degli utenti privilegiati, lo confrontano con le linee di base stabilite e revocano automaticamente l'accesso quando i modelli si discostano nettamente. I team di sicurezza vengono informati dopo il fatto, ha scritto, consentendo all’automazione di contenere potenziali minacce prima che si diffondano.
Molte organizzazioni stanno anche sperimentando modelli “human-in-the-loop”, in cui i sistemi di intelligenza artificiale propongono azioni ma richiedono l’approvazione dell’analista prima dell’esecuzione.
Routh ha descritto l'automazione come un modo per amplificare il talento piuttosto che sostituirlo. Nella ricerca, condotta con lo Scientia Institute, ha scoperto che l’automazione ha aiutato gli analisti junior a performare a un livello superiore, ma non ha eliminato la necessità di un giudizio esperto.
"C'è sempre un sacco di lavoro di gomma che non può essere fatto preventivamente", ha detto.
Sfide strutturali
Anche con solide fondamenta, la sicurezza preventiva deve affrontare ostacoli strutturali.
La qualità dei dati rimane disomogenea. Molte organizzazioni operano su sistemi e ambienti cloud frammentati, limitando la visibilità. I modelli di IA addestrati su dati incompleti o distorti ereditano questi difetti.
[Leggi anche: Che cos'è l'IA agentica? Cosa sapere su questo nuovo tipo di IA]
L’integrazione è un altro ostacolo. Gli approcci preventivi funzionano meglio quando gli strumenti condividono i dati e coordinano le risposte. In pratica, gli stack di sicurezza rimangono isolati, con un'interoperabilità limitata.
C’è anche una barriera culturale. Passare dall’indagine guidata dall’uomo all’azione guidata dalla macchina richiede fiducia. Questa fiducia si sviluppa lentamente, specialmente dopo i fallimenti dell’IA altamente pubblicizzati.
Gli aggressori continuano a studiare i sistemi difensivi e a testare i loro limiti. Man mano che gli strumenti predittivi diventano più diffusi, gli avversari sperimentano nuove tecniche per eludere il rilevamento, manipolare i modelli e sfruttare i punti ciechi. Questo ciclo continuo esercita una pressione costante sulle organizzazioni per riqualificare i sistemi, perfezionare i controlli e aggiornare le ipotesi.
Un futuro che prende forma
La visione di Gartner è ambiziosa. Immagina sistemi di sicurezza che si comportano più come sistemi immunitari, rilevando le minacce, adattandosi continuamente e neutralizzando i rischi in modo autonomo.
“Vedo un sistema immunitario digitale per l’azienda…L’IA è parte della trasformazione”.Jim Routh, Chief Trust Officer di Saviynt ed ex CISO
Routh ha descritto un concetto simile nel suo lavoro ICIT, che chiama “sistema immunitario digitale”. In quel modello, i sistemi basati sull’intelligenza artificiale monitorano continuamente le deviazioni dai modelli e attivano risposte automatizzate in millisecondi, segnalando agli esseri umani solo quando necessario. L’obiettivo, ha scritto, è quello di eguagliare la velocità degli attacchi moderni senza fare affidamento sugli analisti per avviare ogni azione difensiva.
“Vedo un sistema immunitario digitale per l’impresa”, ha detto Routh. “L’IA è parte della trasformazione”.
La differenza sta nelle aspettative. Gartner ha inquadrato la sicurezza preventiva come un cambiamento a breve termine. I praticanti lo hanno descritto come un’evoluzione graduale, limitata dalla realtà organizzativa.
Per ora, la maggior parte delle aziende è probabile che occupino la via di mezzo e sperimentino strumenti come l’inganno informatico. Possono utilizzare l’analisi predittiva, la gestione dell’esposizione e l’automazione per migliorare i tempi di risposta e ridurre il rumore. Gli esseri umani rimarranno profondamente coinvolti nell’interpretazione dei segnali e nella gestione del rischio.
La vera previsione in stile "precrime" rimane sfuggente.
Cosa si potrebbe ottenere
Se la sicurezza preventiva guadagna trazione, il payoff potrebbe essere significativo. Le organizzazioni potrebbero ridurre le superfici di attacco prima che vengano sfruttate. Potrebbero ridurre le epidemie di ransomware, limitare i movimenti laterali e impedire che piccoli incidenti si trasformino in crisi. I team di sicurezza potrebbero dedicare meno tempo alla lotta agli incendi e più tempo a migliorare la resilienza.
Potrebbe anche rimodellare il modo in cui le aziende pensano al rischio, spostando le conversazioni dal post-mortem alla prevenzione.
Ma quel futuro dipende da un’attenta implementazione, da aspettative realistiche e da investimenti sostenuti nei fondamentali.
Come ha osservato Nather, "Prima di spostare i pali delle azioni che vuoi intraprendere, è meglio essere sicuri di volerle davvero fare".
Il sistema Precrime di Minority Report alla fine è crollato sotto il peso dei suoi stessi errori. La versione della sicurezza informatica è ancora in fase di sviluppo. Che diventi una rete di allarme rapido affidabile o un’altra visione sovrapromessa dipenderà meno dagli algoritmi che da quanto attentamente le organizzazioni li utilizzano.
Per ora, i precog rimangono umani.
