Cybersecurity: il fattore umano e la frontiera della sicurezza

La cybersecurity non è più una questione esclusivamente tecnologica. È diventata un problema culturale, sociale e perfino educativo. Questa la visione condivisa emersa nel corso dell’incontro promosso da Fortinet all’interno della tappa milanese del suo Security Day 2025. Esperti del settore, rappresentanti delle istituzioni e del terzo settore hanno discusso della crescente complessità delle minacce informatiche e della necessità di formare una nuova consapevolezza digitale, a partire dalle scuole.

Un profondo problema generazionale e culturale

Alessandro Curioni, Presidente di DI.GI. Academy, ha aperto il confronto con una riflessione che va oltre l’aspetto tecnico, evidenziando un problema generazionale e culturale profondo: “C’è un impressionante abbassamento dell’età di chi entra in contatto con il mondo digitale, ma spesso senza un’adeguata educazione ai valori etici e all’uso consapevole degli strumenti. È una generazione che utilizza tecnologie potentissime senza avere ancora gli strumenti per comprenderne i rischi”. Un fenomeno, ha aggiunto, che si riflette anche nell’aumento di comportamenti inconsapevoli e pericolosi, come il social engineering: “La grande specialità dei nuovi attaccanti è la simpatia. Sono capaci di conquistare la fiducia e di convincere le persone a fare cose che normalmente non farebbero. È la nuova forma di ingegneria sociale”.

Secondo Curioni, il tema non riguarda solo la sicurezza informatica in senso stretto, ma un più ampio scollamento culturale: “Stiamo raccogliendo ciò che abbiamo seminato. Per anni abbiamo tollerato l’uso incontrollato dei dispositivi e oggi vediamo i risultati: minori esposti, adulti poco consapevoli e un ecosistema dove i confini tra reale e digitale si sono dissolti”.

Formazione, un pilastro protezione e prevenzione

Proprio su questo terreno si innesta il lavoro di Fortinet, che ha fatto della formazione uno dei pilastri della propria strategia. Massimo Palermo, VP & Country Manager Italia e Malta di Fortinet, ha illustrato le iniziative messe in campo per colmare il divario di competenze digitali e rafforzare la cultura della sicurezza: “Nell’ultimo anno il 72% delle aziende ha aumentato gli investimenti in sicurezza, ma il 41% continua a subire violazioni. Questo ci dice che la tecnologia da sola non basta: serve conoscenza. Per questo abbiamo avviato programmi di formazione gratuiti rivolti a università, scuole e aziende, con percorsi di certificazione e simulazioni di attacchi di phishing e social engineering”.

Il programma educativo di Fortinet coinvolge già bambini di 9 e 10 anni, e i risultati, ha spiegato Palermo, sono sorprendenti: “Abbiamo scoperto che il 100% dei bambini ha uno smartphone personale e che molti hanno già subito truffe online. Ma la cosa più importante è che si sentono responsabili e desiderosi di imparare. È da lì che dobbiamo partire”.

Un chiaro obiettivo: monetizzare il furto di dati

La prospettiva delle Forze dell’Ordine, rappresentata da Rocco Nardulli, Vice Questore della Polizia di Stato, Vice Dirigente del Centro Operativo per la Sicurezza Cibernetica della Polizia Postale Lombardia, ha riportato l’attenzione sulle dinamiche operative della cybercriminalità: “Non sempre a una violazione corrisponde uno sfruttamento immediato del dato. Spesso il furto è solo il primo passo: i criminali accumulano, analizzano, aspettano di capire come monetizzare. Il problema è che oggi l’anonimizzazione è più efficace che mai, e la cooperazione internazionale non è ancora all’altezza della sfida”.

Nardulli ha evidenziato anche il ruolo crescente del social engineering per la cybersecurity: “Molti attacchi alla cybersecurity nascono da un gesto banale, come inserire una chiavetta trovata nel parcheggio aziendale. È un problema culturale che non si risolve con la tecnologia, ma con l’educazione. Dobbiamo insegnare la sicurezza fin dalle scuole, non quando le persone entrano nel mondo del lavoro”.

Ogni azienda usa 43 soluzioni di sicurezza

Una visione condivisa da Aldo Di Mattia, Director of Specialized Systems Engineering and Cybersecurity Advisor Italy and Malta di Fortinet, che ha approfondito la dimensione tecnologica del problema: “Le aziende oggi utilizzano in media 43 soluzioni di sicurezza differenti. È una complessità ingestibile: abbiamo bisogno di piattaforme integrate e di strumenti di intelligenza artificiale che aiutino a consolidare e correlare i dati, automatizzando la risposta agli incidenti”. Ma l’AI, ha sottolineato, non è un sostituto dell’uomo: “Serve per aumentare le capacità umane, non per sostituirle. Gli attaccanti la utilizzano già da tempo, e per questo dobbiamo impiegarla anche noi, per analizzare, reagire e mitigare più rapidamente”.

Nella cybersecurity, l’uso dell’intelligenza artificiale in chiave difensiva rappresenta oggi una delle frontiere più promettenti della sicurezza, ma anche una delle più delicate. “La sfida non è solo tecnologica – ha spiegato Di Mattia –, ma anche etica e gestionale: non solo dobbiamo proteggere i dati, ma anche i sistemi che gestiscono i modelli di AI. I dati sono il nuovo petrolio e chi li controlla detiene il potere”.

Anche il terzo settore punta sulla digitalizzazione

Silvia Gualdani, CFO e Deputy Director di Andrea Bocelli Foundation ha portato una testimonianza diversa ma complementare, raccontando come anche il terzo settore stia vivendo una trasformazione digitale: “Negli ultimi cinque anni abbiamo investito nella digitalizzazione delle nostre attività educative e umanitarie, per garantire un’educazione sicura anche nei contesti più vulnerabili, dalle aree terremotate italiane alle scuole in Uganda. Il digitale non è solo uno strumento: è una leva di empowerment e di inclusione”.

Un impegno che passa anche dalla cybersecurity: “Grazie al supporto dei nostri partner tecnologici, abbiamo reso sicuri i nostri ambienti educativi, proteggendo i dati dei bambini e dei giovani coinvolti. È una nuova forma di responsabilità sociale che parte dalla tutela digitale dei beneficiari”.

Fondamentale la collaborazione tra pubblico e privato

Sul piano internazionale, la necessità di collaborazione tra pubblico e privato è stata ribadita con forza. “La minaccia è globale, ma se la risposta resta locale, ci muoveremo sempre in ritardo – ha osservato ancora Di Mattia –. Servono partnership operative, scambio di informazioni e intelligence condivisa. Collaboriamo con la NATO, Interpol e World Economic Forum proprio per questo: nessuna azienda, da sola, può fronteggiare un ecosistema criminale multinazionale”.

Il confronto ha toccato anche i temi dell’educazione civica digitale e della prevenzione nella cybersecurity. Nadulli ha ricordato l’importanza della legge 71/2017 sul cyberbullismo: “Ha introdotto strumenti di prevenzione, come l’ammonimento e gli sportelli psicologici nelle scuole, e ha reso obbligatoria l’educazione alla cittadinanza digitale. È un passo avanti fondamentale, perché il problema non è di polizia, ma educativo”.

A chiudere i lavori, Curioni è tornato sul tema dell’attenzione e della percezione del rischio: “Viviamo immersi in un bombardamento informativo che riduce la nostra capacità di concentrazione e di analisi. Non abbiamo più percezione istintiva del pericolo digitale e questo ci rende vulnerabili. Serve una nuova alfabetizzazione emotiva e cognitiva al rischio informatico”.