La sicurezza informatica allo stato dell’arte (parte 2 aggiornata al 2026)

L’Italia della violazione dei dati privati ha raggiunto numeri spropositati

La sicurezza informatica in Italia? Tutti con la testa negli anni ’90 e del tutto impreparati al presente. Del resto questo è il sottobosco culturale ed esperienziale di provenienza di molti degli imprenditori e amministratori che governano il Paese oggi. Nessuna sorpresa, quindi. Ma perché non accade la stessa cosa con questa frequenza nel resto d’Europa?

I dati parlano chiaro: le analisi storiche del Clusit (Associazione Italiana per la Sicurezza Informatica) e i report internazionali di realtà come ENISA (European Union Agency for Cybersecurity) segnalano costantemente l’Italia tra i Paesi più bersagliati nell’Unione Europea per attacchi ransomware e data breach. A livello globale, le rilevazioni di colossi della threat intelligence come CrowdStrike ed IBM Security mostrano come il costo medio di un breach e i tempi di permanenza degli attaccanti nelle reti (dwell time) siano direttamente proporzionali alla maturità dei processi di sicurezza nazionali.

In Italia la sicurezza informatica è vista ancora come un optional accessorio («tanto abbiamo il firewall»). La formazione ridotta al compitino burocratico aziendale. Il Garante Privacy è percepito come un fastidio evitabile, sommerso da segnalazioni e impossibilitato a stare dietro a ogni singola infrazione.

Fino a quando non succede.

A quel punto scattano le “contromisure”: quelle a costo zero e resa minima. Cioè il nulla cosmico misto al solito comunicato stampa preconfezionato.

Lo “specialismo italico” ormai consiste nel rimpinzare il dark web di dati personali. Passaporti, carte d’identità, cartelle cliniche: un’emorragia continua scambiata per normale amministrazione. Il degrado culturale e strutturale di una società si riflette esattamente nel modo in cui custodisce la propria infrastruttura digitale. E i risultati sono sotto gli occhi di tutti. Enti, società, apparati dello stato, nessuno è stato immune e lo è tuttora. Quindi se tutti i nostri passaporti sono nel darkweb non è colpa di nessuno a quanto pare, ma solo dei “ladri” che poi chiamano “hacker” senza neanche sapere cosa significhi.

Però una cosa va detta: non è che se mi rubano la macchina la colpa sia solo del ladro, se ho lasciato i vetri aperti, eh?

Cosa succede dopo una violazione della sicurezza informatica?

Lo lascio immaginare in parte, sulla base di quanto detto sinora, ma voglio fare l’ipotesi più assurda: il concorrente che viene in possesso dei dati esfiltrati.

Quando un database aziendale finisce nelle mani di un concorrente estero (o di un attore ostile fuori dalla giurisdizione UE/occidentale), il danno si sviluppa su più livelli strategici:

• Sostituzione e disintermediazione commerciale: Con l’accesso alla lista fornitori, ai prezzi di acquisto delle materie prime e alla mappa dei margini applicati, il concorrente può contattare direttamente la filiera, offrire condizioni marginalmente più vantaggiose e scavalcare l’azienda colpita in pochi mesi.
• Sottrazione di Know-How e IP: Disegni tecnici, formule, codice sorgente, brevetti non ancora depositati o strategie di R&D vengono integrati nei processi del concorrente a costo zero, annullando anni di investimenti in innovazione.
• Waponizzazione delle informazioni riservate (Corporate Blackmail): Se dai log, dalle email o dalle tabelle di bilancio emergono irregolarità contabili, discrepanze fiscali, controversie di lavoro o pratiche borderline, il concorrente ha in mano materiale di ricatto reputazionale, legale e giudiziario. Può attivare esposti anonimi alle autorità di vigilanza o soffiare sul fuoco a livello mediatico per destabilizzare la governance della vittima.

La percezione del data breach come “semplice fuga di nomi ed email” o marketinghizzandolo “breccia nella sicurezza informatica”, è l’errore concettuale più grave commesso dal management tradizionale. Nella realtà competitiva globale, l’exfiltration di un database aziendale equivale a consegnare il manuale operativo e le vulnerabilità dell’azienda alla concorrenza.

