IA, zero trust, cifratura post quantum: la cybersecurity nel 2025 secondo Fortinet

Con la crescita di edge computing, IA e reti 5G private, il perimetro da difendere si amplia ulteriormente. Ogni dispositivo può diventare un punto di ingresso nei sistemi aziendali, ed è sempre più complicato per le imprese garantire la difesa delle proprie infrastrutture. Le nuove tecnologie, a partire dall’IA, sono un supporto fondamentale per gli esperti IT, ma risulta sempre più complesso riuscire a correre alla stessa velocità dei criminali informatici, che spesso – essendo anche sponsorizzati da Stati – possono contare su enormi risorse. E, soprattutto, hanno dalla loro parte il tempo. Per capire come le imprese possono reagire e farsi trovare pronte, abbiamo chiesto l’opinione di Antonio Madoglio, Senior Director Systems Engineering – Italy & Malta di Fortinet.

Zero trust: la soluzione definitiva?

Lo zero trust è un approccio adottato da un numero sempre crescente di aziende, ed è fondamentale. Verificare costantemente l’identità degli utenti, siano essi umani o macchine, e garantire sempre i privilegi minimi necessari per svolgere una specifica operazione è un mantra che ormai è entrato nella cultura di sicurezza. Bisogna però adottarlo con intelligenza. “Con l’edge computing e i 5G privati, il concetto di perimetro aziendale perde di significato: ogni nodo della rete, dal cloud all’endpoint, può diventare un punto d’ingresso. La sicurezza deve quindi spostarsi dal centro alla periferia, diventando distribuita, intelligente e contestuale”, spiega Madoglio. Ma ci sono dei prerequisiti per implementarlo ovunque, in particolare sull’edge. “Il modello di zero trust edge è realistico solo se rete e sicurezza convergono in modo nativo. Non basta aggiungere controlli: servono piattaforme integrate che garantiscano visibilità e policy coerenti ovunque, dal data center al cloud, fino all’edge”, prosegue il manager. L’obiettivo finale, nella visione di Fortinet, è quello di abbattere la complessità e ridurre le latenze, il tutto senza però scendere a compromessi con la protezione. In quest’ottica, Madoglio suggerisce di puntare verso architetture di tipo SASE (Secure Access Service Edge), che rappresentano il giusto punto di equilibrio. L’approccio SASE, infatti, combina tecnologie come SD-WAN con funzionalità di sicurezza native del cloud, tra cui SWG (Secure Web Gateway), CASB (Cloud Access Security Broker), FWaaS (Firewall-as-a-Service) e ZTNA (Zero Trust Network Access). Così facendo, si semplifica la gestione dell’infrastruttura, migliorando allo stesso tempo l'efficienza della rete e assicurando un accesso sicuro e flessibile per utenti e dispositivi, ovunque si trovino. Anche fuori dal perimetro aziendale.

PMI sotto attacco: che fare?

Il tessuto imprenditoriale italiano è composto per lo più da piccole e medie imprese. Realtà che spesso fatturano pochi milioni di euro e hanno solo qualche decina di dipendenti: difficilmente possono trovare il budget e le competenze per proteggersi come fanno le grande imprese. “Sono tra i bersagli più vulnerabili. Hanno gli stessi rischi delle grandi aziende, ma risorse e competenze molto più limitate”, dice Madoglio. Che fare, dunque? La soluzione è semplificare “attraverso modelli gestiti e servizi scalabili: security as a service, SOC virtuali e soluzioni MSSP, che consentono di accedere a protezione avanzata senza dover costruire un’infrastruttura interna”.

Un approccio che Fortinet definisce right-sized security ,e che indica un approccio alla sicurezza proporzionato alla dimensione e al rischio, ma basato su tecnologie enterprise e processi automatizzati. Un esempio è il SOC as a Service offerto da Fortinet stessa, offerto in collaborazione con partner e Telco MSSP per erogare alle PMI servizi di cybersecurity gestiti che combinano threat intelligence, automazione e monitoraggio continuo.

Cifratura post quantum: a che punto siamo?

Passando dalle PMI ad aziende di grandi dimensioni, uno dei temi caldi è la cifratura post quantum. In pratica, le aziende che custodiscono dati estremamente sensibili, come segreti industriali, devono ragionare su strategie per assicurarsi che siano protetti a lungo, anche di fronte a nuovi sviluppi tecnologici. Gli attuali sistemi crittografici sono lo stato dell’arte, ma quando i computer quantistici saranno una realtà, potranno essere violati con facilità. Per questo motivo, i criminali informatici, in particolare quelli che operano protetti da Stati o da parti di essi, stanno iniziando a raccogliere enormi quantità di informazioni con la speranza di poterle decifrare non appena avranno accesso alle nuove tecnologie.

Questo tipo di attacchi, definiti harvest now, decrypt later, “rappresentano una delle minacce più insidiose dell’era digitale”, secondo Madoglio. Che sottolinea come “la transizione verso la crittografia quantum safe non è un tema futuribile, ma una priorità strategica per proteggere la riservatezza dei dati a lungo termine”. Che cosa possono fare le aziende? Prima di tutto, iniziare con un censimento delle tecnologie crittografiche esistenti, per poi adottare approcci ibridi che combinino algoritmi tradizionali e post quantum. “Un percorso graduale ma imprescindibile”, secondo il manager di Fortinet. Il vero scoglio, però, non è tecnologico, ma riguarda “la maturità organizzativa e strategica delle aziende. La transizione verso la crittografia quantum-safe richiede infatti un approccio strutturato: identificare dove e come viene utilizzata la crittografia, gestire in modo coerente le chiavi e garantire la compatibilità con sistemi e applicazioni esistenti”. Dato che a oggi numerose imprese italiane di ogni dimensione si appoggiano a infrastrutture eterogenee e semplificate, è necessario “aggiornare i meccanismi di cifratura con interventi su processi, policy e applicazioni legacy”, sottolinea Madoglio. Che aggiunge: “Per superare queste barriere serve una collaborazione più stretta tra vendor, integratori, telco e istituzioni, così da costruire linee guida comuni e percorsi di adozione graduali. È un’evoluzione che va pianificata oggi per non trovarsi impreparati domani, quando la capacità di calcolo quantistica diventerà una realtà concreta”.

La discussione con Madoglio evidenzia un aspetto molto importante ma spesso non sottolineato a sufficienza: la sicurezza informatica si basa sì sulla tecnologia, ma a garantire la robustezza dei sistemi IT sono soprattutto le procedure. Dotarsi delle ultime piattaforme software o dei migliori servizi non basta, se manca una cultura della sicurezza interna all’azienda. Che non può prescindere dalla formazione di tutti gli utenti coinvolti.