Per le imprese italiane la cybersecurity sta diventando un servizio continuativo da affidare a specialisti esterni. Competenze introvabili, minacce sempre più rapide, obblighi normativi e all’arrivo dell’AI stanno spostando la domanda dal prodotto al risultato, e questa a sua volta alimenta e rafforza il mercato dei servizi gestiti. Per ricostruire lo scenario abbiamo chiesto un’opinione ad Acronis, ESET Italia, HWG Sababa, Kaspersky, Nethesis, SentinelOne, Sophos, TrendAI e WatchGuard.

Il primo fattore da mettere sul piatto è la distanza tra la complessità della sicurezza e le risorse che un’azienda riesce a mettere in campo. Le tecnologie richiedono persone in grado di interpretare i segnali, di riconoscere una minaccia e si intervenire a qualsiasi ora, perché gli attacchi arrivano spesso fuori dall’orario di lavoro. Costruire un SOC interno con presidio 24 ore su 24 comporta investimenti e personale che per molte organizzazioni risultano difficili da sostenere, e in Italia, come in altri Paesi, mancano competenze IT specializzate in sicurezza, cloud e infrastrutture.

A complicare il quadro c’è la proliferazione degli strumenti. Un’azienda utilizza in media più di 45 soluzioni di sicurezza differenti, con il conseguente aumento della complessità operativa. Cresce di conseguenza l’esigenza di una visibilità ampia su ciò che è stato adottato.

Le minacce, nel frattempo, sono più rapide, coordinate e automatizzate, e il tempo tra il primo accesso e l’impatto si è ridotto drasticamente. Gli attaccanti sfruttano l’AI, e la superficie d’attacco si allarga con il cloud, il lavoro da remoto, le supply chain digitali, le identità e le infrastrutture ibride e multi-cloud. Un singolo attacco può coinvolgere nello stesso momento endpoint, identità, rete e applicazioni cloud.

Cambia anche chi finisce nel mirino. Le grandi organizzazioni hanno irrobustito le difese negli ultimi anni, per conseguenza i cyber criminali hanno spostato l’attenzione verso realtà meno strutturate, come le PMI e i liberi professionisti, che spesso si trovano impreparati di fronte a un incidente. L’automazione degli attacchi e l’uso dell’AI hanno inoltre ridotto le differenze tra grandi e piccoli in termini di esposizione al rischio. Secondo alcune ricerche di mercato, 8 PMI su 10 hanno affrontato almeno un incidente di sicurezza nell’ultimo anno; 3 su 4 hanno registrato attacchi basati sullo sfruttamento di vulnerabilità tecnologiche e oltre la metà ha dovuto gestire incidenti riconducibili a errori o comportamenti non sicuri degli utenti.

Si fa strada, di conseguenza, la consapevolezza che la preparazione delle persone sia parte della difesa. False PEC e messaggi di phishing sono ancora all’origine di buona parte degli incidenti, per questo la formazione del personale può trasformare lo staff nella prima linea di difesa dell’azienda.

Normative, AI e sovranità

Sul piano normativo, GDPR è un tema ormai consolidato, mentre NIS2, DORA e AI Act stanno spingendo molte aziende a cercare partner esterni che le aiutino ad essere conformi. In Italia la NIS2 alza le aspettative su resilienza, governance e responsabilità del management.

Le aziende adottano l’AI per migliorare produttività ed efficienza; 3 su 4 stanno già utilizzando, sviluppando o valutando strumenti interni basati su LLM, con nuove questioni di protezione dei dati, governance delle informazioni e sicurezza delle applicazioni. Il passaggio dall’AI generativa a quella agentica aumenta la complessità. Molte organizzazioni faticano a capire quali sistemi di AI siano presenti, quali strumenti vengano usati e quali agenti abbiano accesso alle risorse aziendali, e la visibilità deve tradursi in controlli concreti che stabiliscano che cosa un agente può e non può fare quando entra in contatto con sistemi e informazioni critiche.

Anche nei servizi di sicurezza l’AI cambia il lavoro. Assorbe le attività ripetitive e consente agli specialisti di operare a una velocità e su una scala altrimenti difficili da raggiungere. L’esperienza delle persone resta decisiva, ma si sposta dove genera più valore. Più le macchine diventano efficaci nell’elaborare i segnali, più pesano le persone che ingegnerizzano il sistema, comprendono il contesto, analizzano le ambiguità e stabiliscono che cosa conta davvero.

Sul tavolo c’è poi il tema scottante della sovranità digitale. Quando un provider ha visibilità continua sui sistemi critici e partecipa a rilevamento, investigazione e risposta, diventa parte dell’infrastruttura di sicurezza del cliente. Dove opera, come gestisce i dati e quale controllo lascia al cliente rientrano nella gestione del rischio cyber. L’instabilità geopolitica porta a chiedersi dove risiedano le funzioni critiche, chi le controlla e quali dipendenze esistono tra provider, tecnologie e giurisdizioni. Sovranità significa compiere scelte consapevoli e mantenere il controllo su dati, processi e decisioni critiche.

Dal prodotto al risultato

Il cambiamento più netto riguarda ciò che le imprese chiedono: invece di un prodotto o un intervento occasionale, le imprese sono oggi orientate verso un servizio continuativo che produca un risultato operativo, ossia rilevare le minacce, investigarle e intervenire rapidamente. La richiesta è di un’orchestrazione di servizi a 360 gradi, per aziende di ogni dimensione, che comprende SOC gestiti, threat intelligence, vulnerability management e incident response in forma integrata. Il rischio digitale è diventato finalmente come qualcosa da monitorare in modo continuativo, in relazione con l’evoluzione del business.

Le imprese vogliono sapere chi monitora il loro ambiente, come vengono valutati gli alert, quali azioni sono possibili e con quali tempi, e chiedono una visione comprensibile della propria postura di sicurezza, utile anche a decidere dove investire. Cambiano di conseguenza i criteri di giudizio. Alert monitorati, incidenti gestiti, ticket chiusi e tempi di risposta restano metriche utili, ma l’attività da sola non coincide con il risultato. Contano la rapidità con cui le minacce vengono identificate e contenute, la riduzione delle escalation superflue, la valutazione di vulnerabilità ed esposizioni nel loro contesto e la crescita della resilienza dell’organizzazione.

Si modificano anche le formule contrattuali. I contratti vecchio stampo lasciano spazio a modelli che permettono di scalare rapidamente verso l’alto o verso il basso; pay-per-use e pay-as-you-go stanno diventando lo standard. Sul versante tecnologico servono piattaforme multitenant e integrabili, adatte a sostenere servizi ricorrenti. Le imprese cercano inoltre interlocutori che conoscano davvero il contesto italiano, con servizi su misura anziché un approccio standardizzato.

In questo passaggio cresce il peso degli MSP e degli MSSP, che diventano interlocutori strategici nella gestione del rischio cyber, capaci di combinare tecnologia, competenze e servizio. Per i reseller e MSP che conoscono l’infrastruttura e le priorità del cliente, si apre lo spazio per accompagnarlo nel tempo da una sicurezza prevalentemente reattiva a una gestione proattiva, anche passando per l’accessibilità a competenze che molte organizzazioni non riuscirebbero a mantenere al proprio interno.