ServiceNow porta IT e OT in un'unica mappa del rischio, ed è questo il filo che lega le acquisizioni di Armis, specializzata nella visibilità su OT, IoT e dispositivi medicali, e di Veza, che mappa chi e che cosa può accedere ai dati, compresi gli agenti AI. La piattaforma nata per la gestione dei processi aziendali abbraccia così gli ambiti che la cybersecurity tradizionale ha sempre avuto difficoltà a gestire, come per esempio macchinari industriali, apparati elettromedicali, sistemi che gestiscono gli edifici e identità non umane.

Per Patrizio Rinaldi, Director Solution Consulting di ServiceNow, "la visibilità è il primo pillar di ciò che bisogna garantire per un'architettura di cybersecurity effettivamente resiliente". Sapere dove si trova ogni asset, a quale servizio di business è legato e quale rischio porta con sé consente di decidere che cosa correggere per primo e di agire a velocità macchina, con la supervisione umana dove serve.

Una piattaforma che arriva alla sicurezza dai processi

ServiceNow compare di rado nei radar dei vendor di cybersecurity. Rinaldi ne è consapevole e ne ascrive il motivo al posizionamento storico: "siamo sempre stati posizionati come piattaforma di riferimento per i processi aziendali". Tuttavia, la parte di Security Operations è un tema cruciale da tempo e oggi lo è ancora di più, perché occorre "essere veloci quanto i modelli AI che scovano minacce, vulnerabilità e path di attacco a ritmo inaudito". Questo fa delle Security Operations "il tassello fondamentale per andare a chiudere le falle". È qui che entrano in gioco le due acquisizioni, che servono a completare il quadro.

Armis, società specializzata in cyber exposure management, è entrata a far parte di ServiceNow nell'aprile 2026 grazie a un investimento di circa 7,75 miliardi di dollari. La sua tecnologia, che resta disponibile anche come prodotto autonomo con il nome Armis Centrix, tiene traccia di quasi 7 miliardi di dispositivi ed è utilizzata da nove delle prime dieci aziende della classifica Fortune. Veza, focalizzata sulla gestione delle identità e dei permessi, è stata annunciata a dicembre 2025 e il passaggio si è completato a marzo 2026. A maggio, durante l'evento Knowledge 2026 a Las Vegas, ServiceNow ha riunito le due tecnologie nell'offerta Autonomous Security & Risk, in cui Armis alimenta la CMDB con le informazioni sugli asset IT, OT e IoT, mentre Veza aggiunge la mappa degli accessi delle identità umane e non umane. ServiceNow dichiara che l'area security e risk ha già superato il miliardo di dollari di annual contract value.

Il team di ServiceNow a Cybertech Europe 2026

Rinaldi sottolinea che "con l'acquisizione di Armis e Veza andiamo a fare un po' di luce su due coni d'ombra che ci sono sempre stati nell'ambito della cybersecurity. Il primo riguarda OT, IoT, apparati elettromedicali e dispositivi che sono all'interno degli edifici, che rappresentano un asset strategico anche per le infrastrutture critiche del Paese". Il secondo riguarda le identità agentiche.

IT e OT: un problema comune

Per Rinaldi la convergenza fra IT e OT emerge dall’analisi degli attacchi più recenti. L'esempio più lampante è la notizia freschissima dell'attacco ha messo fuori uso gli impianti di refrigerazione di centinaia di supermercati francesi, con i punti vendita colpiti che sono stati costretti a gettare merce fresca e surgelata. Una cella frigorifera non è un sistema informatico in senso stretto, ma la sua compromissione blocca un servizio al pubblico: “è un classico esempio di ciò che si può realizzare andando ad attaccare ciò che oggi diventa parte dell'infrastruttura di erogazione dei servizi IT, ma che va sotto un altro nome", osserva.

Nell'IT la consapevolezza del rischio è maturata in anni di incidenti, mentre sul fronte OT il percorso è meno avanzato, benché in gioco ci siano sistemi da cui dipendono servizi essenziali. Rinaldi richiama proprio questo livello: "parliamo proprio di infrastrutture critiche, parliamo di apparati elettromedicali" e per la loro protezione il punto di partenza è proprio l'inventario, perché "è fondamentale conoscere il proprio asset, sapere quali sono i propri dispositivi, gli asset eventualmente affetti da una vulnerabilità o che possono essere esposti a un path di attacco", sottolinea.

Sapere che un dispositivo esiste, però, non basta a stabilire quanto conta, per questo entra in gioco il contesto che la piattaforma già possiede sui processi aziendali: "una delle cose che riusciamo a fare è proprio dare contestualizzazione del singolo asset all'interno dell'importanza del business o dell'erogazione dei servizi del cliente o dell'organizzazione", spiega Rinaldi. Così facendo, l'asset smette di essere una riga in un elenco e diventa un anello di una catena. "Creare una mappa che evidenzia il modo in cui ogni singolo asset si incastra nella catena di erogazione di un servizio, abilitiamo la valutazione del rischio specifico" di una vulnerabilità che insiste su un apparato. La stessa falla pesa in modo diverso a seconda del servizio che l'apparato contribuisce a erogare.

