17/12/2025
Cybersecurity, l'AI trasforma la difesa digitale in resilienza operativa
Antoniades (ClearSkies): autonomia europea e intelligenza artificiale ridefiniscono la protezione aziendale
Eleftherios Antoniades, fondatore e responsabile tecnologico di ClearSkies, azienda greca specializzata in cybersecurity operativa da oltre vent'anni e recentemente approdata sul mercato italiano, evidenzia come questa evoluzione sia ormai ineludibile. La societ? gestisce quotidianamente circa un milione di sorgenti di log, analizzando approssimativamente venti milioni di eventi, oggi definiti signals, che forniscono un quadro completo delle minacce in circolazione. Questi numeri testimoniano la complessit? e l'ampiezza del panorama delle minacce digitali contemporanee, che richiedono strumenti e metodologie completamente nuovi rispetto al passato.
Il modello di sicurezza tradizionale, basato sull'identificazione e il blocco delle minacce nel momento in cui diventano visibili, ha mostrato tutti i suoi limiti di fronte alla velocit? e alla sofisticazione degli attacchi moderni. La maggioranza degli attacchi informatici risulta completamente automatizzata, costante nel tempo, intrinsecamente imprevedibile e guidata da algoritmi di intelligenza artificiale. I threat actors, ovvero gli autori degli attacchi, sfruttano l'AI per costruire armi digitali sempre pi? efficaci, automatizzando i processi di exploitation e creando malware e ransomware polimorfici in grado di modificare costantemente la propria struttura per eludere i sistemi di rilevamento. Questa capacit? di adattamento rende gli attaccanti significativamente pi? pericolosi ed efficaci rispetto al passato.
La velocit? con cui il panorama delle minacce si trasforma non ha precedenti nella storia della sicurezza informatica. Le regole del gioco cambiano con cadenza quasi settimanale, rendendo obsolete strategie difensive che solo pochi mesi prima erano considerate solide. Un malware che in passato richiedeva mesi di sviluppo pu? essere progettato e implementato in poche ore, risultando pronto per i test in appena due giorni e capace di eludere le protezioni dei principali vendor di sicurezza. Questo elemento sfugge alla comprensione della maggior parte dei decisori aziendali, che continuano a ragionare con i tempi e le logiche del passato.
Di fronte a questa escalation tecnologica, i Security Operations Center tradizionali, progettati per la gestione manuale degli alert di sicurezza, rischiano di trasformarsi in centri di costo opprimenti che non riescono a tenere il passo con il volume e la complessit? delle minacce. Il settore della cybersecurity registra inoltre una significativa carenza di talenti qualificati, aggravata dall'elevato turnover degli analisti che abbandonano il ruolo a causa della natura ripetitiva e stressante del lavoro. Questa situazione crea un circolo vizioso in cui le aziende faticano a proteggere adeguatamente i propri sistemi per mancanza di personale competente e motivato.
Antoniades sottolinea come la velocit? del progresso tecnologico abbia raggiunto livelli incomprensibili per la maggior parte delle persone. Le rivoluzioni industriali si susseguono a ritmi sempre pi? serrati: l'ultima rivoluzione dista solo dieci anni dalla precedente, mentre tra la prima e la seconda erano trascorsi cento anni. Questa accelerazione non lascia tempo sufficiente per comprendere appieno i cambiamenti, acquisire esperienza consolidata e condividere le conoscenze accumulate. Il risultato ? una condizione di costante rincorsa tecnologica che rende difficile sviluppare strategie di lungo periodo.
In questo scenario caratterizzato da minacce sempre pi? sofisticate, il costo medio di un data breach sta aumentando in modo significativo. Il settanta percento delle organizzazioni colpite da una violazione impiega oltre cento giorni per recuperare la piena operativit?, con un impatto devastante sul business che in alcuni casi pu? compromettere definitivamente la capacit? di tornare operative. Questi dati evidenziano come la semplice difesa perimetrale non sia pi? sufficiente e come sia necessario ripensare completamente l'approccio alla sicurezza informatica.
Per affrontare questa nuova realt?, la difesa tradizionale deve evolvere verso il concetto di cyber-resilienza. Partendo dal presupposto che prima o poi ogni organizzazione subir? una violazione, indipendentemente dalle misure preventive adottate, l'obiettivo primario diventa la capacit? di identificare rapidamente l'incidente e recuperare nel minor tempo possibile, minimizzando l'impatto operativo e finanziario. Il percorso verso la resilienza si articola in cinque fasi fondamentali: prevenire gli attacchi quando possibile, rilevarli tempestivamente quando si verificano, rispondere in modo efficace, recuperare la piena operativit? e infine adattarsi alla nuova realt? attraverso un processo di lesson learn che consente di migliorare costantemente le difese.
A livello geopolitico, la questione dell'autonomia europea nel campo della cybersecurity ha assunto un'importanza crescente, specialmente in seguito alle recenti decisioni politiche statunitensi che hanno evidenziato la vulnerabilit? derivante dalla dipendenza da tecnologie e fornitori extraeuropei. Le aziende e le istituzioni europee stanno prendendo coscienza della necessit? di sviluppare capacit? autonome per garantire la sovranit? digitale del continente.
