Tenersi al passo con le notizie sulla sicurezza informatica, al giorno d’oggi, sembra meno una lettura e più come osservare il guizzo sfocato di un treno in corsa.
Ha battuto le palpebre? Le sono sfuggite tre nuove vulnerabilità, due annunci relativi alla gestione delle patch e alla sicurezza informatica , oltre a una nuova minaccia esistenziale. Tenersi al passo con gli ultimi sviluppi è un lavoro a tempo pieno, ed è facile che notizie importanti sfuggano all’attenzione.
Quindi, nel caso ve lo foste perso — ricordate quando avevamo ancora tempo a sufficienza per scrivere per esteso “nel caso ve lo foste perso”? — abbiamo raccolto qui, nella rubrica “ Focal Point”, tre articoli di spicco su argomenti controversi pubblicati nell’ultimo anno. Sono ricchi di consigli da esperti e azioni concrete, e per ciascuno di essi abbiamo incluso gli ultimi aggiornamenti sulle notizie di attualità che avranno ripercussioni sulle imprese nel corso del prossimo anno.
Per i dirigenti aziendali, i responsabili della sicurezza e chiunque desideri comprendere le ultime tendenze tecnologiche, questa è l’occasione giusta per mettersi al passo durante le vacanze natalizie.
Ripercorriamo la nostra intervista esclusiva con Tim Brown, CISO di SolarWinds, e le ripercussioni della sua vicenda con la SEC; la nostra analisi approfondita dell’avanzata inquietante e della tecnologia quantistica; nonché alcuni importanti nuovi sviluppi emersi proprio questa settimana riguardo alla “” vibe coding — un argomento che abbiamo approfondito proprio il mese scorso.
Quindi si metta comodo, si rilassi e inizi a leggere. E state certi che, nel numero 2026, vi proporremo altre notizie fondamentali sul mondo della sicurezza informatica, accompagnate dall’analisi degli esperti di cui avete bisogno per comprenderne appieno il significato.
Un’intervista esclusiva con Tim Brown, CISO di SolarWinds
GLI ULTIMI SVILUPPI: Quando David Rand, pluripremiato scrittore e collaboratore di lunga data della rubrica “Focal Point” di e di , ha intervistato Brown quest’estate, l’inchiostro dell’accordo preliminare da lui raggiunto con la Securities and Exchange Commission (SEC) degli Stati Uniti era ancora fresco. Il mese scorso, a più di due anni da quando la SEC aveva accusato il responsabile della sicurezza informatica (CISO) di frode in relazione al famigerato attacco hacker ai danni di SolarWinds , l’autorità di regolamentazione federale ha archiviato il procedimento a carico della società di sviluppo software e del CISO, già in difficoltà.
«: “Ho finito per avere un infarto proprio nella settimana in cui mi è stato comunicato che sarei stato incriminato.” Quindi, immagino di non aver ottenuto risultati così buoni come pensavo.”Tim Brown, CISO di SolarWinds, nella nostra intervista sul suo caso storico dinanzi alla SEC
Non che i CISO possano ora tirare un sospiro di sollievo, come hanno osservato gli esperti del settore su .
Questo caso storico ha rappresentato la prima azione di contrasto in materia di sicurezza informatica intrapresa dall’agenzia che includesse accuse di frode e che, nel contempo, portasse all’incriminazione di un dirigente. L’accordo congiunto presentato il 20 novembre dalla SEC, da SolarWinds e da Brown al Tribunale distrettuale degli Stati Uniti per il Distretto meridionale di New York potrebbe comportare l’archiviazione del caso, ma le pressioni sui CISO permangono.
In questa intervista esclusiva, Brown parla con franchezza del peso fisico ed emotivo derivante dal dover rispondere pubblicamente di una violazione informatica, pur avendo un controllo minimo o nullo sui bilanci, sui consigli di amministrazione e sulle decisioni a livello aziendale.
E per quanto riguarda la SEC? Appena un anno fa, sembrava che la SEC ( ) avesse preso di mira i CISO e stesse preparando una serie di normative per il settore dei servizi finanziari. Da un rapporto intitolato “ ” ( ), pubblicato il mese scorso da Cornerstone Research e dal Pollack Center for Law and Business della New York University, emerge che il numero di procedimenti sanzionatori avviati dalla SEC nei confronti di società quotate in borsa e delle loro controllate è diminuito negli ultimi due esercizi finanziari, passando da 80 nel 2024 a 56 nel 2025—a , con un calo del 30%. Di quelle FY25 iniziative, solo quattro sono state avviate dall’amministrazione Trump. Tale cifra esigua rende difficile prevedere quale sarà il loro futuro approccio in materia di applicazione delle norme, lasciando immutati gli elevati tassi di burnout tra i CISO .
La questione fondamentale: quando mai un numero (sufficiente) di leader prenderà sul serio questa minaccia?
GLI ULTIMI SVILUPPI: La nostra prima analisi approfondita su del complesso mondo delle minacce quantistiche risale al 2023, quando gli esperti sostenevano che questa tecnologia — in grado di stravolgere l’attuale sistema di crittografia su cui si basano i nostri computer odierni — sarebbe stata perfezionata forse tra circa 10 anni. Quando, la scorsa primavera, abbiamo ideato la nostra guida tascabile alla fisica quantistica, le previsioni erano ben più allarmanti: il famigerato “Q Day”, in cui gli hacker potrebbero accedere a conti bancari, archivi governativi e dati personali ovunque, potrebbe arrivare prima della prossima stagione di “ ” e “Ted Lasso” (o giù di lì).
