L’Intelligenza Artificiale nel Cyberwar

Il 2025 Armis Report: Uno Sguardo alla Cyberwar

L’Armis Cyberwarfare Report 2025 dal titolo  WARFARE WITHOUT BORDERS: AI’s Role in The New Age of Cyberwarfare evidenzia una crescente preoccupazione: l’87% dei responsabili IT globali (83% in Italia) è allarmato dall’impatto della cyberguerra. Questa ansia deriva dall’uso sempre più sofisticato dell’IA da parte degli attaccanti, che la trasformano in un “moltiplicatore di forza” per le capacità offensive. L’85% dei leader IT globali riconosce che le tecniche offensive basate sull’IA aggirano regolarmente gli strumenti di sicurezza tradizionali. Questo porta alla creazione di malware adattivi, deepfake per attacchi di ingegneria sociale avanzati, automazione degli attacchi alle reti e sofisticate campagne di disinformazione che mirano a destabilizzare interi paesi. Il 73% dei Manager IT globali teme l’uso dell’IA da parte di attori statali per attacchi complessi.

Il report sottolinea l’obsolescenza del perimetro “tradizionale” di sicurezza a causa della trasformazione digitale. Entro il 2025, si prevedono 50 miliardi di asset connessi, molti dei quali “invisibili” alle soluzioni convenzionali, ampliando enormemente la superficie di attacco. La mancanza di una visione olistica e di una gestione centralizzata degli asset è una vulnerabilità molto critica. Il 60% dei leader IT dichiara che i progetti di trasformazione digitale sono stati rallentati o interrotti a causa dei rischi di cyberguerra.

Il Quadro Normativo Italiano: NIS2 e Iniziative Nazionali

La conformità normativa è diventata un pilastro fondamentale della cybersicurezza e della resilienza aziendale. La Direttiva NIS2 (Network and Information Security 2) estende il suo ambito includendo settori “essenziali” e “importanti” (es. gestione rifiuti, servizi postali, produzione alimentare). Impone requisiti stringenti su:

• Gestione del rischio: adozione di misure tecniche e organizzative rigorose.
• Segnalazione degli incidenti: obbligo di notifica entro termini brevi.
• Governance: rafforzamento della responsabilità degli organi di gestione.
• Sicurezza della Supply Chain: maggiore attenzione ai fornitori di servizi critici.

A livello nazionale, la NIS2 è stata recepita dal D. Lgs. 138/2024 (decreto NIS). L’Agenzia per la Cybersicurezza Nazionale (ACN) definisce le modalità e le specifiche di base per gli obblighi, proporzionandoli ai rischi e alle dimensioni dei soggetti. Le misure di sicurezza di base e gli incidenti significativi di base sono stati definiti negli allegati della Determinazione ACN 164179 del 14 aprile 2025. I termini per l’adozione delle misure sono diciotto mesi, per la notifica degli incidenti nove mesi dalla comunicazione di inserimento nell’elenco dei soggetti NIS.

L’Italia ha rafforzato il suo impegno nella difesa e nella sensibilizzazione alla sicurezza con la Strategia Nazionale di Cybersicurezza 2022-2026, con la quale si spingono le aziende a:

• Investire in formazione e competenze: colmare il divario di competenze in IA (il 50% dei Manager IT dichiara di non avere una esperienza sufficientemente adeguata) con formazione continua e l’inserimento nei team di specialisti del settore.
• Adottare un approccio proattivo e basato sul rischio: passare da una mentalità reattiva alla prevenzione e gestione continua del rischio, integrando la sicurezza fin dalla progettazione (Security by Design).
• Implementare tecnologie avanzate: l’adozione di soluzioni basate sull’IA per la visibilità degli asset, il rilevamento avanzato delle minacce e l’automazione della risposta è necessaria per proteggersi e conformarsi.

Il Framework Nazionale per la Cybersecurity e la Data Protection

Il Framework Nazionale per la Cybersecurity e la Data Protection, sviluppato dal 2015 e aggiornato nel 2019, supporta le organizzazioni nella definizione di politiche di cybersecurity. La sua nuova versione, frutto della collaborazione tra CIS-Sapienza, CINI e ACN, allinea il suo “core” al NIST Cybersecurity Framework (CSF) 2.0 del 2024. Questo Framework consente alle organizzazioni di operare con uno strumento conforme alle best practice internazionali e ai precetti  normativi.

In particolare, la “Metodologia per il cybersecurity assessment con il Framework Nazionale per la Cybersecurity e la Data Protection” si articola in tre fasi:

1. Contestualizzazione: si definisce il Profilo Target (obiettivo desiderato) scegliendo sottocategorie di interesse e livelli di priorità/maturità.
2. Misura: si rileva la postura di sicurezza attuale tramite questionari e interviste, ottenendo il Profilo Attuale con il rilevamento del grado di copertura e del livello di maturità per ogni controllo.
3. Valutazione: si analizza il “gap” tra i due profili precedenti tramite metriche di “score” e “maturità“, permettendo confronti nel tempo o tra organizzazioni se gli ambiti sono comuni.

Un altro riferimento importante è l’UNI/PdR 174:2025, pubblicato il 30 aprile 2025. Questo documento armonizza la UNI CEI EN ISO/IEC 27001 e il NIST Cybersecurity Framework (CSF) 2.0, offrendo uno strumento per facilitare l’adeguamento del sistema di gestione per la cybersicurezza e la sicurezza delle informazioni (C-ISMS) a entrambi i quadri. L’obiettivo è migliorare le politiche di cybersicurezza e disporre di uno schema pre-normativo orientato alla certificazione volontaria.

Conclusioni: Verso un Futuro Digitale Resiliente

La cyberguerra basata sull’IA ha radicalmente trasformato lo scenario della sicurezza digitale. Questa trasformazione offre l’opportunità unica per le organizzazioni di rafforzare le proprie difese, innovare e trasformare la sicurezza da un costo a un fattore di potenziamento della propria crescita e resilienza. Investire in tecnologie AI all’avanguardia, sviluppare competenze interne, adottare una mentalità proattiva e conformarsi scrupolosamente alle normative come la NIS2 non sono solo adempimenti, ma mosse strategiche essenziali. Tali azioni non solo eviteranno sanzioni e mitigheranno i rischi, ma garantiranno continuità operativa, protezione dei dati, fiducia degli utenti e un migliore posizionamento sul mercato.