Allacciate le cinture per il corso 2025.
Il panorama della sicurezza informatica, in rapida evoluzione, è già di per sé abbastanza complesso da gestire, e ora stiamo monitorando alcune minacce di livello davvero superiore che si stanno profilando all’orizzonte.
Prendete in esame alcune delle violazioni più gravi verificatesi quest’anno: ciò vi fornirà alcuni indizi sulle previsioni future in materia di sicurezza informatica.
Nel 2024, sono stati sottratti oltre un miliardo di record , con conseguenze negative sia per i privati cittadini che per la reputazione delle aziende. L’Shadow AI – quella forma sfuggente di intelligenza artificiale generativa con cui i primi utenti della vostra organizzazione stanno già sperimentando – ha continuato a diffondersi nelle aziende di tutto il mondo, ponendo i reparti IT di fronte a dilemmi che non si vedevano più dai tempi in cui i dispositivi mobili con livelli di sicurezza insufficienti fecero la loro comparsa e i dipendenti iniziarono a utilizzarli sul posto di lavoro. E, naturalmente, il ransomware ha continuato a mietere vittime in modo particolarmente brutale, colpendo con particolare gravità gli operatori sanitari .
Potete scommettere che queste tendenze proseguiranno anche nel nuovo anno – ma c’è dell’altro: Focal Point ha chiesto ad alcune delle fonti che abbiamo intervistato di recente se avessero previsioni audaci su ciò che ci aspetta. Ecco alcune delle loro opinioni più stimolanti, oltre ad alcuni consigli e risorse che abbiamo raccolto per prepararvi al corso 2025... e oltre:
1. La biometria fallirà miseramente
La biometria è stata salutata come il Santo Graal dell’autenticazione, ma Roger Grimes, rinomato esperto di autenticazione presso KnowBe4, un’azienda specializzata nella formazione sulla sicurezza informatica, ritiene che si tratti di una sciocchezza.
«Dite addio al mito delle impronte digitali come identificatori “unici”: sono quasi altrettanto facili da violare quanto le password.»Roger Grimes, esperto di lunga data in materia di autenticazione, KnowBe4
«Si dimostrerà che la biometria non è un buon metodo di autenticazione», afferma, poiché le moderne tecnologie, come l’intelligenza artificiale generativa, rendono fin troppo facile falsificare un volto, una retina o un’impronta digitale. Quei film in cui i ladri tagliano il pollice di un malvivente e lo utilizzano per accedere a un caveau bancario impenetrabile assumono un significato del tutto nuovo con la tecnologia digitale, afferma.
«Oggi posso prendere 30 secondi del suo video e creare un deepfake che le permetta di derubare la sua banca», afferma Grimes.
Un nuovo rapporto dell’Institute for Security + Technology , intitolato “ ”, conferma tale affermazione, precisando che: “L’ascesa di una tecnologia deepfake sempre più convincente rappresenta una grave minaccia per i sistemi di autenticazione tradizionali che si basano su segnali visivi o uditivi per la verifica”. I sistemi di autenticazione biometrica che utilizzano il riconoscimento facciale o l’analisi vocale sono già stati compromessi dalla tecnologia deepfake in diversi casi.”
Allora, quali saranno i prossimi passi? Le aziende e le amministrazioni pubbliche si orienteranno probabilmente verso l’autenticazione multifattoriale (MFA) e altre forme avanzate di gestione delle identità e degli accessi (IAM) , magari combinando la biometria con chiavi hardware come YubiKeys, afferma. In conclusione: la biometria da sola non è sufficientemente sicura. , di Gartner, prevede che entro il 2026, gli attacchi che utilizzano deepfake generati dall’intelligenza artificiale sulla biometria facciale porteranno il 30% delle imprese a non considerare più affidabili, se utilizzate da sole, tali soluzioni di verifica e autenticazione dell’identità.
