Deloitte ha indagato sulle principali sfide che le organizzazioni affrontano nel percorso di maturazione della cybersecurity evidenziando alcuni paradossi strutturali.
I cinque paradossi strutturali
Matthew Holt, Cyber Leader di Deloitte Central Mediterranean La cybersecurity è diventata una priorità strategica nelle agende dei leader delle aziende globali. Eppure, nonostante investimenti crescenti, supporto della C-suite e investimenti e transizione verso modelli tecnologici più avanzati, le aziende si trovano ancora di fronte a una realtà complessa e contraddittoria. La quinta edizione della survey Global Future of Cyber – basata sulle risposte di oltre 1.000 leader in 43 Paesi – rivela un fenomeno affascinante. Ovvero: non sono i vincoli di budget o di governance a frenare la maturità cyber, bensì cinque paradossi strutturali che riflettono il divario tra visione strategica ed esecuzione operativa.
Più fiducia nella strategia di cybersecurity
Il primo paradosso riguarda il rapporto tra fiducia e capacità di implementazione. L’85% dei leader intervistati dichiara di essere “abbastanza” o “molto” fiducioso nella propria strategia di cybersecurity. Tra gli elementi di forza: architetture di sicurezza moderne (42%), solide capacità di risposta agli incidenti cyber (33%), efficace governance dei dati (35%), forte supporto della C-suite (33%). Il quadro appare rassicurante, ma cambia quando si passa dalla strategia alla realizzazione. Solo il 70% degli intervistati dichiara infatti di aver implementato queste misure “in larga misura” o “in misura molto ampia”.
Matthew Holt Un divario di 15 punti percentuali che non rappresenta un semplice scostamento statistico, ma evidenzia una criticità strutturale che le organizzazioni sono chiamate a colmare per una reale integrazione operativa.
Priorità strategica, ma non per tutti
Il secondo paradosso emerge osservando come la cybersecurity sia ormai riconosciuta come una priorità strategica, ma non ancora percepita come tale in tutte le aree dell’azienda. Il 66% descrive come “forte” la relazione tra CISO e CEO. Percentuale che sale al 76% se si considera l’intera C-suite. Tuttavia, questa centralità tende a indebolirsi man mano che ci si allontana dai vertici aziendali. Le relazioni del CISO con funzioni strategiche come l’architettura IT (22%) o le risorse umane (57%) restano infatti limitate.
Matthew Holt Un disallineamento di questo tipo rischia di rallentare l’efficacia complessiva delle strategie cyber e conferma la necessità di un approccio più trasversale, capace di coinvolgere l’intera organizzazione.
Il ruolo dei partner di cybersecurity
La terza contraddizione riguarda la gestione dell’ecosistema dei fornitori. Da un lato, molte aziende dichiarano di voler ridurre il numero di vendor per semplificare la governance tecnologica. Dall’altro, il panorama di minacce e tecnologie rende sempre più necessario ampliare il numero di partner specializzati. Il 38% lavora già con un numero di fornitori compreso tra 11 e 20, mentre il 29% ne utilizza almeno 21. Inoltre, il 74% afferma che il numero di partner di cybersecurity è aumentato nell’ultimo anno e la maggior parte prevede un’ulteriore crescita fino all’85%. Alcune aziende mantengono un elevato numero di fornitori per ridurre il rischio di concentrazione. Altre invece puntano a consolidare il proprio ecosistema per diminuire la complessità operativa. In realtà, non esiste una soluzione valida per tutti.
Matthew Holt La proliferazione dei vendor rappresenta una conseguenza naturale dell’evoluzione delle minacce e della crescente frammentazione delle architetture cyber. Più che consolidare indiscriminatamente, diventa quindi fondamentale razionalizzare il portafoglio di partner attraverso piattaforme integrate in grado di abilitare l’intelligenza artificiale e gli agentic workflows.
La crescita delle violazioni cyber
Il quarto paradosso riguarda invece il rapporto tra la crescente frequenza degli attacchi e la loro capacità di produrre danni rilevanti. Le violazioni cyber continuano a essere estremamente diffuse e il 78% delle aziende coinvolte nella survey ha reso pubblica almeno una violazione nel 2025, rispetto al 91% registrato nel 2024. Quasi un terzo ha segnalato tra 6 e 10 violazioni nel corso dell’anno, in calo rispetto al 40% rilevato 12 mesi prima. Parallelamente, diminuisce la quota di chi considera gli impatti subiti “significativi”: 52% contro 64% del 2024.
Matthew Holt Questo andamento non suggerisce che gli attacchi siano diventati meno pericolosi. Piuttosto che le organizzazioni abbiano rafforzato la propria capacità di prevenzione, rilevazione e contenimento. Allo stesso tempo, un numero ridotto di breach dichiarati non rappresenta necessariamente un indicatore positivo. In alcuni casi potrebbe essere il sintomo di capacità di detection ancora insufficientemente mature.
Le trasformazioni tecnologiche modificano il panorama delle minacce
L’ultimo paradosso riguarda infine il rapporto tra investimenti e incertezza. L’85% delle aziende intervistate ha aumentato il budget per la cybersecurity nell’ultimo anno, l’88% prevede un’ulteriore crescita nel prossimo futuro. Se l’incremento degli investimenti rappresenta ormai una costante, il contesto nel quale tali risorse devono essere impiegate evolve con una rapidità senza precedenti.
Matthew Holt Le trasformazioni tecnologiche, a partire dall’AI e in particolare dalla GenAI, modificano continuamente il panorama delle minacce e richiedono modelli di pianificazione finanziaria sempre più dinamici e flessibili. Investire di più, da solo, non basta. Diventa essenziale investire con la capacità di adattarsi rapidamente ai cambiamenti”.
Cybersecurity: da funzione di controllo ad abilitatore del business
Questi cinque paradossi non rappresentano dei fallimenti, ma descrivono una fase di transizione. Le aziende hanno costruito le fondamenta strategiche della cybersecurity e sono ora chiamate ad affrontare la sfida più complessa: trasformare la visione in un’esecuzione operativa realmente integrata. La domanda non è più se un’organizzazione disponga di una strategia cyber, ma se sia in grado di metterla in pratica in tempo reale mentre il panorama delle minacce continua a evolvere.
Matthew Holt Saranno proprio le aziende capaci di rispondere affermativamente a questa domanda a trasformare la cybersecurity da funzione di controllo a vero abilitatore del business. I paradossi evidenziati dalla survey non devono quindi essere letti soltanto come elementi di criticità. Ma come indicatori delle aree sulle quali concentrare il cambiamento per colmare il divario che ancora separa molte organizzazioni dal livello di resilienza e maturità cyber richiesto dallo scenario presente e futuro”.