La burocrazia dell’emergenza permanente

Quando un comportamento illegale o negligente supera la soglia del 99% di adozione, smette di essere un’infrazione e diventa standard de facto, usi e consuetudini.

A quel punto il Garante potrebbe direttamente automatizzare la risposta:

• 1. Creare un modulo di auto-certificazione:
  • “Abbiamo subito un data breach:
    • [A] Avevamo l’antivirus aggiornato nel 2018;
    • [B] Avevamo un server aggiornato al 2009;
    • [C] Non abbiamo un responsabile formato alla CyberSecurity;
    • [D] Facciamo tutto con Excel;
    • [E] Riceviamo più spam e fishing che email di clienti/fornitori;
    • [F] Non si può spendere tanto in tecnologia oggi, c’è crisi.”
• 2. Applicare la sanzione forfettaria con bonifico pre-compilato.
• 3. Chiudere la pratica e passare alla successiva.

A forza di gestire l’eccezione come prassi, la conformità norma/realtà si azzera. Non resta che prenderla sul ridere, o rassegnarsi a vedere il dark web trasformarsi nel vero registro anagrafico nazionale.

I numeri reali: l’iceberg del Dark Web

Ironia e sarcasmo a parte, il “numero reale” di infrazioni della sicurezza informatica, rilevate o notificate dal Garante Privacy, si attesta nell’ordine delle 2.000–2.500 notifiche ufficiali di data breach all’anno (circa 6 o 7 al giorno).

Tuttavia, il divario tra le infrazioni rilevate e quelle reali è enorme. Il quadro si scompone su tre livelli distinti:

• I breach notificati (il dato emerso): circa 2.400 all’anno. Sono i casi in cui l’azienda si accorge dell’attacco, ammette l’accaduto e invia la notifica entro le 72 ore previste dal GDPR.
• I breach sommersi (l’incoscienza): realtà bucate che non se ne accorgono nemmeno. Rimangono compromesse per mesi o anni senza alcun log monitoring, finché i dati non compaiono in vendita sui forum del dark web.
• I breach insabbiati (l’omissione): organizzazioni che rilevano l’intrusione ma decidono deliberatamente di non notificare nulla per evitare sanzioni o danni reputazionali, sperando che l’attaccante non renda pubbliche le informazioni.

Il volume reale di violazioni gravi della sicurezza informatica nell’infrastruttura italiana è nell’ordine delle decine di migliaia all’anno. Quelle gestite dall’Autorità rappresentano soltanto la punta dell’iceberg. La differenza —tra violazioni segnalate e non— la si misura incrociando i dati e le richieste di riscatto che ogni giorno appaiono sul Dark Web — la parte di rete dove si scambiano armi, valute, dati, documenti e qualunque risorsa digitalizzata exfiltrata.

La giungla istituzionale e la realtà del territorio

Nel frattempo cosa succede sul fronte della sicurezza informatica istituzionale? Semplice: sono nati i soliti contesti [poltronifici a enti sovrapposti] che cercano di recepire le direttive europee e trasformarle in burocrazia.

Un’architettura frammentata che spazia dal livello strategico a quello operativo. In questo perimetro di sigle e adempimenti, l’architettura istituzionale si è progressivamente stratificata:

• Governo Centrale / Presidenza del Consiglio (Indirizzo politico)
• ACN (Agenzia per la Cybersicurezza Nazionale) (Strategia, resilienza e coordinamento della direttiva NIS2)
• Ministero dell’Interno / Ministero delle Imprese e del Made in Italy (Competenze istituzionali e tutela del mercato)
• NOC (Network Operations Center) & SOC (Security Operations Center) (Silos operativi pubblici e privatizzati)
• Forze dell’Ordine e Polizia Giudiziaria:
  • Polizia Postale e delle Comunicazioni (CNAIPIC): contrasto ai reati informatici su scala nazionale.
  • Guardia di Finanza (Nucleo Speciale Tutela Privacy e Frodi Tecnologiche): controlli economici, frodi e supporto alle verifiche del Garante.