«Dite addio al mito delle impronte digitali come identificatori “unici”: sono quasi altrettanto facili da violare quanto le password, non appena gli hacker inizieranno a concentrarsi su di esse», afferma Grimes.
2. Gli strumenti basati sull’intelligenza artificiale si rivelano armi a doppio taglio
Erik Avakian, ex CISO del Commonwealth della Pennsylvania e attualmente consulente in materia di sicurezza informatica, prevede che assisteremo a un aumento dell’uso di strumenti di automazione basati sull’intelligenza artificiale e di strumenti per la produttività personale negli ambienti aziendali. L’adozione di questi strumenti, che simulano le attività umane, aumenterà la produttività ma comporterà anche rischi per la sicurezza e la privacy, afferma.
«Poiché questi strumenti e queste funzionalità vengono integrati negli ambienti aziendali, potrebbero avere conseguenze indesiderate e durature», avverte Avakian. “Lo sfruttamento delle caratteristiche e delle funzionalità di tali strumenti potrebbe comportare l’accesso non autorizzato a dati sensibili o alla proprietà intellettuale, oppure potrebbe essere oggetto di attacchi tramite iniezioni dannose e uso improprio, quali l’iniezione di comandi errati (intenzionali o non intenzionali) senza che l’utente ne sia consapevole.”
Prima di adottare strumenti basati sull’intelligenza artificiale in ambiente produttivo, Avakian consiglia alle organizzazioni di gettare solide basi in materia di intelligenza artificiale “ ” e governance dei dati, strategia di sicurezza (combattere il fuoco con il fuoco tramite rafforzando la sicurezza con l’automazione e l’intelligenza artificiale), politiche sulla privacy, formazione dei dipendenti e procedure di test approfondite – il tutto in linea con gli obiettivi aziendali. Senza queste basi, tali strumenti potrebbero ampliare l’esposizione al rischio dell’organizzazione, poiché la loro efficacia dipende in larga misura dalla qualità e dalla sicurezza dei dati che trattano, afferma.
3. I pagamenti relativi al ransomware sono oggetto di una regolamentazione a livello globale
Il ransomware non è più solo un problema informatico; secondo Kirsten Bay, responsabile del settore " CEO " presso Cysurance, un fornitore di assicurazioni contro i rischi informatici, rappresenta ormai una minaccia per la sicurezza nazionale. Alla luce del recente aumento degli attacchi di tipo “ransomware-as-a-service” (che sono destinati ad aumentare ulteriormente grazie all’intelligenza artificiale), Bay prevede un giro di vite sui pagamenti dei riscatti attraverso un quadro normativo coordinato a livello globale.
«I casi di estorsione rappresentano una minaccia globale per la sicurezza nazionale», afferma Bay. Ciò comporta un monitoraggio più rigoroso e potenziali sanzioni per i pagamenti di riscatto non dichiarati, in particolare nel settore delle criptovalute.
Sebbene le normative non possano eliminare del tutto il ransomware, potrebbero comunque rallentarne la diffusione, tagliando fuori le fonti di guadagno dei criminali. È prevedibile che i governi esercitino una pressione maggiore sulle aziende affinché segnalino gli episodi di ricatto informatico, prevedendo sanzioni per quelle che non lo faranno. Ciò potrebbe comportare nuovi ostacoli di natura giuridica e normativa per le imprese nel corso delle trattative relative al riscatto.
4. La sovranità dei dati e le “ambasciate dei dati” entrano nel mainstream
I Paesi, in particolare quelli dell’Unione Europea, stanno adottando misure sempre più rigorose a tutela dei dati personali dei propri cittadini , dando origine alle cosiddette “ambasciate dei dati” – centri di gestione sicura dei dati situati al di fuori dei confini fisici di un Paese.
