Il 70% delle organizzazioni EMEA dichiara che le proprie strategie di cybersecurity sono state direttamente influenzate da sviluppi geopolitici, e per la metà del campione la sovranità digitale è ormai una priorità estrema. Lo rivela un report internazionale condotto da Sapio Research per conto di Arctic Wolf , che ha coinvolto 1.350 decision maker IT e security di organizzazioni in tutto il mondo.

Il dato più significativo riguarda la percezione delle minacce nation-state da parte dei leader europei. Gli Stati Uniti compaiono ora tra i principali paesi ritenuti pericolosi per la sicurezza aziendale, subito dietro la Cina e davanti alla Russia. Metà del campione EMEA valuta attivamente il rischio legato ai vendor e alla loro collocazione geografica, verificando dove ha sede il fornitore, dove sono conservati i dati e quali governi potrebbero avere la facoltà di accedervi.

Nell'area DACH, che comprende Germania, Austria e Svizzera, la preoccupazione per l'AI risulta quasi doppia rispetto a quella per il malware, il che segna un'inversione netta delle priorità di minaccia tradizionali. Questa apprensione non rallenta però l'adozione, quanto piuttosto ne definisce i requisiti: nei paesi di lingua tedesca l'AI deve essere controllabile e regionale, gli LLM devono essere esplicitamente autorizzati e l'essere umano deve restare nel ciclo decisionale. La stessa logica si estende alle scelte di acquisto, dove un security operations center regionale e la sovranità digitale pesano in modo significativo. Quando le difese cedono, il costo operativo è rilevante: per quasi un terzo delle organizzazioni DACH colpite da una violazione, l'attacco ha interrotto la continuità operativa per diverse settimane, a conferma che, anche nell'epoca dominata dal dibattito sull'AI, il costo reale di un attacco riuscito si misura ancora in tempo perso e operazioni bloccate.

Il tema della sovranità digitale si inserisce in un contesto più ampio in cui la principale preoccupazione dei responsabili della sicurezza intervistati è l'AI (35%), e in particolare gli LLM e i modelli agentici; al secondo posto c’è il ransomware (25%). Del resto, l'adozione degli LLM è ormai capillare: il 39% delle organizzazioni dichiara di avere tra due e tre strumenti approvati, ma ci sono percentuali significative che si distribuiscono tra chi ne autorizza uno solo (20%), chi ne consente quattro o più (18%) e chi permette l'uso di qualunque LLM a condizione che vengano rispettate policy specifiche sui dati (19%). Solo il 3% delle organizzazioni non ha ancora approvato alcun modello linguistico, e un'altra quota residuale (3%) non ha adottato un approccio formale al tema.

Il report distingue tra AI generativa e AI agentica, con la seconda che introduce un salto qualitativo significativo, a fronte però di una autonomia crescente, unita alla possibilità per i cosiddetti "super agenti" di connettersi a più LLM e generare ulteriori agenti in cascata, aumentando la superficie di rischio in modo proporzionale alla velocità di adozione.

Un dato interessante riguarda la segmentazione per dimensione aziendale. Le organizzazioni sotto ai 100 dipendenti restano più concentrate su minacce tradizionali come malware e ransomware (33% contro il 24% relativo all'AI), mentre le realtà più strutturate mostrano una maturità superiore nel leggere l'AI attraverso una lente di rischio. Un'eccezione significativa riguarda il settore travel e trasporti, dove solo il 7% dei rispondenti indica l'AI come preoccupazione primaria, a fronte di un 32% che cita furto di credenziali e rischi legati all'identità.

Sul fronte degli incidenti, il quadro tracciato dal report conferma che gli eventi disruptive restano la norma. Solo il 29% dei rispondenti si dichiara certo di aver evitato incidenti significativi nell'ultimo anno. Un ulteriore 7% ammette di non avere certezza e reputa possibile che un incidente non rilevato sia comunque avvenuto (il che indica carenze nelle capacità di detection e di investigazione).

Gli effetti di questi incidenti sono che per cinque organizzazioni vittime su sei si è registrata una perdita di tempo o produttività; e per quasi la metà (48%) tale perdita è durata due settimane o più. Circa il 10% degli incidenti ha comportato disruption prolungate per due trimestri o oltre. Il settore finanziario si distingue per il tasso più alto di incidenti confermati (69%), mentre quello travel e trasporti mostra ancora una volta un pattern anomalo, con solo il 34% di certezza sugli incidenti subiti ma un 22% di rispondenti che sospetta eventi non rilevati, a indicare carenze di visibilità più marcate rispetto ad altri comparti.

Tra le tipologie di incidente più impattanti, l'esposizione inavvertita di dati si posiziona al primo posto (21%), un dato che il report collega all'aumento vertiginoso dei casi di data incident rilevati nell'attività di incident response di Arctic Wolf, che sono cresciuti di undici volte rispetto al periodo precedente. Questa categoria include sia dati lasciati esposti e acquisiti da attori esterni, sia condivisioni involontarie verso destinatari non autorizzati. Il ransomware, pur non più al vertice della classifica, resta una minaccia costosa e ricorrente, ed è citato dal 17% dei rispondenti come incidente più impattante.

Sul tema del pagamento dei riscatti, il report evidenzia che il 56% delle organizzazioni colpite da ransomware ha effettuato un pagamento, in metà dei casi per decisione interna e nell'altra metà su indicazione di terze parti, come gli assicuratori. Il confronto con i dati di incident response diretta di Arctic Wolf mostra una distanza significativa, dato che solo il 23% dei casi gestiti direttamente dal team ha comportato un pagamento, a suggerire come l'assenza di guida esperta porti spesso le organizzazioni a scegliere la via del pagamento come soluzione più rapida, quando in realtà non è detto che lo sia.

