La cybersecurity telco entra in una nuova fase: proteggere il perimetro della rete non basta più quando AI, infrastrutture cloud-native, Api, container, open Ran e convergenza tra sistemi informatici e rete moltiplicano i punti di ingresso a disposizione degli attaccanti. È la tesi al centro dell’analisi pubblicata da Gsma Intelligence, che individua nella resilienza cyber integrata nell’architettura delle telecomunicazioni uno dei passaggi decisivi per l’evoluzione degli operatori.
Il problema non riguarda soltanto la crescita quantitativa degli attacchi. Cambia la natura stessa del rischio. Le tecnologie utilizzate dagli operatori per automatizzare le reti, ridurre i costi, velocizzare il rilascio dei servizi e aumentare la programmabilità possono essere sfruttate anche sul fronte offensivo. L’AI, in particolare, permette di rafforzare monitoraggio e risposta agli incidenti. Allo stesso tempo offre agli attaccanti strumenti per aumentare velocità, scala e sofisticazione delle operazioni.
Indice degli argomenti
Dal perimetro alla resilienza dell’intera infrastruttura
Secondo Gsma Intelligence, il modello basato sulla protezione di singoli domini attraverso difese perimetrali e una stratificazione di strumenti di sicurezza non risponde più alla struttura delle reti moderne. Il white paper “A target architecture for telecoms cybersecurity” prende in esame proprio il passaggio verso un approccio guidato dall’architettura e fondato sulla resilienza. La ricerca utilizza anche evidenze raccolte presso operatori dell’Asia-Pacifico.
Il motivo è nell’interdipendenza crescente fra domini precedentemente più separati. Funzioni cloud-native, interfacce aperte e convergenza fra Information technology e tecnologie di comunicazione consentono reti più flessibili, ma ampliano contemporaneamente la superficie d’attacco. Una compromissione partita dai sistemi aziendali, dalle piattaforme cloud o dai sistemi di supporto può propagarsi verso componenti più vicine alle funzioni di rete, mettendo a rischio disponibilità e continuità dei servizi.
È qui che cambia il concetto di difesa. L’obiettivo non è costruire un muro teoricamente invalicabile, ma progettare un’infrastruttura capace di impedire la propagazione dell’attacco, rilevare rapidamente le anomalie e mantenere operative le funzioni essenziali anche quando una parte dell’ambiente viene compromessa. Per un operatore questo significa spostare l’attenzione dal numero di soluzioni di sicurezza installate alla capacità di governare il rischio lungo l’intero ciclo di vita della rete.
Sicurezza nativa e protezione degli asset critici
Uno dei pilastri indicati da Gsma Intelligence è la sicurezza centrata sugli asset. Il primo compito diventa identificare quali risorse siano indispensabili per garantire l’erogazione dei servizi e assicurare a queste ultime livelli di protezione coerenti con la loro criticità. Non tutti gli elementi della rete presentano infatti lo stesso profilo di rischio e non tutti richiedono identiche modalità di monitoraggio e risposta.
Da qui deriva il concetto di “native security”: i controlli non vengono aggiunti dopo la realizzazione dell’infrastruttura ma incorporati negli elementi di rete dalle fasi di progettazione e produzione fino al deployment e all’esercizio quotidiano. È una trasformazione rilevante anche per il rapporto tra operatori e fornitori, perché porta requisiti cyber, verificabilità delle componenti e gestione delle vulnerabilità sempre più a monte della catena tecnologica.
La direzione trova un parallelo anche nell’evoluzione delle politiche europee. Nel febbraio 2026 il gruppo di cooperazione Nis ha adottato un nuovo toolbox europeo per la sicurezza della supply chain Ict, destinato a rafforzare la gestione dei rischi nelle catene di fornitura tecnologiche. Nello stesso quadro, la Commissione europea ha proposto nel gennaio 2026 una revisione del Cybersecurity Act comprendente un approccio armonizzato ai rischi delle supply chain Ict critiche.
Per le telco la questione è particolarmente sensibile. L’apertura delle reti e la crescita dell’ecosistema software aumentano il numero di componenti, soggetti e dipendenze che devono rientrare nella governance della sicurezza. Il rischio di terza parte cessa quindi di essere un tema prevalentemente contrattuale e diventa una variabile della resilienza operativa.
Difesa multilivello e Soc specializzati
La seconda direttrice è la difesa in profondità. Contro attacchi persistenti e capaci di muoversi lateralmente, un singolo livello di protezione può essere aggirato. Gsma Intelligence propone dunque una struttura distribuita su più domini, capace di combinare controlli a livello dei dispositivi, delle connessioni, delle operations, delle applicazioni, del trasporto Ip e del core.
Un ruolo centrale viene attribuito alla capacità di integrare controllo della rete e intelligence di sicurezza. La telemetria prodotta dall’infrastruttura deve poter essere analizzata rapidamente e trasformata in decisioni operative. In questo modello il network non è soltanto l’oggetto da proteggere: diventa una delle principali fonti di informazione utilizzabili per rilevare comportamenti anomali.
Anche l’utilizzo generalizzato di piattaforme Edr mostra dei limiti. Applicare indistintamente gli stessi sistemi di Endpoint detection and response a un’intera infrastruttura telco non tiene conto delle differenze fra asset, funzioni e domini. La risposta dovrebbe invece essere calibrata sulla specifica componente tecnologica e sul suo ruolo all’interno della rete.