«I paesi sovrani più piccoli si stanno rendendo conto di non poter sempre proteggere i dati conservati in loco.»Frank Dickson, analista di sicurezza informatica presso IDC
L’idea alla base delle “ambasciate dei dati” è che, trasferendo le risorse digitali al di fuori dei propri confini nazionali – dove un governo potrebbe non disporre dei mezzi necessari per contrastare pienamente eventuali intrusioni – verso strutture più sicure situate in altri paesi, si rendono tali risorse “inviolabili e quindi esenti da perquisizione, requisizione, sequestro o esecuzione”, secondo quanto affermato dalla Datasphere Initiative. L’Estonia, ad esempio, nel 2016 ha trasferito le proprie risorse digitali nel vicino Lussemburgo per proteggerle da attacchi che, secondo quanto riferito, provenivano dalla Russia.
IDC ritiene che si tratti di una tendenza in atto e prevede che entro il 2026 (va bene, non si tratta esattamente di una previsione per il 2025 , ma l’anno prossimo potrebbero esserci sviluppi in tal senso), cinque paesi sovrani istituiranno delle “ambasciate dei dati” nell’UE.
«I paesi sovrani di dimensioni più ridotte si stanno rendendo conto di non poter sempre proteggere i dati conservati in loco», afferma Frank Dickson, analista di sicurezza informatica presso IDC. Ha senso. Dopotutto, come si fa a garantire la sovranità e la coerenza dei dati governativi se si fatica a proteggere i propri confini?
Per le aziende statunitensi che operano a livello globale, questa tendenza comporta norme più rigorose riguardo ai luoghi in cui i dati possono essere archiviati e trattati, afferma Dickson. La conformità alle normative dell’UE e ai quadri normativi G7 in materia di sovranità dei dati diventerà probabilmente un requisito imprescindibile, costringendo le aziende a ripensare le proprie strategie infrastrutturali. Il mancato rispetto di tali norme potrebbe comportare multe ingenti e restrizioni commerciali su entrambe le sponde dell’Atlantico, conclude.
5. Le compagnie di assicurazione contro i rischi informatici adottano misure restrittive in materia di richieste di risarcimento
La fase di "luna di miele" per l’assicurazione contro i rischi informatici sta per giungere al termine.
«Ci si devono aspettare adeguamenti più incisivi e condizioni più rigorose per le richieste di risarcimento.»Scott Godes, socio e copresidente dello studio legale Barnes & Thornburg
Scott Godes, socio e copresidente dello studio legale Barnes & Thornburg, prevede che le compagnie assicurative limiteranno i risarcimenti per i sinistri informatici, in particolare quelli relativi al ransomware e alle violazioni della privacy dei dati. «Ci si deve aspettare adeguamenti più incisivi e condizioni più rigorose per la liquidazione dei sinistri», afferma.
Cosa comporta tutto ciò per le imprese? Le compagnie assicurative stanno inasprendo le norme. Se la vostra azienda non è in grado di dimostrare di disporre di un sistema di sicurezza a prova di errore, non aspettatevi un risarcimento consistente, né tantomeno alcun risarcimento, nel caso in cui subiate un attacco informatico.
Si raccomanda invece di stare in guardia di fronte alla possibilità che la vostra compagnia assicurativa intenti un’azione legale per evitare di risarcirvi, sostenendo che non avete agito con la dovuta diligenza e non avete comunicato in modo adeguato le misure adottate per proteggere i vostri dati. I CISO devono prestare maggiore attenzione alla “ ”, ovvero alla documentazione di tutte le loro attività – comprese tutte le misure di sicurezza adottate – altrimenti rischiano che l’assicuratore li metta fuori gioco nel momento in cui si verifichi un costoso incidente informatico.
6. Gli attacchi basati sull'intelligenza artificiale compromettono le infrastrutture critiche
Abbiamo assistito a numerosi attacchi ransomware, ma aspettate: l’anno prossimo, se non prima, tali attacchi potrebbero raggiungere livelli senza precedenti, compromettendo le infrastrutture critiche.