La disclosure degli incidenti resta elevata, con il 94% delle organizzazioni che dichiara di aver comunicato l'evento subito, per lo più a causa di obblighi normativi (45%, in calo rispetto al 51% dello scorso anno) o requisiti contrattuali imposti da assicuratori o altre parti terze (36%). Solo il 13% ha scelto di condividere i propri risultati con la comunità della sicurezza per finalità collaborative.

Passando al tema della preparazione organizzativa, la trasformazione dei dati e l'adozione sicura dell'AI si confermano per il secondo anno consecutivo il principale driver delle strategie di cybersecurity nei prossimi dodici mesi, indicato dal 41% dei rispondenti. Una nuova opzione introdotta quest'anno, relativa alla necessità di tenere il passo con gli sviluppi rapidi dell'AI, ha raccolto il 35% delle preferenze, segno della pressione competitiva percepita dai leader di settore. Le priorità variano sensibilmente per industry: la gestione del rischio guida le strategie di sanità e trasporti, le organizzazioni governative sono più influenzate da costi assicurativi e compliance, mentre energy/utilities e travel/transport mostrano particolare attenzione al rischio di breach disruptive.

Un elemento su cui il report insiste è il divario tra fiducia dichiarata e realtà operativa. Il 53% dei leader si dice molto fiducioso nella capacità del proprio team di tenere il passo con volume e complessità delle minacce attuali, con un ulteriore 43% che si dichiara moderatamente fiducioso, per un totale del 96%. Questo dato stride con il fatto che il 70% degli stessi rispondenti ammette di aver subìto un incidente significativo nell'ultimo anno. Paradossalmente, la fiducia risulta più alta proprio tra le organizzazioni vittime di incidenti (57% molto fiduciosi) rispetto a quelle che dichiarano di non averne subìti (47%).

La disponibilità di un retainer di incident response attivo correla con livelli di fiducia più elevati (57% molto fiduciosi contro il 40% di chi non dispone di questo supporto esterno). Sul fronte della copertura di monitoraggio, il 57% delle organizzazioni dichiara di avere risorse interne sufficienti per un monitoraggio 24x7 di IT, cloud e rete, mentre un ulteriore 32% si affida a partner esterni. Resta comunque un 11% privo di qualunque capacità di monitoraggio continuativo, con punte preoccupanti nel settore sanitario (21%) e in quello governativo (20%), a fronte di un retail che raggiunge invece il 95% di copertura complessiva.

I team di sicurezza risultano sotto pressione costante, distribuiscono il proprio tempo in modo sorprendentemente uniforme tra nove attività differenti, inclusi configurazione degli strumenti, threat hunting, supporto agli utenti finali, gestione della compliance. Per colmare il gap di competenze, le organizzazioni puntano soprattutto su automazione e AI per ridurre il carico manuale (59%) e su formazione e certificazioni (57%), sebbene entrambe le strategie comportino costi e complessità non sempre evidenti.

Il ricorso ai vendor di incident response è in crescita marcata (dal 64% di due anni fa al 74% attuale). Il report segnala tuttavia i limiti dei modelli tradizionali basati su ore prepagate, che espongono le organizzazioni al rischio di dover utilizzare rapidamente il budget residuo entro fine anno o rischiare di perderlo. Sul fronte dell'adozione AI nelle operazioni di sicurezza, il quadro resta in larga parte esplorativo. Il 44% delle organizzazioni si trova ancora in fase iniziale, mentre il 22% ha effettuato deployment limitati e solo il 34% mostra deployment maturi, con AI integrata in più workflow (20%) o addirittura centrale nella strategia di security operations (14%).

Nonostante questa cautela nell'implementazione, le capacità AI diventano sempre più un prerequisito nelle decisioni di acquisto: il 51% dei rispondenti le considera un requisito vincolante e un ulteriore 43% le considera comunque una forte discriminante. Le aspettative divergono per industry, con il settore finanziario e quello tecnologico più propensi a considerare l'AI un requisito, mentre sanità, travel e settore pubblico attribuiscono minore importanza a queste funzionalità.

Le aspettative nei confronti dell'AI applicata alla sicurezza restano molto elevate: l'85% dei leader si attende un miglioramento nella capacità di individuare minacce nuove o elusive, l'83% conta sulla correlazione e analisi dei dati di sicurezza, l'82% si aspetta una vista consolidata di alert, remediation e processi di risoluzione. In quattro ambiti legati al data processing, gli intervistati attribuiscono già oggi all'AI capacità superiori a quelle umane con un margine superiore al doppio, in particolare per l'identificazione delle minacce (72% contro 26%) e la riduzione degli errori (66% contro 31%). Il divario si riduce sensibilmente quando entrano in gioco giudizio e pianificazione strategica, con la sicurezza proattiva dell'organizzazione (54% AI contro 43% umani) e la spiegazione del contesto delle minacce (52% contro 44%) più equilibrate.

Questa fiducia teorica non si traduce però in autonomia concreta. Solo il 14% delle organizzazioni ha reso l'AI centrale nella propria strategia di security operations, e il blocco di indirizzi IP o domini malevoli al firewall risulta l'unico compito per cui una maggioranza, seppur risicata al 53%, si fida di lasciare l'AI operare senza supervisione umana. Per attività più delicate, come il patching automatico di vulnerabilità critiche o il blocco di un account ritenuto compromesso, la fiducia scende sensibilmente. Le ragioni principali di questa diffidenza riguardano le preoccupazioni sulla privacy dei dati (51%), la mancanza di intuizione umana (49%), il rischio di imprecisioni e allucinazioni (43%) e la possibilità di manipolazione dei sistemi (43%).