• Presidenza del Consiglio e Ministeri (MIMIT, Interno, Difesa): organismi di indirizzo politico e ripartizione dei fondi.
• ACN (Agenzia per la Cybersicurezza Nazionale): il vertice strategico che dovrebbe definire la politica nazionale in tema di sicurezza informatica, applicando la resilienza ed il coordinamento delle varie realtà in fase di pre e post crisi, gestisce infatti il CSIRT Italia e applica la direttiva NIS2.
• NOC (Network Operations Center) & SOC (Security Operations Center): strutture operative distribuite tra pubblico e privato. Silos operativi creati per uno scopo specifico: i capri espiatori su cui in futuro poter scaricare la colpa in caso di danno grave con responsabilità nazionale accertata.
• Forze dell’Ordine territoriali:
  • Polizia Postale e delle Comunicazioni (CNAIPIC): contrasto ai reati informatici su scala nazionale. Il braccio operativo per la prevenzione e la repressione del cybercrime.
  • Guardia di Finanza (Nucleo Speciale Tutela Privacy e Frodi Tecnologiche): incaricata dei controlli economici, valutari, frodi e supporto alle verifiche del Garante.

Mentre gli apparati centrali producono linee guida, circolari e framework di conformità, l’unico organo di sicurezza attivo realmente e in modo capillare sul territorio rimane la Polizia Postale, storicamente sotto-organico e priva di canali di comunicazione diretti e automatizzati con le autorità internazionali o con i centri decisionali centrali.

Al giorno d’oggi non esiste un sistema efficace di denuncia digitale via web: prendere un appuntamento in questura o al compartimento richiede giorni o settimane. Se viene lanciata una campagna d’attacco massiva, le strutture sul territorio ne prendono atto quando il fenomeno è già terminato e i dati sono già stati esfiltrati e messi in vendita.

Cosa facciano poi in realtà queste strutture paraministeriali è ormai chiaro

L’importante è che i taglianastri facciano il loro dovere con tanto di conferenza stampa, poi se questi enti servano realmente a qualcosa lo sa solo la Provvidenza (o chi spera che la direttiva NIS2 compia un miracolo laico).

L’Italia ha sviluppato un’attitudine formidabile nel recepire normative comunitarie e convertirle in burocrazia interna, creando strutture su strutture per mostrare formalmente la propria “conformità”. Il divario tra la teoria legislativa e la pratica operativa si comprende analizzando il quadro normativo a cui siamo sottoposti e il modo in cui è stato calato nell’ordinamento nazionale:

Livello / Ambito	Quadro Normativo Europeo	Trasposizione / Misure Nazionali	Impatto reale e criticità
Resilienza e Servizi Essenziali	Direttiva NIS2 (UE 2022/2555) Estende gli obblighi di cybersecurity a un numero enorme di settori pubblici e privati.	D.Lgs. 138/2024 Designa l’ACN come autorità nazionale competente e stabilisce sanzioni pesanti per i C-level.	Genera una rincorsa alla compliance cartacea: le aziende spendono in consulenze legali/auditing per non essere sanzionate, non per blindare la rete.
Banche e Finanza	Regolamento DORA (UE 2022/2554) Impone la gestione del rischio IT e test di penetrazione ai provider finanziari.	Applicazione diretta nell’ordinamento finanziario nazionale.	Standardizza le procedure ma sovraccarica di adempimenti e reportistica i team tecnici, distogliendoli dal monitoring quotidiano.
Protezione Dati Personali	GDPR (Reg. UE 2016/679) Regola il trattamento dei dati e l’obbligo di notifica dei data breach entro 72 ore.	Codice Privacy (D.Lgs. 196/2003 novellato dal D.Lgs. 101/2018)	Il Garante Privacy è sommerso da pratiche e notifiche di breach che non ha la capacità organica di processare tempestivamente.
Criminologia e Investigazione	Convenzione di Budapest sul Cybercrime (Consiglio d’Europa)	Legge 547/1992 e Legge 90/2024 (Inasprimento delle pene per i reati informatici).	Aumentare le pene ed edulcorare i reati sulla carta è inefficace se mancano i mezzi per identificare e procedere contro gli autori reclusi all’estero.

