Norme e IA migliorano la postura di sicurezza cyber e abbattono il costo degli incidenti. Lo studio di IBM

Come ogni anno IBM ha reso pubblico il Cost of a Data Breach Report 2025, un'analisi mirata a comprendere la postura di sicurezza delle aziende e il costo medio di un incidente informatico. Questa edizione ha preso a campione 600 imprese a livello globale, il 4% delle quali italiane. 

Per una volta, il report porta qualche novità positiva: nel Bel Paese, il costo medio delle violazioni è sceso del 24%, attestandosi a quota 3,31 milioni. Due le motivazioni principali di questo risultato: norme come NIS 2 e DORA, che hanno imposto alle imprese di seguire delle best practice di sicurezza, e l'adozione dell'intelligenza artificiale come strumento di difesa. 

Lo scenario globale

Il settore dove i costi per reagire a un data breach sono più elevati è quello sanitario: parliamo di ben 7,42 milioni in media. Anche in questo caso, però, c'è un dato positivo: questo valore è in calo rispetto al 2024, quando un incidente in questo ambito aveva un costo medio che sfiorava i 10 milioni.

Un altro dato interessante è relativo al tempo medio per rilevare e contenere una violazione, che nell'ambito sanitario si allunga: 279 giorni, ovvero più di 5 settimane in più rispetto alla media globale di 241 giorni.

La situazione in Italia

La principale causa degli incidenti informatici in Italia rimane il phishing, che rappresenta il 17% degli incidenti e porta a un costo medio di 4,09 milioni di euro per porvi rimedio. Seguono gli attacchi DoS e DDoS, che rappresentano il 13% e costano mediamente 3,03 milioni di euro, e gli insider threat (13%) con un costo medio di 4,24 milioni di euro.

Il tempo medio per identificare un data breach (MTTI) varia significativamente con l’adozione dell’IA e della security automation passando da un 155 giorni per chi non utilizza l'IA a 109 giorni per chi ne fa un uso estensivo. L'analisi di IBM rileva anche un aumento percentuale simile anche nei tempi di contenimento: chi utilizza ampiamente queste tecnologie riesce a contenere una violazione in media in 40 giorni, rispetto ai 60 giorni di chi non le utilizza.

IA: non basta adottarla. Serve supervisionarla

La corsa all’intelligenza artificiale nelle aziende sta aprendo nuovi fronti di vulnerabilità, spesso sottovalutati o non ancora regolamentati in modo adeguato. Secondo IBM, il 63% delle organizzazioni che ha subito una violazione non dispone ancora di una policy di governance per l’IA oppure è la sta ancora definendo. Ancora più allarmante: tra le realtà che si sono dotate di linee guida, solo una su tre (34%) effettua audit regolari per rilevare utilizzi non autorizzati dell’intelligenza artificiale.

A preoccupare è soprattutto il fenomeno della shadow AI, ovvero l’adozione di strumenti di IA al di fuori dei controlli IT ufficiali. Un’organizzazione su cinque ha segnalato violazioni riconducibili proprio a queste pratiche “invisibili”, ma solo il 37% ha implementato policy specifiche per rilevarle o gestirle. L’impatto economico è tutt’altro che trascurabile: le aziende con alti livelli di shadow AI hanno registrato, in media, 670.000 dollari di costi aggiuntivi per ogni violazione rispetto a chi ha mantenuto un uso più controllato.

Le conseguenze si riflettono anche sulla natura dei dati esposti: gli incidenti legati alla shadow AI hanno mostrato un incremento della compromissione di informazioni personali identificabili (65% contro una media del 53%) e di proprietà intellettuale (40% contro il 33%).

"I dati mostrano che esiste già un divario tra l'adozione e la supervisione dell'AI e che gli attori delle minacce stanno iniziando a sfruttarlo", ha dichiarato Suja Viswesan, Vice President, Security and Runtime Products, IBM. "Il rapporto ha rivelato una mancanza di controlli di accesso di base per i sistemi di intelligenza artificiale, lasciando esposti dati altamente sensibili e modelli vulnerabili alla manipolazione. Man mano che l'intelligenza artificiale diventa più profondamente integrata nelle operazioni aziendali, la sicurezza dell'intelligenza artificiale deve essere considerata fondamentale. Il costo dell'inazione non è solo finanziario, è la perdita di fiducia, trasparenza e controllo".