La Gsma indica inoltre l’ipotesi di un modello con due Soc distinti ma strettamente coordinati, uno dedicato all’ambiente informatico e l’altro alle tecnologie di comunicazione. La specializzazione consentirebbe di mantenere competenze verticali senza rinunciare a una visione complessiva degli incidenti. È un passaggio organizzativo non secondario: la convergenza tecnologica non elimina infatti le differenze fra i domini, ma rende indispensabile uno scambio di informazioni molto più rapido.
L’AI accelera sia la difesa sia l’attacco
L’AI è il fattore che rende questa trasformazione ancora più urgente. Gli operatori possono utilizzarla per correlare grandi quantità di eventi, individuare pattern anomali, automatizzare alcune attività dei Soc e migliorare i tempi di risposta. Gli stessi strumenti possono però abbassare le barriere all’ingresso per gli attaccanti e aumentare la capacità di sviluppare campagne su larga scala. Gsma Intelligence descrive esplicitamente questa dinamica come uno dei principali elementi che stanno ridisegnando il panorama delle minacce.
Il punto strategico è che l’automazione della rete e quella della sicurezza dovranno procedere insieme. Una rete sempre più software-defined e autonoma, se protetta attraverso processi prevalentemente manuali, rischierebbe di generare un divario crescente fra velocità dell’infrastruttura e capacità di difenderla.
Il contesto europeo conferma la pressione. L’Enisa Threat Landscape 2025, costruito sull’analisi di 4.875 incidenti osservati tra luglio 2024 e giugno 2025, evidenzia un ambiente nel quale diversi gruppi di minaccia riutilizzano strumenti e tecniche, sfruttano vulnerabilità e introducono nuovi modelli di attacco contro l’infrastruttura digitale europea.
L’AI può quindi rappresentare un moltiplicatore di capacità, ma non sostituisce governance, segmentazione, gestione degli asset e competenze. Senza questi elementi rischia semplicemente di automatizzare processi che restano strutturalmente fragili.
Nis2, la cybersecurity sale al livello del management
Alla pressione tecnologica si aggiunge quella normativa. Con la Nis2, l’Unione europea ha ampliato l’ambito delle organizzazioni interessate dagli obblighi di cybersecurity e rafforzato regole, supervisione e responsabilità. Nel gennaio 2026 la Commissione ha inoltre proposto modifiche mirate alla direttiva con l’obiettivo di aumentarne la chiarezza giuridica.
Per gli operatori questo significa dover coordinare requisiti provenienti da cybersecurity, telecomunicazioni, protezione dei dati, infrastrutture critiche e, sempre più, governance dell’AI. Gsma Intelligence richiama in particolare audit, tempi obbligatori di segnalazione degli incidenti, security by design e controllo sui fornitori come elementi destinati ad assumere crescente importanza.
Nel maggio 2026 il gruppo di cooperazione Nis2 ha adottato inoltre modelli comuni per il reporting degli incidenti, con l’obiettivo di armonizzare i campi richiesti nei diversi Paesi dell’Unione e ridurre la complessità per le imprese soggette agli obblighi.
La cybersecurity esce così definitivamente dal perimetro della sola funzione tecnica. Stabilire chi possiede un rischio, chi può accettarlo e chi deve intervenire significa portare il tema nei processi decisionali del management. Ed è proprio una governance con responsabilità definite uno dei requisiti posti al centro del modello suggerito dalla Gsma.
Dalla protezione della rete a un nuovo mercato B2b
C’è infine una conseguenza commerciale. Le telecomunicazioni costituiscono l’infrastruttura sulla quale poggiano servizi pubblici, imprese, sistemi finanziari e applicazioni industriali. Più aumenta questa dipendenza, più le capacità costruite dagli operatori per difendere le proprie reti possono diventare un patrimonio spendibile anche sul mercato.
Gsma Intelligence stima che il mercato globale della cybersecurity possa raggiungere 289 miliardi di dollari entro il 2030 e individua per le telco l’opportunità di trasformare parte delle proprie capacità interne in offerte security-as-a-service rivolte a imprese, amministrazioni pubbliche, industria e clienti di reti 5G private.
Il vantaggio potenziale degli operatori è la conoscenza dell’infrastruttura di connettività e la disponibilità di dati provenienti dalla rete. Ma la trasformazione da gestore di telecomunicazioni a fornitore di sicurezza non è automatica. Significa costruire competenze specialistiche, piattaforme scalabili, modelli di servizio continuativo e capacità di competere con hyperscaler, vendor tecnologici e operatori specializzati nella cybersecurity.
La sicurezza può dunque diventare una delle direttrici della diversificazione B2b delle telco, ma soltanto se gli investimenti necessari per proteggere le reti vengono trasformati in capacità industriali riutilizzabili.
Il nodo è trasformare la cybersecurity in architettura
Il messaggio che emerge dall’analisi di Gsma Intelligence va oltre l’introduzione di nuovi strumenti. Cloud, AI, apertura delle interfacce e convergenza tecnologica stanno cancellando la possibilità di separare nettamente rete e sicurezza. Aumentare il numero di prodotti cyber senza modificare governance e architettura rischia quindi di produrre complessità invece che resilienza.
Per gli operatori si apre una fase nella quale la qualità della cybersecurity sarà sempre più legata alla progettazione stessa dell’infrastruttura, alla conoscenza degli asset, alla capacità di controllare la supply chain e alla velocità con cui informazioni provenienti dalla rete potranno diventare azioni di difesa.
Partecipa alla community