Come evolve la security, dalla prevenzione alla reazione alle minacce

Il panorama della sicurezza aziendale diventa via via più sofisticato: gli attacchi possono essere automatizzati e sfruttare tecniche basate su l'intelligenza artificiale così da individuare vulnerabilità e rendere più efficaci le campagne di attacco. 

Anche in Svizzera il livello della minaccia rimane elevato. Nel rapporto semestrale relativo alla seconda metà del 2025, l'Ufficio federale della cybersicurezza (NCSC) ha registrato un incremento del +108% nei siti di phishing identificati, evidenziando un'ondata di minacce in forte crescita, anche basate su AI. Peraltro, le PMI sono diventate i bersagli prediletti dei cybercriminali, poiché dispongono spesso di minore visibilità e di strumenti ridotti per il monitoraggio continuo dell'infrastruttura. 

In questo scenario, le aziende devono considerare una superficie di attacco sempre più ampia. Non ci sono soltanto server, firewall e workstation: ci sono caselle di posta, browser, applicazioni SaaS, strumenti di collaborazione, dispositivi mobili e servizi Cloud. 

E c'è un ulteriore elemento da considerare: il fattore umano. 

L'e-mail rimane infatti uno dei principali canali utilizzati per veicolare phishing, Business E-mail Compromise, allegati malevoli e link fraudolenti. Una strategia di sicurezza efficace deve, quindi, intervenire anche sul comportamento degli utenti, senza però trasformare la formazione in una semplice attività generica e una tantum. 

La cybersecurity deve diventare un processo continuo, che coinvolge persone, tecnologie e procedure a tutti i livelli dell’organizzazione. 

La prima fase di una strategia end-to-end è naturalmente la prevenzione. L'obiettivo non è soltanto impedire che un attacco abbia successo ma anche ridurre le possibilità che si verifichi e fare in modo che l'organizzazione sia preparata a riconoscerne i segnali. 

Questo significa lavorare contemporaneamente su due fronti: persone e tecnologia. 

Come accennato sopra, sono le persone a rappresentare spesso uno dei principali punti di ingresso delle minacce esterne verso l’ecosistema aziendale. Per questo la formazione sulla sicurezza non può essere limitata a un corso iniziale o a una comunicazione occasionale. 

Un percorso di Security Awareness deve essere continuo, misurabile e integrato nella quotidianità dell'organizzazione. Soluzioni SaaS come FortiSAT di FortiNet permettono, per esempio, di combinare diversi livelli di formazione: moduli base di circa 8-10 minuti con quiz, sessioni di micro-learning e molto altro. 

La formazione può essere affiancata da campagne di simulazione di azioni di phishing, che permettono di verificare concretamente la capacità degli utenti di riconoscere una minaccia. Il valore di queste attività non sta nel colpevolizzare chi commette un errore, ma nell'individuare le aree di maggiore esposizione e intervenire con una formazione mirata. 

La Security Awareness diventa, così, parte integrante della postura di sicurezza e può contribuire anche a rispondere agli obblighi previsti da framework e normative come ISO/IEC 27001:2022, NIS2, GDPR, DORA, PCI DSS e NIST SP 800-50. 

La consapevolezza degli utenti deve essere accompagnata da una protezione tecnica stratificata. La sicurezza della posta elettronica rappresenta un primo livello ma non sempre è sufficiente proteggere esclusivamente il client di posta. Gli ambienti di lavoro moderni comprendono, infatti, piattaforme e strumenti di collaborazione come Microsoft 365, Google Workspace, Teams, SharePoint, OneDrive e Slack, che devono essere considerati parte integrante del perimetro di sicurezza. 

Lo stesso vale per rete ed endpoint. Next-Generation Firewall come FortiGate possono contribuire a segmentare il traffico e applicare funzionalità di IPS, Web Filtering e Antivirus, mentre la protezione degli endpoint può essere gestita attraverso agenti centralizzati come Forticlient gestito da un Server EMS (Endpoint Management Server). 

L'obiettivo è costruire una difesa multilivello, in cui il superamento di una singola barriera non significhi automaticamente la compromissione dell'intero ambiente. 