L’asimmetria economica del crimine informatico

Nel frattempo, la matematica delle truffe parla chiaro:

• L’acquisto di un database da 10 milioni di numeri di telefono costa circa € 40.000 nel dark web.
• Inviare 10 milioni di SMS tramite provider compiacenti costa meno di 2,5 centesimi ciascuno (€ 250.000).
• Un milione di telefonate o interazioni generate verso numeri a sovrapprezzo o finti centralini che guadagnano almeno 2 euro a chiamata produce 2 milioni di euro come margine minimo.

Se esistesse un sistema di segnalazione e denuncia digitale semplice, unito a un controllo automatizzato incrociato sulle compagnie telefoniche per bloccare i volumi anomali di traffico, si potrebbero mitigare questi fenomeni in poco tempo. Ma chiedere questo alla macchina burocratica equivale a veder richiedere nuovi fondi e personale per creare ulteriori commissioni. Strutture che non consumano aria o acqua, ma unicamente risorse finanziarie, pur continuando a sottopagare chi lavora sul campo.

Perché nella realtà italiana un ingegnere con dottorato, padronanza di 5 linguaggi di programmazione, fluente in 2 lingue, esperto di scripting Bash, profondo conoscitore dei sistemi operativi (da Unix/Linux a Windows e macOS, fino ad iOS e Android), con competenze di rete, architettura DevOps e Cybersecurity, secondo i bandi ministeriali dovrebbe accontentarsi di circa 1.500 euro al mese (magari a partita IVA). Otto ore al giorno a scavare dentro i log e i router dell’intero Paese.

“Atto non perseguibile”: la resa della giurisdizione

Se il truffatore opera da un Paese extra-UE senza trattati di estradizione, l’azione diventa de facto non perseguibile d’ufficio per impossibilità materiale.

Di contro, se l’infrazione avviene sul suolo europeo, subentrano rogatorie e procedure burocratiche talmente complesse che spesso l’istruttoria si ferma a una semplice segnalazione. Solo in casi di estrema gravità — quando sono coinvolti reati contro la persona, minori o minacce alla sicurezza nazionale — il dossier viene preso in carico a livelli superiori.

Il singolo SMS phishing ricevuto dalla finta banca o il furto dell’account social aziendale diventa un evento marginale, archiviato per mancanza di risorse e mezzi.

Di questo passo, avviare una catena di nodi VPN orientata al crimine informatico rischia di apparire paradossalmente più tutelato e redditizio che rimanere da questa parte della barricata ad attendere l’ennesimo SMS civetta o l’ennesima mail di riscatto.

Se questo è il livello della sicurezza informatica nazionale, possiamo ben sperare che darsi alla malavita aprendo una sede VPN in Marocco -> Romania -> Lettonia -> Uganda -> Milano, possa essere notevolmente più vantaggioso che stare qui ad aspettare l’SMS dell’IN.PS, la lettera dell’Agenzia Italiana delle Entrate, la mail di riscatto in bitcoin per le tue malefatte su youporn, il link che ti porta alla finta pagina succhiasoldi.

Fonti e risorse per approfondire

• Andrea Corbino Linkedin
• Red Hot Cyber Linkedin
• Marco Camisani Calzolari Linkedin

Nota a margine: Per comprendere la differenza sostanziale tra chi esplora la tecnologia per comprenderne i limiti e chi la compromette per profitto o dolo, è indispensabile distinguere tra Hacker (chi analizza, studia e migliora la sicurezza dei sistemi) e Kracker (chi sferra attacchi con scopi malevoli, lucro o distruzione dei dati). Una distinzione concettuale che i media generali continuano sistematicamente a ignorare: capire la differenza tra hacker e kracker nell’articolo “Come diventare un hacker“.

Views: 0