Da qui deriva una scala di priorità per gli interventi. Rinaldi la descrive come "una mappa di prioritizzazione delle attività di remediation", pensata per ridurre il tempo che intercorre tra la scoperta di una vulnerabilità e la sua correzione. Azzerarlo del tutto è un traguardo irrealistico per quanto auspicabile; ciò che l'azienda propone è il continuous scanning abbinato all'intraday patching, con processi automatizzati basati su AI, procedure e persone che si intrecciano nel flusso di remediation.

Il vantaggio dichiarato di questo approccio è che "conoscere i processi dell'organizzazione, come gli asset si incastrano in questi processi e nei servizi di business ci dà il vantaggio per poter calcolare [...] il rischio relativo al singolo componente che stiamo monitorando", sottolinea Rinaldi, che definisce questa funzione come una capability propria di ServiceNow.

Velocità, frammentazione e threat intelligence

Il contesto in cui l’attività avviene ha due facce. Da un lato c'è il cybercrimine, che "non ha da rispettare né tempi né processi aziendali, né tantomeno una compliance", dall'altro c'è chi deve proteggere l'intero perimetro e, allo stesso tempo, rispettare processi e interazioni con il business, che "spesso possono aumentare il tempo di risposta a un attacco". Lo squilibrio si accentua con la discesa in campo dei modelli di frontiera, usati dal cybercrime come dai difensori". In questo scenario, far dialogare davvero infrastrutture cyber e Security Operations significa chiudere un divario strategico. "La cybersecurity a volte non ha la stessa integrazione con chi fa security operation", rileva.

L'altro nodo è la frammentazione degli strumenti. Secondo Rinaldi i reparti di security arrivano a utilizzare fino a 90 strumenti differenti, "noi ci vantiamo di avere un'estrema integrazione con gli strumenti di terze parti che compongono per natura gli ecosistemi di cybersecurity", dichiara. ServiceNow, aggiunge, ha "la caratteristica di essere una piattaforma aperta in grado di interfacciarsi ai vari strumenti e di farli muovere fra di loro in maniera coordinata, con l'AI che aiuta a prendere decisioni informate proprio per il contesto operativo", mediante la coordinazione della la giusta esecuzione del giusto processo per la chiusura di una falla, a velocità macchina. La visibilità continua sui problemi dell'infrastruttura si traduce pertanto in azioni specifiche, che coinvolgono anche sistemi di terze parti.

Per decidere dove intervenire con priorità occorre anche la threat intelligence. Rinaldi indica due strade: l'uso di fonti globali e la base informativa di Armis, che oltre alle minacce legate ai dispositivi conosce il comportamento atteso di ciascuno. "Oltre alla threat intelligence relativa ai dispositivi sappiamo anche come il dispositivo dovrebbe comportarsi nel suo naturale ciclo di vita", spiega, e questo permette di rilevare scostamenti rispetto al comportamento atteso, attivare gli alert e approfondire le  analisi per capire se effettivamente sta accadendo qualcosa di potenzialmente pericoloso.

Gli agenti AI come nuovo perimetro da presidiare

L'utilizzo della componente AI agentica all'interno della piattaforma "è assolutamente strutturale", dice Rinaldi, sia per velocizzare i processi sia per prendere decisioni informate che includano il calcolo del rischio. L'azienda rivendica anche la libertà di scelta dei modelli, perché "possiamo utilizzare modelli di qualsiasi terza parte, in modo da sfruttare quello migliore per l'obiettivo che si vuole raggiungere".

Però occorre controllo. Più gli agenti proliferano, più diventa urgente sapere che cosa fanno, in un contesto in cui le identità non umane superano quelle umane di oltre 80 a uno. Per governarle, ServiceNow propone AI Control Tower, un livello di controllo trasversale che si estende anche ad agenti costruiti su piattaforme di terze parti. Rinaldi ne descrive il perimetro come una soluzione di controllo della dimensione agentica che copre il provisioning e la discovery degli agenti e dei modelli, anche di terze parti, fino alla "valutazione del comportamento di questi agenti. Se un agente si comporta in modo inatteso o ha un drift, cioè uno scivolamento rispetto al comportamento previsto, lo si può correggere, e si può misurare in termini economici l'impatto del lavoro che svolge”.

La sicurezza degli agenti è il terreno in cui scende in campo Veza. Rinaldi parla di un agente che "sta sfuggendo al controllo" e fa cose per cui non era stato autorizzato, per esempio accedendo a dati che non dovrebbe toccare. Veza porta la capability di "riuscire a mappare il path di accesso al singolo dato da parte di un'identità umana e non umana", così da individuare gli accessi indebiti e il rischio che ne deriva.

Il governo degli agenti serve anche a poterli usare con fiducia, perché ricorda il manager che dove viene meno la fiducia, sparisce il vantaggio della velocità. Detto questo, per alcune attività la supervisione umana resterà necessaria, ma strumenti come la control tower servono a "utilizzare gli agenti in maniera trusted" e a ridurre i casi in cui l'approvazione manuale diventa un collo di bottiglia.

L'ultimo tassello riguarda la catena dei fornitori. Secondo Rinaldi la piattaforma viene utilizzata da tempo per verificare la rispondenza normativa di soluzioni di terze parti, e la logica si estende ora al third party risk management. A essere tenuto sotto osservazione è il rischio che corre l'azienda insieme al suo ecosistema di fornitori, ovvero "l'azienda più il mio fornitore esterno".