L'approccio sviluppato da ClearSkies, denominato AI Centrica, rappresenta una risposta diretta ai limiti dei sistemi legacy che non riescono pi? a fronteggiare le minacce moderne. L'azienda ha reingegnerizzato completamente la propria infrastruttura tecnologica, ponendo l'intelligenza artificiale come fondamento dell'architettura anzich? aggiungerla come componente accessorio. Questo approccio consente di superare i controlli statici tradizionali per adottare una postura adattiva e proattiva, capace di anticipare le minacce e intraprendere azioni preventive, potenziando le capacit? dell'elemento umano anzich? sostituirlo.
L'architettura AI Centrica si basa sulla telemetria olistica e sulla rilevazione contestuale delle minacce, integrando informazioni provenienti da molteplici fonti per costruire una comprensione completa dello stato di sicurezza. La piattaforma proprietaria TDIR (Threat Detection Investigation and Response) combina diversi componenti tecnologici, tra cui sistemi di Configuration Management, piattaforme SOAR per l'orchestrazione automatizzata della risposta, protezione DNS e monitoraggio degli endpoint, fornendo una visione integrata degli eventi di sicurezza e delle loro implicazioni.
L'intelligenza artificiale svolge due ruoli distinti e complementari nell'architettura proposta da ClearSkies. Il primo ruolo ? assegnato alla Generative AI Analyst, che ottimizza la collaborazione tra sistema e operatore umano. L'analista virtuale basato su AI generativa si occupa di riassumere gli alert, arricchire il contesto informativo e automatizzare la produzione di report dettagliati. Il suo scopo principale consiste nel ridurre il carico di lavoro degli analisti umani del SOC, permettendo loro di concentrarsi esclusivamente sulle minacce reali che richiedono valutazione esperta e decisioni complesse.
Il secondo ruolo ? affidato all'Agentic AI, ovvero un'intelligenza artificiale capace di intraprendere azioni autonome. Questa componente automatizza compiti operativi come l'indagine approfondita sugli alert, la validazione degli indicatori di attacco, l'esecuzione di playbook predefiniti e l'isolamento immediato degli asset compromessi. L'Agentic AI ? progettata per prendere decisioni autonome basate su regole e modelli approfonditi, avviando azioni immediate di contenimento senza attendere l'intervento umano, riducendo drasticamente i tempi di risposta agli incidenti.
Questo modello operativo trasforma radicalmente il ruolo dell'analista di sicurezza, che passa da operatore diretto a supervisore strategico del processo di protezione. L'intelligenza artificiale gestisce autonomamente i compiti di primo e secondo livello alla velocit? della macchina, processando l'ottantacinque percento degli alert in ingresso classificati come informativi o di media gravit?, con punteggio di rischio compreso tra uno e sei. Di conseguenza, solo il quindici percento degli alert, corrispondenti alle minacce pi? gravi e complesse, richiede effettivamente l'intervento e il giudizio degli analisti umani di secondo livello, che possono cos? concentrare le proprie competenze dove risultano veramente decisive.
Antoniades prevede rapidi cambiamenti nel mercato della cybersecurity nei prossimi anni. Le soluzioni on-premise tradizionali sono destinate a essere eliminate entro due o tre anni, in quanto incapaci di sostenere il carico di lavoro richiesto dalle minacce moderne. Questa evoluzione spinger? tutti i vendor verso soluzioni elastiche basate su cloud, capaci di scalare dinamicamente in base alle necessit?. I criteri di selezione dei clienti si sposteranno progressivamente dalle caratteristiche tecniche pure verso l'intelligenza e gli insight di valore che le piattaforme possono fornire, privilegiando soluzioni che offrono comprensione approfondita e azioni concrete piuttosto che semplici dashboard di monitoraggio.
La questione della sovranit? digitale rappresenta un'altra preoccupazione fondamentale per le organizzazioni moderne. I clienti aziendali manifestano forte resistenza verso l'interazione con modelli linguistici pubblici come ChatGPT o Gemini, poich? qualsiasi informazione sensibile inviata a questi servizi potrebbe essere utilizzata per il retraining dei loro modelli, con evidenti rischi per la confidenzialit? dei dati. Per questo motivo, ClearSkies utilizza esclusivamente modelli linguistici specifici e privati, ospitati nelle proprie infrastrutture, garantendo che i dati dei clienti rimangano riservati e non vengano mai condivisi o utilizzati per finalit? diverse dalla protezione dell'organizzazione specifica.
Per ottenere l'approvazione del management aziendale, spesso incline a considerare la sicurezza informatica come un centro di costo anzich? come un abilitatore di business, i professionisti della cybersecurity devono porre una domanda chiave che sposta la prospettiva: come pu? l'organizzazione rimanere operativa durante un attacco informatico? Questa domanda riporta la discussione sul terreno della continuit? operativa e della protezione del valore aziendale, rendendo pi? comprensibile l'investimento richiesto.
I benefici derivanti dal passaggio verso soluzioni autonome e resilienti, da presentare al business attraverso una logica di valore piuttosto che mediante una roadmap tecnica dettagliata, includono elementi misurabili e concreti. La riduzione significativa del downtime e delle conseguenti perdite finanziarie rappresenta il beneficio pi? immediato e quantificabile. Il miglioramento della compliance normativa e della reputazione aziendale costituisce un secondo vantaggio strategico, sempre pi? importante in un contesto regolatorio crescente. Infine, l'acquisizione di una maggiore prontezza nell'affrontare le sfide future garantisce all'organizzazione la capacit? di adattarsi rapidamente a un panorama delle minacce in costante evoluzione, proteggendo gli investimenti nel lungo periodo.
##fine##
