Il concetto di cyber resilience sta guadagnando terreno come chiave di volta per la sopravvivenza e la competitività delle imprese nell’era digitale. In un contesto in cui le minacce informatiche si moltiplicano e si sofisticano, non è più sufficiente puntare sulla prevenzione degli attacchi: occorre sviluppare la capacità di assorbire i colpi, contenere i danni e ripristinare le operazioni essenziali. È questa la visione che emerge dal recente rapporto “The Cyber Resilience Compass: Journeys Towards Resilience” (SCARICA QUI IL DOCUMENTO ORIGINALE), pubblicato ad aprile 2025 dal World Economic Forum (Wef) in collaborazione con il Global Cyber Security Capacity Centre (Gcscc) dell’Università di Oxford.
Questo documento non rappresenta l’ennesima raccolta di buone pratiche, ma un vero e proprio strumento strategico per le imprese, articolato in sette direttrici interconnesse che aiutano a costruire roadmap di cyber resilience su misura. La logica di fondo? Abbandonare l’illusione di una sicurezza informatica assoluta e adottare un approccio dinamico, adattivo, orientato al contesto operativo specifico di ogni organizzazione.
Indice degli argomenti
Dalla difesa alla resilienza: uno scenario in evoluzione
Il quadro delineato dal report parte da una presa d’atto tanto realistica quanto urgente: nessun sistema è completamente sicuro. A fronte di una crescente dipendenza dal digitale e di attori malevoli sempre più capaci, il rischio di incidenti cyber non può essere eliminato, ma gestito. La cyber resilience si propone quindi di limitare l’impatto di questi eventi sugli obiettivi primari delle organizzazioni, preservando i servizi critici, la fiducia degli stakeholder e il valore strategico a lungo termine.
Non si tratta solo di adottare misure tecniche, ma di costruire una strategia integrata che coinvolga leadership, cultura organizzativa, processi di business e relazioni con l’ecosistema esterno. In questo senso, il documento rappresenta l’evoluzione del precedente studio del Wef, “Unpacking Cyber Resilience”, e si basa su un ampio confronto con oltre 100 esperti di cybersecurity di 84 organizzazioni globali, attraverso workshop e consultazioni tra maggio 2024 e marzo 2025.
La bussola della cyber resilience: sette direttrici operative
Il Cyber Resilience Compass identifica sette aree di intervento fondamentali per rafforzare la resilienza informatica:
- Leadership: la guida dell’organizzazione deve definire le priorità, stabilire la tolleranza al rischio e promuovere una cultura della resilienza cyber. Come sottolinea Natalia Oropeza, Chief Cybersecurity Officer di Siemens, “nelle organizzazioni più avanzate i leader sanno elencare le tre principali minacce informatiche, perché ci stanno lavorando attivamente”.
- Governance, risk e compliance: la gestione dei rischi e la conformità normativa non sono delegabili al solo Ciso, ma coinvolgono l’intera catena decisionale. Gregory Eskins di Marsh McLennan rimarca l’importanza di coinvolgere tutti gli stakeholder per identificare gli scenari di rischio più critici.
- People e cultura: la formazione e il coinvolgimento dei dipendenti sono centrali. Swantje Westpfahl dell’Iss evidenzia che “un’azienda è resiliente solo se lo sono le sue persone”. La carenza di talenti specializzati resta un nodo critico, da affrontare con strategie di lungo periodo.
- Business processes: i processi aziendali devono essere progettati per resistere alle interruzioni, con piani di continuità operativa aggiornati e tarati su scenari cyber realistici. Ubs, ad esempio, pianifica la rapida ripresa dei servizi critici anche in caso di guasti estesi dei fornitori.
- Technical systems: l’infrastruttura tecnologica va costantemente adattata per prevenire, rilevare e mitigare gli incidenti. Splunk ha costruito il proprio Security Operations Center puntando su automation e decisioni data-driven, superando l’approccio tool-centric.
- Crisis management: la gestione delle crisi deve prevedere team multidisciplinari, piani d’azione testati e canali di comunicazione alternativi. Henkel, ad esempio, ha introdotto una “green network” isolata per garantire il rapido ripristino delle attività dopo un attacco ransomware.
- Ecosystem engagement: nessuna azienda è un’isola. La resilienza dipende anche dalla solidità dell’ecosistema di partner, fornitori e clienti. In questo senso, il Business Resilience Council ha dimostrato come la collaborazione intersettoriale possa accelerare la risposta a incidenti globali, riducendo i tempi di inattività.
Lezioni dal campo: dai casi Mærsk a Petronas
Il report arricchisce il quadro teorico con case study concreti che mostrano come diverse organizzazioni hanno affrontato il tema della cyber resilience. Mærsk, dopo l’attacco NotPetya del 2017, ha adottato un approccio risk-based fondato su simulazioni Monte Carlo per quantificare il rischio e guidare le decisioni di investimento. Petronas ha integrato la cybersecurity nella propria trasformazione digitale, facendo della resilienza un pilastro a livello di gruppo.
Altri esempi includono Schneider Electric, che ha implementato controlli interni chiari per la gestione del rischio cyber, Engro, che ha coinvolto tutti i livelli dell’organizzazione in esercitazioni tabletop, e Repsol, che ha adottato test a sorpresa per stressare le proprie capacità di risposta.
Un approccio scalabile e adattivo
L’insegnamento principale del Cyber Resilience Compass è che non esiste un modello unico valido per tutte le realtà. Ogni organizzazione deve adattare il proprio percorso alle specificità del contesto operativo, del settore di appartenenza, delle risorse disponibili e del profilo di rischio. Tuttavia, la condivisione delle esperienze e delle buone pratiche permette di accorciare i tempi di apprendimento e di costruire strategie più efficaci.
La resilienza informatica non è un traguardo, ma un viaggio continuo, che richiede leadership forte, collaborazione attiva e adattamento costante. Il Cyber Resilience Compass si propone come strumento dinamico per favorire questo processo, promuovendo una cultura di apprendimento condiviso tra organizzazioni, settori e Paesi.