Anche la migliore strategia di prevenzione non può garantire che un'organizzazione non subirà mai un attacco. È qui che entra in gioco il secondo elemento della sicurezza end-to-end: la capacità di rilevare tempestivamente cosa sta accadendo. 

Una minaccia che non viene rilevata può continuare ad agire indisturbata. Al contrario, la possibilità di individuare subito un comportamento anomalo riduce il tempo a disposizione dell'attaccante e permette di intervenire prima che l'incidente produca conseguenze più estese. 

Per ottenere questa visibilità è necessario raccogliere e analizzare continuamente gli eventi generati dall'infrastruttura. 

• Analisi dei log. I log provenienti dalla rete e dagli endpoint devono essere centralizzati e analizzati in tempo reale. Repository dedicati, come FortiAnalyzer, permettono di raccogliere queste informazioni e renderle disponibili per le successive attività di analisi.
• Scrematura degli eventi rilevanti. La quantità di dati generata da un'infrastruttura moderna è, però, enorme. Analizzare manualmente ogni evento non è realistico e rischia di produrre un altro problema molto umano: la cosiddetta alert fatigue, una condizione di desensibilizzazione psicologica e cognitiva che si verifica quando gli operatori vengono bombardati da un eccesso di notifiche. Per questo entrano in gioco correlazione degli eventi, regole basate su firme e tecniche di Machine Learning. L'obiettivo è passare da milioni di eventi a un numero molto più contenuto di anomalie che richiedono davvero l'attenzione degli analisti.
• Threat Intelligence. A questa attività si aggiunge la Threat Intelligence, che permette di arricchire gli eventi con informazioni provenienti da fonti globali, come i feed di FortiGuard Labs. La mappatura degli eventi sul framework MITRE ATT&CK consente inoltre di contestualizzare il comportamento osservato e comprendere in quale fase del percorso di attacco si trova la minaccia.

Non si tratta, dunque, di valutare un alert alla volta ma di trasformare un'enorme quantità di dati in informazioni utili per prendere decisioni informate. 

Il Security Operations Center rappresenta l’entità all’interno della quale monitoraggio, analisi e risposta vengono integrati in un processo continuo.  

Il suo compito è vigilare sull’ecosistema 24/7, segnalare quando qualcosa non va, comprendere la natura dell'evento, valutarne la gravità e attivare le azioni necessarie. 

Il ciclo operativo può essere ricondotto a sette fasi: 

• Protect, che riguarda la configurazione e la gestione delle difese perimetrali e degli endpoint.
• Segue il Logging, cioè la raccolta e l'analisi centralizzata dei dati generati dall'infrastruttura.
• Detect, ossia l'identificazione delle attività anomale attraverso la correlazione degli eventi e l'utilizzo di tecniche di analisi e intelligenza artificiale.
• Investigate per approfondire l'alert, distinguendo un evento realmente pericoloso da un falso positivo e collocando l'attività osservata all'interno della Cyber Kill Chain.
• Escalate, quando l'incidente viene classificato in base alla gravità, per esempio attraverso livelli P1-P4, e gestito secondo procedure e SLA definiti.
• Remediate, la fase in cui l'Incident Response Team interviene per contenere l'attacco, isolando gli host compromessi, bloccando gli indicatori malevoli e lavorando al ripristino dell'operatività.
• Improve, perché a valle della gestione dell'incidente è necessario analizzare quanto accaduto, comprendere quali difese hanno funzionato e quali invece devono essere migliorate, aggiornando di conseguenza regole e procedure.

Il valore di questo modello sta proprio nella continuità e circolarità del processo: l'incidente non rappresenta la fine dell'attività di sicurezza, ma diventa una fonte di informazioni per rafforzare la postura dell'organizzazione in futuro. 

La post-incident review, infatti, permette di trasformare l'esperienza in un miglioramento concreto: le informazioni raccolte durante la violazione possono essere utilizzate per aggiornare le regole di rilevazione, modificare le policy, rafforzare la formazione degli utenti e intervenire sulle configurazioni dell'infrastruttura.