«. Non si tratta più solo di “disruption”; si tratta di distruzione.»Erik Avakian, ex responsabile della sicurezza informatica (CISO) del Commonwealth della Pennsylvania
Avakian ritiene che gli autori degli attacchi prenderanno sempre più di mira i sistemi fisici, dalle reti elettriche alle reti idriche . (Particolarmente a rischio: piccole aziende di servizi pubblici e società energetiche.) Stiamo già riscontrando chiari segnali che indicano come alcuni hacker, presumibilmente legati a governi ostili, stiano intensificando gli attacchi alle infrastrutture critiche degli Stati Uniti. A marzo, l’FBI ha avvertito il Congresso che alcuni hacker cinesi erano penetrati in profondità nell’infrastruttura informatica degli Stati Uniti con l’intento di causare danni. All’inizio di ottobre, American Water, la più grande azienda di servizi idrici degli Stati Uniti, è stata colpita da un attacco informatico che ha costretto la società a mettere fuori servizio i propri sistemi. Il responsabile non è stato identificato, ma si ritiene che fosse sostenuto da uno Stato-nazione.
«Non si tratta più solo di sconvolgimento; si tratta di distruzione», avverte Avakian.
Questi attacchi basati sull’intelligenza artificiale potrebbero compromettere intere catene di approvvigionamento, causando danni che vanno ben oltre la semplice perdita di dati. Immaginate il panico che si scatenerebbe se un worm basato sull’intelligenza artificiale fosse in grado di distruggere fisicamente l’hardware, costringendo le aziende a correre ai ripari per ripristinare i sistemi. I governi e il settore privato dovranno rafforzare la sicurezza cyber-fisica, pena le conseguenze.
7. Le aziende statunitensi si preparano a far fronte a ulteriori requisiti dell’UE in materia di protezione dei dati relativi all’intelligenza artificiale
IDC prevede che entro il prossimo anno l’UE e G7 adotteranno un quadro normativo che consentirà ai singoli cittadini di impedire l’utilizzo delle informazioni di identificazione personale (PII) nell’ambito dell’intelligenza artificiale, di stabilire dove tali informazioni possano essere archiviate dal punto di vista geografico e di correggere le informazioni errate. Una previsione del genere andrebbe presumibilmente oltre quanto previsto dalla legge dell’UE sull’intelligenza artificiale ( ), recentemente entrata in vigore:. Questo quadro generale, basato sul rischio, disciplinerà lo sviluppo, l’implementazione e l’utilizzo dei sistemi di intelligenza artificiale di tipo “ ” in Europa.
Secondo Dickson di IDC, questa previsione avrà gravi ripercussioni sulle aziende statunitensi che operano in Europa, qualora non fossero preparate ad affrontarla. A suo avviso, prepararsi significa disporre delle tecnologie necessarie per impedire che le informazioni di identificazione personale (PII) vengano caricate e utilizzate dai modelli linguistici di grandi dimensioni (LLM) che alimentano gli strumenti di chatbot basati sull’intelligenza artificiale come ChatGPT, Gemini o Microsoft Copilot.
«Se un residente nell’UE ha il diritto di impedire l’utilizzo dei propri dati, dovrete assicurarvi che le vostre piattaforme di gestione dei dati dei clienti (CDP) siano in grado di automatizzare il blocco di tali dati», afferma. «Se commette un errore, quel tipo di normative è molto severo e la loro violazione potrebbe rivelarsi estremamente costosa.»
8. Il ridimensionamento della riassicurazione nel settore informatico provoca una crisi delle coperture assicurative
L’aumento dei riscatti e degli episodi di “business email compromise” (BEC) sta spingendo i riassicuratori a fare un passo indietro. Bay, di Cysurance, prevede una “riduzione delle attività di riassicurazione nel settore informatico” che limiterà i fondi a disposizione delle compagnie assicurative, riducendo così la portata delle coperture informatiche offerte alle imprese.
