La cybersecurity non è più soltanto una questione di difesa dagli attacchi informatici. Per chi gestisce infrastrutture strategiche per il Paese, la vera sfida è garantire la continuità dei servizi anche quando qualcosa non funziona, anticipando i rischi e sviluppando la capacità di reagire rapidamente agli imprevisti. Un cambio di prospettiva che coinvolge non soltanto le tecnologie, ma anche le persone, i processi decisionali e l’organizzazione delle aziende.
È questo uno dei temi affrontati da Marco Ortolani, CISO – di Open Fiber, nell’ambito del panel dedicato all’innovazione di Cybertech Europe 2026, a Roma.
“Per un’infrastruttura critica, essere resilienti non significa semplicemente tornare alla normalità dopo un incidente, ma essere capaci di assorbire l’impatto, adattarsi e continuare a garantire i servizi anche in condizioni difficili“, spiega Ortolani.
Un approccio particolarmente importante per una realtà come Open Fiber, che gestisce un’infrastruttura distribuita su circa 170mila chilometri di rete, con 17,4 milioni di unità immobiliari FTTH e 4,1 milioni di clienti attivi. Un sistema complesso, che coinvolge anche un articolato ecosistema di fornitori, partner tecnologici e imprese.
“La domanda da porsi non è soltanto se abbiamo un piano per affrontare un’emergenza, ma se sappiamo quali servizi ripristinare per primi, quali soggetti coinvolgere e chi deve prendere rapidamente le decisioni. La sicurezza informatica non può essere considerata separatamente dalla sicurezza fisica e dalla continuità operativa”.
Indice degli argomenti
Prevenzione e resilienza, un unico approccio al rischio
Prevenire gli attacchi resta essenziale, ma non basta. Occorre prepararsi anche a quelli che superano le difese, per limitarne l’impatto, garantire la continuità dei servizi essenziali e ripristinare quelli interrotti.
Non contrapponiamo prevenzione e resilienza: partiamo dal rischio da gestire. In alcuni casi significa rafforzare i controlli preventivi; in altri, la capacità di rilevare, coordinare la risposta e ripristinare i servizi.
La NIS2 ha dato ulteriore impulso a un modello integrato costruito negli anni, rendendo più espliciti i requisiti di continuità operativa, gestione delle crisi e sicurezza della catena di fornitura, insieme alle responsabilità del Board.
“La resilienza non è soltanto una questione tecnologica. È soprattutto una capacità organizzativa, che richiede preparazione, esercitazioni e responsabilità ben definite. Non basta avere un piano di emergenza: bisogna essere pronti a metterlo in pratica quando serve”, sottolinea Ortolani.
La sfida della sicurezza quantistica
Tra le trasformazioni destinate a incidere sulla cybersecurity dei prossimi anni c’è anche lo sviluppo dei computer quantistici, che in futuro potrebbero rendere vulnerabili alcuni degli attuali sistemi utilizzati per proteggere le comunicazioni e i dati sensibili.
Una prospettiva che impone alle aziende di cominciare a prepararsi, soprattutto quando si tratta di informazioni strategiche che devono rimanere riservate per molti anni.
“Si discute molto di quando arriverà il cosiddetto Q-Day, il momento in cui i computer quantistici sufficientemente potenti potrebbero compromettere alcuni degli algoritmi crittografici ad oggi utilizzati. Ma la domanda più utile è un’altra: se accadesse domani, sapremmo quali sistemi e quali informazioni sarebbero maggiormente esposti?”.
Open Fiber ha sperimentato nell’area metropolitana di Roma, su circa 40 chilometri di fibra ottica, tecnologie di distribuzione quantistica delle chiavi crittografiche. Le prove hanno verificato la coesistenza del traffico dati e del canale quantistico sulla stessa fibra, senza richiedere una fibra dedicata.
L’obiettivo non è soltanto verificare il funzionamento delle nuove soluzioni, ma comprenderne la possibile integrazione nelle reti esistenti.
