Cybersecurity, l’Italia deve scegliere se essere cliente o produttore

La sicurezza informatica non è più soltanto una questione tecnica affidata ai reparti IT, ma una componente essenziale della tenuta economica, istituzionale e sociale del Paese. La crescita degli investimenti nel settore riflette una maggiore consapevolezza, ma non è sufficiente: la spesa deve tradursi in competenze, capacità operative, ricerca e autonomia tecnologica. È uno dei temi al centro di Guerre diffuse. La dimensione cyber del conflitto contemporaneo, il nuovo libro di Alessandro Curioni, pubblicato da Mimesis Edizioni e uscito il 5 giugno 2026. Il volume inaugura la collana Le zone grigie — Percorsi nella sicurezza digitale, diretta dallo stesso Curioni. Nel libro l’autore distingue la guerra ibrida dalla “guerra diffusa”: non più un evento eccezionale o una strategia riconducibile a un unico centro, ma una condizione permanente che attraversa infrastrutture, reti, mercati, informazione, fiducia e identità. Il cyber diventa così la dimensione trasversale del conflitto contemporaneo, capace di renderlo continuo, ripetibile, invisibile e spesso al di sotto della soglia tradizionale della guerra. Ne abbiamo parlato con Alessandro Curioni, editore, imprenditore, giornalista e docente di Sicurezza dell’informazione all’Università Cattolica di Milano.

Vede un elemento positivo nel dato della crescita del mercato della sicurezza informatica?

“Sì, a condizione di non leggere quel numero come si legge il cartellino del prezzo su uno scaffale. La crescita del mercato della sicurezza informatica è un segnale positivo perché dice che imprese e istituzioni stanno finalmente capendo una cosa semplice: la sicurezza non è più il lucchetto appeso alla porta dei nostri sistemi, ma una parte dei muri e delle fondamenta della nostra azienda digitalizzata. Per anni abbiamo parlato del digitale come di un ambiente leggero, quasi immateriale. Poi ci siamo accorti che lì dentro passano denaro, identità, produzione industriale, sanità, energia, reputazione e, in alcuni casi, pezzi interi di vita quotidiana. A quel punto la sicurezza smette di essere un accessorio e diventa una condizione di esistenza.

Naturalmente non bisogna confondere la crescita della spesa con la crescita della sicurezza. Se il mercato cresce perché aumenta la consapevolezza, bene. Se cresce soltanto perché crescono gli incidenti o una norma ci obbliga, allora non stiamo guardando una buona notizia, ma un malato che si cura con medicinali presi a caso. Il punto vero è trasformare la spesa in capacità. Questo significa molte cose: prevenzione, competenze, processi, governance, tecnologie adeguate e persone che sappiano usarle. Altrimenti rischiamo di comprare strumenti sofisticatissimi e continuare a lasciare le chiavi nella toppa”.

Privato e pubblico crescono davvero nello stesso modo? Quali sono le differenze principali, se ci sono?

“No, non crescono nello stesso modo. Il privato, soprattutto nelle grandi aziende e nei settori regolati, si muove sotto una pressione molto concreta: perdere denaro, fermare la produzione, compromettere la reputazione, subire sanzioni, aprire contenziosi, vedere i clienti scappare. In molti casi ha capito che un incidente informatico non è più un problema del reparto IT, ma un problema del consiglio di amministrazione.

Una banca, un’assicurazione, un’azienda industriale, un operatore energetico o sanitario sanno che un attacco può bloccare servizi, fabbriche, pagamenti, consegne. In quel momento la sicurezza non è più una voce di bilancio: ma quella cosa che in caso di crisi improvvisamente diventa l’unica che conta. Il pubblico ha una dinamica diversa. Ha fatto passi avanti importanti, anche grazie a una maggiore attenzione politica, al PNRR, all’ACN e alla spinta normativa europea. Però porta con sé una complessità storica: sistemi stratificati, gare lunghe, frammentazione amministrativa, carenza di competenze specialistiche, difficoltà ad attrarre e trattenere talenti.

Il privato tende a comprare più rapidamente. Il pubblico deve fare qualcosa di più difficile: trasformare la sicurezza in capacità istituzionale stabile. Non deve proteggere soltanto dati o server, ma funzioni essenziali dello Stato. La differenza base è questa: nel privato la cybersecurity sta diventando una leva competitiva; nel pubblico deve diventare una forma di sovranità operativa. Senza sicurezza, la digitalizzazione della pubblica amministrazione rischia di somigliare a una splendida autostrada costruita senza guardrail. Bella da inaugurare, meno rassicurante da percorrere di notte”.