Per le aziende, ciò comporta premi potenzialmente più elevati, limiti di copertura inferiori e requisiti di sicurezza più rigorosi per poter accedere all’assicurazione, anche se i tassi complessivi dell’ e continuano a diminuire. I riassicuratori richiederanno la dimostrazione di un solido livello di sicurezza, pertanto le aziende dovranno verificare rigorosamente le proprie misure di difesa, afferma Bay.
Questo cambiamento potrebbe rendere più difficile ottenere un'assicurazione contro i rischi informatici proprio nel momento in cui sta diventando indispensabile, aggiunge.
9. La difesa informatica decentralizzata diventa una pratica diffusa
Mentre i sistemi centralizzati di sicurezza informatica faticano a stare al passo con le minacce in continua evoluzione, il 2025 segnerà l’ascesa di reti di difesa informatica decentralizzate e basate sull’ Community, afferma Sean O’Brien, fondatore dello Yale Privacy Lab, il quale ritiene che questo cambiamento rappresenterà una svolta epocale.
«Assisteremo a una rapida crescita delle reti di difesa informatica decentralizzate che sfruttano la blockchain, il software open source e la tecnologia P2P .»Sean O'Brien, fondatore dello Yale Privacy Lab
«Assisteremo a una rapida crescita delle reti decentralizzate di difesa informatica che sfruttano l’ , la blockchain, il software open source e la tecnologia P2P », prevede. Queste reti, o “osservatori”, consentiranno alle imprese di mettere in comune le risorse, proprio come fanno le organizzazioni quando realizzano programmi di sicurezza informatica a livello statale , e di condividere meccanismi di difesa in modo senza necessità di fiducia e distribuito, afferma.
Qual è l’impatto? Tale approccio potrebbe mitigare i rischi legati ai singoli punti di guasto insiti nei sistemi centralizzati, creando una difesa più resiliente contro attacchi sofisticati. Per le aziende, ciò significa avvalersi di risorse basate sull’ Community e di informazioni sulle minacce in tempo reale in grado di adattarsi più rapidamente rispetto ai modelli tradizionali. Entro il 2025, le difese decentralizzate potrebbero rappresentare la soluzione per liberarsi da sistemi di sicurezza informatica obsoleti e facilmente vulnerabili.
10. Gli autori degli attacchi sfruttano le implementazioni approssimative dell’intelligenza artificiale
Johannes Ullrich, responsabile della ricerca presso il SANS Institute, sottolinea che non tutte le implementazioni dell’intelligenza artificiale sono uguali. Infatti, molte organizzazioni, nella fretta di adottare l’IA generativa per scopi aziendali e operativi, potrebbero implementare tale tecnologia senza tenere in primo piano le questioni relative alla sicurezza.
«Gli autori degli attacchi potrebbero rendersi conto che le difese basate sull’intelligenza artificiale e sull’apprendimento automatico di presentano specifici punti deboli a causa dei dati di addestramento incompleti e distorti utilizzati per creare tali modelli», afferma Ullrich. «In alcuni casi, qualora si utilizzino modelli di intelligenza artificiale per fornire risposte automatiche, gli autori delle minacce potrebbero riuscire a ingannare tali modelli affinché agiscano per conto del malware.»
Avakian afferma che la possibilità che si verifichino attacchi di questo tipo evidenzia la necessità di una solida governance dell’intelligenza artificiale. I CISO devono garantire che le integrazioni dell’intelligenza artificiale siano sicure e conformi, afferma. Ciò significa elaborare nuove politiche in materia di trattamento dei dati, sicurezza e conformità, senza ostacolare l’innovazione.
Poiché i processi basati sull’intelligenza artificiale interessano quasi ogni ambito aziendale, dalle risorse umane al servizio clienti, le aziende avranno bisogno di strutture solide per garantire sicurezza ed efficienza, aggiunge Avakian. Chi ignora la governance dell’intelligenza artificiale potrebbe pagarne le conseguenze sotto forma di violazioni dei dati e ingenti sanzioni normative.
[Leggi anche: Le 3 principali minacce legate alla GenAI (più un altro rischio) e come contrastarle]