“Non possiamo limitarci a osservare l’evoluzione tecnologica: dobbiamo verificarne l’integrazione nelle reti esistenti. La sperimentazione non significa che l’intera rete sia già quantum-safe, ma ci permette di acquisire esperienza concreta per affrontare la transizione. Per una rete di telecomunicazioni, passare a nuovi sistemi di protezione non è come aggiornare un’applicazione: è un po’ come sostituire l’impianto elettrico di una città continuando a tenere accese tutte le luci”, osserva Ortolani.
Intelligenza artificiale, la responsabilità resta umana
Un altro fronte riguarda l’intelligenza artificiale, che sta assumendo un ruolo crescente anche nella cybersecurity, permettendo di analizzare grandi quantità di informazioni, individuare comportamenti sospetti e accelerare la risposta alle minacce.
Ma fino a che punto è opportuno affidare alle macchine decisioni che potrebbero incidere sul funzionamento di servizi essenziali?
Nell’attuale approccio di governance, l’AI supporta le attività umane; le decisioni con conseguenze rilevanti richiedono una valutazione umana, mantenendo chiara l’accountability all’interno dell’organizzazione.
“C’è una differenza fondamentale tra individuare un problema, suggerire una soluzione e avere l’autorità di applicarla. Un sistema di intelligenza artificiale potrebbe proporre di isolare una componente della rete perché sospettata di essere compromessa. Dal punto di vista della sicurezza potrebbe sembrare la scelta giusta, ma se quella componente sostiene un servizio essenziale bisogna valutare anche le conseguenze dell’interruzione”.
La supervisione umana rimane dunque centrale, anche alla luce dell’approccio basato sul rischio promosso dall’AI Act europeo. Con una consapevolezza: la crescente autonomia delle macchine potrebbe imporre, in futuro, nuovi modelli di controllo.
“Possiamo affidare alle macchine la velocità, ma non la responsabilità. Oggi la supervisione umana è indispensabile. In futuro potremmo trovarci davanti a sistemi capaci di elaborare più informazioni di quante una persona possa realisticamente verificare, la sfida sarà definire regole, limiti e obiettivi entro i quali l’intelligenza artificiale potrà operare”.
“Potremmo dover ricorrere anche ad altri sistemi di AI a supporto della validazione, sulla base di regole e contesto definiti. Cambierebbe il modo di esercitare il controllo, non la responsabilità dell’organizzazione”.
Meno complessità, più sicurezza
Accanto all’evoluzione delle minacce emerge infine un problema sempre più concreto per le imprese: la crescente complessità dei sistemi di sicurezza. Nuove tecnologie, obblighi normativi, fornitori e procedure si accumulano nel tempo, senza che le risorse disponibili aumentino necessariamente allo stesso ritmo.
Per Ortolani, la risposta non può essere semplicemente acquistare nuovi strumenti. Occorre piuttosto individuare le funzioni davvero essenziali, semplificare i processi e rendere più efficace l’organizzazione.
“Prima di tagliare le capacità di difesa, taglierei la complessità. Significa razionalizzare le tecnologie, semplificare le architetture ed eliminare procedure e passaggi decisionali che rallentano la capacità di intervento senza aggiungere reale valore“.
Un messaggio che riguarda anche il rapporto con i fornitori tecnologici, chiamati sempre più a proporre soluzioni coerenti con le esigenze operative delle aziende, anziché contribuire alla proliferazione degli strumenti.
«La sfida più grande è già davanti a noi: la complessità cresce più velocemente dei budgetI partner migliori saranno quelli capaci di usare bene il tempo che le aziende dedicano loro per comprenderne business, processi, dipendenze e rischi, prima di proporre una soluzione. Dovranno aiutarci a ridurre la complessità, non ad aggiungerla».
La direzione è quindi quella di una cybersecurity sempre più integrata nella gestione delle infrastrutture, in cui capacità di prevenzione, innovazione tecnologica e rapidità decisionale contribuiscano a un unico obiettivo: garantire la continuità e l’affidabilità dei servizi digitali da cui dipendono cittadini, imprese e pubbliche amministrazioni.
Partecipa alla community