C’era una volta la cybersecurity, nel senso che una volta c’era l’idea che si potesse raggiungere una vera “sicurezza cyber”, ossia una protezione abbastanza solida da poter resistere agli attacchi digitali. Poi si è capito che questo non era davvero possibile e abbiamo cominciato a parlare di cyber resilience, a indicare che l’obiettivo non è arrivare a bloccare tutti gli attacchi ma fare in modo da poterne arginare le conseguenze, per mantenere sempre attivi i propri processi digitali. Ma anche questa visione rischia di essere riduttiva, ora che la sicurezza cyber è diventata una parte di uno scenario più articolato che comprende – anche, non solo – i temi della geopolitica, della sovranità digitale, dei conflitti nel ciberspazio.

Non a caso Leonardo, che tutti questi temi li affronta da tempo, preferisce parlare di “operational resilience at speed”, a indicare la necessità di mantenere una resilenza operativa anche quando le finestre di reazione e prevenzione sono ridotte al minimo. “È la velocità che sta facendo davvero la differenza”, spiega in questo senso Aldo Sebastiani, SVP Global Cybersec Center di Leonardo: “i tempi della catena di gestione della sicurezza sono di fatto collassati e questo fa sì che gli approcci seguiti sinora siano inefficaci e l'utilizzo delle nuove tecnologie come l'AI diventi fondamentale”.

Il punto chiave che Leonardo sottolinea, e che può risultare nuovo per chi fa cybersecurity “classica”, è che la necessità di muoversi sempre più velocemente ad un certo punto impone di darsi delle priorità, poiché ovviamente non si può proteggere tutto al meglio e istantaneamente, e soprattutto di muoversi strategicamente di conseguenza. Il tema è quello della cyber survivability, un concetto che sta passando dall’ambito della Difesa a quello aziendale: se la cyber resilience è la capacità di adattarsi e recuperare dopo un incidente, la cyber survivability punta ad una “sopravvivenza operativa” durante l'attacco stesso, anche a costo di rinunciare temporaneamente a servizi e funzionalità non essenziali.

“La resilienza deve essere operativa e concreta. Deve cioè avere come obiettivo mantenere operativi gli elementi essenziali di una infrastruttura, o genericamente di un sistema distribuito come può essere una qualsiasi azienda, anche in condizioni di attacco”, spiega Sebastiani: per questo la nuova visione della cybersecurity deve essere necessariamente “outcome-based, cioè mirata all'obiettivo della propria missione, intendendo il concetto non più in senso militare ma legato alla ‘mission’ che qualsiasi organizzazione ha”.

I vendor tecnologici della cybersecurity hanno in sostanza già dato la loro risposta alla richiesta di maggiore velocità nelle operazioni di difesa: serve l’intelligenza artificiale e in particolare serve l’AI agentica, per delegare molte operazioni a team di agenti specifici che affiancano gli operatori umani della sicurezza IT. L’uomo a questo punto non è nemmeno “in the loop” perché sarebbe troppo lento, e assume invece un ruolo di orchestratore e controllore delle varie AI agentiche in campo. Leonardo non contesta questo approccio, purché la responsabilità finale delle decisioni resti sempre umana, avvisa però che implementarlo in maniera sicura e resiliente non è affatto semplice: gli agenti AI non sono tradizionali componenti software – complessi a piacere, ma comunque con un comportamento deterministico – bensì oggetti che esprimono un comportamento autonomo, probabilistico, che va opportunamente limitato.

Per contenere le AI non bastano i guardrail di cui sempre si parla, perché la cronaca della cybersecurity ha già dimostrato che non sono sempre semplici da realizzare ed efficaci quanto si vorrebbe. Serve piuttosto, spiega Sebastiani, “realizzare un'osservabilità continua degli agenti AI, come la si è realizzata sinora per tutte le componenti umane e digitali di una infrastruttura IT e governare identità e permessi di ogni agente, con la possibilità di revocarli in qualsiasi momento. Questo permette, quando necessario, di bloccare le attività degli agenti e di fare recovery dei sistemi per riportarli ad uno stato stabile”.

Una osservabilità che non è così scontata come si può immaginare, perché andiamo verso scenari con milioni di agenti AI che continuano ad apprendere ed intervengono a “velocità di macchina” in infrastrutture ampiamente distribuite, interconnesse fra loro e controllate da diversi stakeholder. E sono proprio tutti questi stakeholder che tra l’altro devono imparare a collaborare: qualunque sia la loro natura (pubblica o privata, civile o militare), digitalmente tra loro non ci sono più confini.

Leonardo storicamente opera in grandi progetti che coinvolgono organizzazioni complesse, che hanno ben presente come sta cambiando lo scenario della cybersecurity e della cyber resilience. È il caso del Global Cybersec Center, che con oltre 600 professionisti distribuiti tra l’hub principale di Chieti e le sedi di Bruxelles, Bristol, Riyadh e Kuala Lumpur supporta la protezione e la resilienza di più di 200 organizzazioni incluse infrastrutture critiche, istituzioni nazionali, europee e internazionali. Ma ovviamente non sono le uniche coinvolte da queste evoluzioni: “Ci sono innanzitutto molte aziende di dimensioni medie, piccole e anche molto piccole che hanno proprietà intellettuali molto importanti e che per questo hanno sviluppato una precisa consapevolezza di cosa sta accadendo – spiega Sebastiani – e comunque esiste una massa critica di aziende, di qualsiasi dimensione, che devono sviluppare la stessa consapevolezza perché fanno parte di supply chain che oggi hanno precisi requisiti di resilienza cyber”.

Portare milioni di aziende ed organizzazioni italiane ed europee a pensare in termini di resilienza operativa è ovviamente tutt’altro che banale, ma oggi c’è un motivo in più per farlo: è il modo per raggiungere concretamente quel livello di sovranità digitale di cui l’Europa ha bisogno. “Dobbiamo essere pragmatici – spiega Sebastiani – e riconoscere che in molti ambiti, AI in primis, parlare di sovranità tecnologica europea non è realistica nel breve periodo. Però possiamo già da oggi parlare di sovranità operativa, ossia creare le condizioni affinché una tecnologia, indipendentemente da dove proviene o da chi la fornisce, resti disponibile anche in condizioni di crisi o di attacco e sia dotata di tutti gli elementi di governance e sicurezza necessari. E proprio governance e sicurezza rappresentano un driver di crescita per il mercato europeo”. E un obiettivo che l’Europa può porsi concretamente, invece (o prima) di puntare ad ambiziosi stack di tecnologie e servizi tutti “made in UE”.