In che modo l’IA può peggiorare gli attacchi e quanti si possono davvero arginare?

“L’intelligenza artificiale non inventa il male informatico, ma lo rende più efficiente. È un acceleratore e non un demone. Può rendere il phishing più credibile, perché scrive meglio, personalizza meglio, imita meglio. Può aiutare a costruire deepfake vocali e video più convincenti. Può automatizzare la raccolta di informazioni sulle vittime, generare varianti di codice malevolo, assistere nella ricerca di vulnerabilità, rendere più rapida la preparazione degli attacchi.

In sostanza abbassa la soglia d’ingresso. Attività che prima richiedevano competenze elevate oggi possono essere avvicinate anche da soggetti meno sofisticati. Non tutti diventeranno grandi criminali informatici, naturalmente, ma molti potranno fare danni con una facilità prima impensabile. È un po’ come distribuire armi automatiche in un quartiere dove già qualcuno aveva cattive intenzioni, ma disponeva solo del coltellino svizzero.

Questo non significa che siamo disarmati. Molti attacchi si possono arginare, ma non con una sola tecnologia miracolosa. Anche qui bisogna evitare la fiaba del contro-incantesimo: all’IA degli attaccanti non si risponde semplicemente comprando “un’IA buona”. Ci vogliono autenticazione forte, segmentazione dei sistemi, gestione seria delle vulnerabilità, formazione non rituale, procedure di verifica per pagamenti e identità, monitoraggio, backup, risposta agli incidenti e controllo della catena dei fornitori.

La parte più importante resta organizzativa. L’IA rende più difficile distinguere il vero dal falso, quindi le organizzazioni devono imparare a non fidarsi dell’apparenza. Questo vale per una mail, una voce al telefono, un video, una richiesta urgente del presunto amministratore delegato. Nel digitale di ieri il problema era riconoscere una mail scritta male, oggi è riconoscere quella scritta troppo bene”.

Questo mercato può diventare leva di crescita economica anche a livello di sviluppo e innovazione nella ricerca italiana? L’Italia può entrare da protagonista in questo mercato?

“Sì, può diventare una leva di crescita economica. Ma solo se smettiamo di pensare alla sicurezza informatica come a un mercato di rivendita e iniziamo a considerarla un’industria della conoscenza. L’Italia non può limitarsi a comprare tecnologie prodotte altrove, installarle e chiamare tutto questo innovazione. Quello è commercio, legittimo e spesso necessario, ma non basta.

Il salto avviene quando si investe in ricerca applicata, startup, competenze verticali, prodotti proprietari, formazione avanzata e trasferimento tecnologico tra università, imprese e pubblica amministrazione. La sicurezza informatica non è fatta solo di scatole, licenze e cruscotti colorati. È fatta di persone che capiscono i sistemi, gli attaccanti, i processi, le vulnerabilità e gli errori umani.

L’Italia qualche carta ce l’ha. Ha un tessuto industriale complesso, filiere manifatturiere importanti, settori regolati, competenze accademiche di qualità e una crescente attenzione alla sovranità digitale. Ha però anche i suoi limiti: frammentazione, sottocapitalizzazione, difficoltà nel far crescere imprese tecnologiche fino a scala internazionale, rapporto ancora troppo intermittente tra ricerca e mercato. Per entrare da protagonisti non dobbiamo inseguire tutto. Dobbiamo scegliere alcune specializzazioni. Sicurezza industriale, protezione delle PMI, sicurezza della supply chain, tecnologie per la compliance, cybersecurity applicata all’intelligenza artificiale, protezione delle infrastrutture critiche, formazione avanzata: sono campi in cui possiamo costruire valore reale.

Serve però una politica industriale, non soltanto bandi a pioggia. I bandi possono accendere qualche lucina, ma non costruiscono da soli una rete elettrica. Per fare industria servono continuità, capitale, competenze, domanda pubblica intelligente che assecondi le tecnologie nazionali e capacità di portare sul mercato quello che nasce nei laboratori. La cybersecurity è uno dei pochi mercati in cui la domanda crescerà comunque, perché aumenta la dipendenza dal digitale. La domanda politica ed economica è semplice: vogliamo essere soltanto clienti di questa sicurezza o anche produttori? Nel digitale chi compra soltanto protezione resta protetto fino a un certo punto. Chi produce competenza, invece, comincia a costruire autonomia”.