Eppure, sono pochi i dirigenti aziendali che prendono sul serio questa minaccia. Da quando è stato pubblicato il nostro articolo, un rapporto dell’ IBM ha rilevato che il 73% delle organizzazioni dichiara che i propri dirigenti aziendali e tecnologici stanno collaborando strettamente alla definizione della propria strategia di protezione contro le minacce quantistiche. Tuttavia, solo il 19% delle organizzazioni ha definito obiettivi di maturità a breve termine per tali iniziative.
Un altro dato preoccupante: solo il 30% delle organizzazioni ha effettuato un inventario delle applicazioni, dei dati e dei servizi per comprendere in che modo la crittografia sia implementata nei propri sistemi — e la visibilità rappresenta un punto di partenza fondamentale, affermano gli esperti.
Ci troviamo in “un punto di svolta”, osserva il colonnello Ed Debish (in pensione), veterano del Corpo dei Marines degli Stati Uniti con 27 anni di servizio alle spalle e attualmente opinion leader e consulente esecutivo per i clienti presso Tanium, uno dei principali fornitori di soluzioni IT autonome (nonché editore di questa rivista). «Non ci stiamo più chiedendo se i computer quantistici avranno un impatto sulla sicurezza nazionale, ma quando», ha scritto in un recente appello all’azione rivolto ai leader federali.
Nelle ultime settimane abbiamo assistito ad alcuni passi nella giusta direzione. La scorsa settimana l’Australian Cyber Security Centre ha pubblicato una guida introduttiva alla tecnologia quantistica , che spiega in un linguaggio semplice in che modo la tecnologia quantistica influirà sulla sicurezza informatica, sulla crittografia e sulla pianificazione dei rischi a lungo termine. L’Agenzia per la sicurezza informatica di Singapore ha pubblicato le bozze di un “Manuale sulla sicurezza quantistica” e di un “Indice di preparazione quantistica” per guidare i gestori delle infrastrutture e le agenzie governative nella complessa transizione verso una crittografia a prova di quantistica. Tali documenti sono sottoposti a consultazione pubblica fino alla fine dell’anno: si invitano le parti interessate del settore pubblico e privato a fornire il proprio contributo (qui) per guidare la CSA nella preparazione delle versioni definitive.
E, per la cronaca, negli Stati Uniti la preparazione alla tecnologia quantistica rimane una priorità bipartisan, e i primi segnali provenienti dall’amministrazione Trump indicano il suo impegno in merito, osserva Debish. L’Agenzia per la Sicurezza Nazionale degli Stati Uniti (NSA) mette a disposizione una pagina dedicata alle risorse relative all’ e post-quantistica all’indirizzo. Potrà verificarlo dopo aver letto l’anteprima qui.
Percepire o temere le vibrazioni: la scelta più saggia è puntare su entrambe
GLI ULTIMI SVILUPPI: Non ci si aspetterebbe che il creatore di uno strumento di programmazione basato sull’intelligenza artificiale di enorme successo affermasse che tali strumenti presentano dei limiti e “non sono poi così efficaci nella programmazione”. Ma è proprio ciò che ha affermato Boris Cherny, ideatore del Claude Code di Anthropic, la scorsa settimana in una puntata del podcast “ ” di Peterman.
«Chiunque può diventare uno sviluppatore di software.»Anton Osika, cofondatore e CEO, Lovable AI
«Gli strumenti attuali funzionano abbastanza bene per “codice provvisorio e prototipi, ovvero codice che non rientra nel percorso critico”», ha affermato, ma quando si tratta di codice tecnico complesso, continua a scriverlo a mano. La programmazione intuitiva, ha aggiunto, «non è certamente qualcosa che si desidera fare continuamente».
Davvero, Boris? Lo dicano ai fondatori di Lovable AI, che la scorsa settimana hanno annunciato che le divisioni di venture capital di Alphabet e Nvidia hanno investito nel round di finanziamento di serie B da 330 milioni di dollari della startup svedese, portandone la valutazione a 6,6 miliardi di dollari e rendendola così una delle aziende in più rapida crescita nella storia del settore tecnologico.
A alimentare questa raccolta fondi è la crescita vertiginosa del “ ” (vibe coding), un nuovo approccio alla scrittura di applicazioni alla portata di tutti che sta facendo temere ai programmatori per la sicurezza del proprio posto di lavoro e sta destando serie preoccupazioni nei CISO, che temono che le loro organizzazioni possano essere sommerse da software contenente vulnerabilità sfruttabili. Se non avete ancora consultato l’articolo di sui modi migliori per proteggere la catena di fornitura del software, è giunto il momento di farlo.
«Chiunque può diventare uno sviluppatore di software», ha affermato Anton Osika, cofondatore e “ CEO ” di Lovable, in un’intervista rilasciata alla CNBC quest’estate. «Credo che assisteremo a una maggiore capacità di innovazione da parte degli ingegneri del software e di tutti gli altri», ha affermato, prevedendo che ciò consentirà ai consumatori di disporre più rapidamente di prodotti migliori.
Inoltre — come abbiamo visto quest’anno — sempre più applicazioni software piene di bug e con backdoor completamente aperte finiscono nelle mani degli hacker.
Nella nostra analisi di ottobre, analizziamo in dettaglio la storia avvincente di questa tendenza, gli strumenti utilizzati e i principali soggetti che assumono rischi, per poi proporre alcune decisioni oculate che gli amministratori delegati e i responsabili della sicurezza possono adottare fin da subito per tenere sotto controllo questa nuova attività in espansione. Primo passo? Garantire la visibilità su tutta la vostra rete.
