Il 90,3% dei decisori IT e C-level reputa necessario migliorare la gestione delle identità per fronteggiare i rischi introdotti dagli agenti AI. Oltre la metà delle aziende non ha ancora definito l'insieme minimo di sistemi e processi necessari per il proseguimento dei servizi alla clientela durante un'interruzione. Sono due dei dati più significativi emersi dal whitepaper IDC commissionato da Commvault Resilience Operations: The Discipline that Makes Readiness Provable.

La ricerca ha coinvolto 539 aziende enterprise del Nord America e quello che è emerso è lo scenario di un mercato in cui l'adozione dell'AI, in particolare degli agenti autonomi, sta correndo più velocemente della capacità di governarla in sicurezza. Con la diffusione su larga scala degli agenti, il numero di identità non umane presenti negli ambienti aziendali ha ormai superato quello delle identità umane e molte di queste identità macchina vengono create o clonate a partire da account umani con beneficiano di più permessi rispetto a quelli necessari. Questo approccio porta a fare sì che le identità agentiche ereditino gli stessi eccessi di privilegio, con i rischi che ne conseguono.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

I numeri raccolti da IDC fanno capire la dimensione del gap: solo il 26,7% delle aziende ha implementato controlli di accesso basati su ruoli dinamici pensati per supportare carichi di lavoro AI e analytics. Appena il 24,7% degli intervistati ha documentato e testato concretamente la propria capacità di proteggere, rilevare compromissioni e ripristinare ambienti Active Directory ed Entra ID. A questo si somma il fatto che l'84,5% delle organizzazioni interpellate ha registrato almeno un incidente cyber negli ultimi dodici mesi, con una media di 11,3 attacchi annui per azienda e il 33,8% che ne ha subìti tra uno e cinque.

Sul fronte della collaborazione interna, la ricerca rileva un consenso pressoché unanime sulla necessità di intervenire: il 98,4% dei rispondenti ritiene che la cooperazione tra i team IT e di sicurezza debba migliorare, con il 49,7% che parla di interventi significativi e il 19,3% che invoca addirittura una revisione completa dell'approccio.

Resilience Operations

Per rispondere a queste lacune strutturali, IDC propone il concetto di Resilience Operations, o ResOps, inquadrandola come disciplina operativa continua che integra cyber-preparedness, deployment infrastrutturale, protezione dei dati e disaster recovery con i requisiti di continuità del business. A differenza dei modelli di risposta agli incidenti sviluppati in passato, ResOps è pensata come pratica costante, incorporata nel modello operativo dell'azienda e ancorata esplicitamente agli obiettivi di business.

Il cuore del framework è il concetto di minimum viable business, ossia la soglia operativa sotto la quale un'organizzazione non può sostenersi. In alcuni casi il perimetro del MVB arriva a coprire fino all'80% del catalogo applicativo aziendale (il che costringe le imprese a scelte difficili quando la quasi totalità dell'infrastruttura digitale viene percepita come critica). Per evitare che l'azienda resti esposta a una seconda violazione proprio nel momento di massima vulnerabilità, IDC suggerisce di affrontare la definizione del MVB lungo cinque dimensioni distinte: criticità per il fatturato, obblighi normativi e di compliance, soglie minime di esperienza cliente da garantire, basi di produttività dei dipendenti e postura di sicurezza da mantenere anche durante la fase di recovery.

Sul versante più tecnico della data protection, la ricerca conferma che solo il 26,9% delle organizzazioni dispone di una piattaforma di backup integrata con gestione unificata delle policy; per tre aziende su quattro la protezione dei dati resta affidata a soluzioni multiple e frammentate, con motori di policy separati che generano silos di ripristino, politiche di retention incoerenti e tempi di recovery più lunghi. Solo il 35,4% ha automatizzato l'identificazione di recovery point puliti mediante orchestrazione, mentre oltre il 64% degli intervistati continua a dover intervenire manualmente su questo processo, con ricadute dirette sul rischio di errore umano proprio nei momenti di massima pressione operativa.

Anche sul fronte dei cleanroom, gli ambienti isolati usati per mettere in staging i ripristini, condurre analisi forensi e scansionare i dati alla ricerca di malware prima di reimmetterli in produzione, la maturità è limitata: oltre il 59% delle aziende ha implementazioni assenti o parziali. La scansione basata sul contesto, che utilizza analisi comportamentale e semantica per identificare il malware con maggiore precisione rispetto agli approcci basati su signature, è stata adottata solo dal 22,6% del campione.

Sul tema della crittografia post-quantistica, il divario è ancora più marcato, con appena il 3,5% delle organizzazioni che si dichiara pronto; IDC ritiene che sistemi quantistici in grado di compromettere alcuni algoritmi crittografici a chiave pubblica oggi ampiamente diffusi potrebbero emergere già a partire dal 2030, un orizzonte che rende urgente affrontare i rischi legati alle strategie di raccolta dati oggi per la decifrazione futura.

Un modello di maturità a quattro stadi

Sulla base dei dati raccolti e delle interviste, IDC ha costruito un modello di maturità ResOps articolato in quattro stadi progressivi. Le organizzazioni al primo livello, definito Reactive, trattano la risposta agli incidenti come un problema di competenza di un singolo team, spesso il SOC o l'infrastruttura IT, con backup frammentati per business unit, recovery manuale e nessuna definizione formalizzata del MVB. Circa tre aziende su quattro, secondo i dati del report, operano ancora con questa impostazione frammentata.

Il secondo stadio è quello Aware: le organizzazioni riconoscono i limiti dell'approccio a silos e avviano un lavoro strutturale di allineamento, spesso attraverso un gruppo di lavoro informale privo però di mandato esecutivo o budget dedicato. Il terzo stadio, Coordinated, segna il passaggio al livello in cui quello l'azienda formalizza una funzione ResOps con sponsorship a livello di CIO e CISO, definisce il MVB in modo documentato e assegna SLA specifiche a livello di singola componente critica del business, non più solo di sistema tecnico. L'ultimo stadio, Resilient, rappresenta l'apice del modello, con il MVB trattato come documento vivo, ricalibrato trimestralmente, e con strumenti basati su AI che supportano il monitoraggio in tempo reale della postura di resilienza e l'identificazione automatica di recovery point puliti anche in scenari di attacco complessi e asincroni.

Commvault ha annunciato l'IDC Cyber Readiness Assessment, uno strumento interattivo per valutare la propria maturità di cyber resilience e individuare le aree dove sono necessari interventi prioritari. Lo strumento, che sarà disponibile nei prossimi mesi, restituisce ai partecipanti un profilo di preparazione personalizzato.

Il report individua inoltre una serie di ostacoli ricorrenti nel percorso di adozione di ResOps, dalla resistenza alla trasparenza che il framework inevitabilmente genera, così da portare alla luce inefficienze e ridondanze erroneamente tollerate. A questi si aggiungono carenze di competenze specifiche in analisi dei dati, resilience engineering e business continuity planning, spesso non ancora presenti in azienda con la profondità richiesta, insieme a inventari degli asset incompleti o imprecisi che compromettono l'accuratezza dello scoping del MVB e alla diffusione di shadow IT e servizi SaaS non gestiti, che creano punti ciechi nel perimetro di protezione e ripristino.