Bitdefender, sicurezza reale con sovranità verificabile

Per un CIO o un CISO italiano, la vera sovranità significa poter verificare e mantenere il controllo sui dati di sicurezza, sulla tecnologia che li protegge e sulle persone autorizzate a gestirla. Un data center europeo definisce la localizzazione dei dati. La valutazione deve comprendere anche la giurisdizione, la proprietà, gli accessi con privilegi, i servizi di supporto e la supply chain. L’approccio di Bitdefender combina tecnologia europea, infrastrutture soggette alla governance dell’UE e operazioni di sicurezza svolte all’interno dell’Unione Europea, nelle implementazioni che rientrano nel nostro Sovereign Acceleration Program.
Ai fornitori chiediamo di rendere verificabile l’intero modello di servizio. Dove vengono elaborati i dati di telemetria, i backup e le informazioni relative al supporto? Quali entità giuridiche gestiscono la piattaforma e a quali leggi sono soggette? Chi può accedere ai dati da remoto, da quali Paesi e chi gestisce le chiavi di crittografia? Cosa succede quando un incidente richiede escalation, analisi del malware o interventi tecnici specialistici? Il cliente può verificare il rispetto di questi impegni e recuperare i propri dati quando cambia fornitore?
Queste domande devono riguardare anche gli agenti di AI. Quando un agente diventa un’estensione del team umano, i suoi permessi e collegamenti ai sistemi aziendali entrano nel perimetro di controllo dell’organizzazione. CIO e CISO devono sapere dove finiscono i dati e chi autorizza le azioni dell’agente. La sovranità deve essere dimostrabile nell’operatività quotidiana e durante una crisi.

NIS2, DORA, AI e Cloud Act spingono le aziende ad organizzarsi per un’effettiva compliance, ma temi come quello della sovranità rischiano di restare solo l’ennesima casella da spuntare. Come aiutate quindi le organizzazioni a coniugare queste esigenze ad un’efficace strategia di cybersecurity? Quali le proposte concrete?

Partiamo dai rischi per le attività e dagli obblighi effettivamente applicabili all’azienda. La direttiva NIS2 riguarda la gestione dei rischii informatici e la segnalazione degli incidenti; il regolamento DORA si concentra sulla resilienza operativa nel settore finanziario, incluso il rischio legato ai fornitori ICT. L’AI Act introduce requisiti differenziati in funzione dell’utilizzo e della classificazione del rischio. Il Cloud Act statunitense solleva una questione diversa: l’accesso ai dati detenuti da fornitori soggetti alla giurisdizione degli Stati Uniti, potenzialmente a prescindere dal luogo in cui sono conservati. Sono aspetti distinti, per cui l’hosting in Europa non può essere considerato una risposta universale alla compliance.

Il nostro approccio pratico combina prevenzione e riscontri sull’efficacia dei controlli. GravityZone offre protezione degli endpoint, EDR per il rilevamento delle minacce e la risposta e XDR per correlare i segnali provenienti dagli ambienti connessi. Le opzioni di implementazione su cloud europeo e i servizi MDR erogati nell’UE possono rispondere alle esigenze relative al trattamento dei dati di sicurezza e alla gestione delle operazioni. Gli impegni previsti per la configurazione e i servizi scelti devono essere documentati insieme alle policy di accesso, alle procedure per gli incidenti e alle responsabilità dei fornitori.
La governance dell’IA rientra nella stessa strategia. GravityZone AI Visibility and Control aiuta a individuare strumenti di IA, agenti e componenti MCP supportati sugli endpoint Windows gestiti e a dare priorità ai relativi rischi. Le aziende possono quindi applicare i controlli appropriati di GravityZone e definire privilegi minimi e approvazione umana per le azioni sensibili degli agenti. Questa visibilità supporta la governance, ma non certifica la conformità all’AI Act né elimina ogni rischio legato all’IA. La compliance resta una responsabilità organizzativa continua, supportata dalla tecnologia, procedure collaudate e responsabilità definite.
Bitdefender sa che analizzare e rispettare i requisiti normativi può essere un compito impegnativo, soprattutto per i team con risorse limitate. Per questo abbiamo sviluppato due soluzioni, GravityZone Compliance Manager e GravityZone Cloud Security Posture Management Plus (CSPM+), che semplificano il percorso verso la conformità a un’ampia gamma di standard normativi. Queste soluzioni consentono alle aziende di individuare rapidamente le aree di non conformità nei loro ambienti di rete e cloud e le guidano negli interventi correttivi necessari per raggiungere la conformità.

La sovranità operativa passa dalla capacità di prevenire, a quella di reagire agli attacchi come di gestire gli incidenti. Quanto pesa questo aspetto per le aziende italiane, spesso a corto di competenze interne, e come si concilia il perimetro europeo con efficacia e tempi di risposta?

La sovranità operativa ha un ruolo cruciale soprattutto quando è in corso un attacco. Un’azienda deve sapere chi è autorizzato a condurre le indagini, autorizzare le misure di contenimento e contribuire al ripristino di condizioni operative sicure, e se il perimetro concordato per il trattamento dei dati viene rispettato anche in situazioni di emergenza. Per le aziende italiane con risorse interne limitate, la difficoltà è garantire questa capacità 24 ore su 24.
Nell’ambito del Sovereign Acceleration Program, il nostro servizio MDR viene erogato dal SOC di Bitdefender in Romania, con monitoraggio specialistico 24 ore su 24, 7 giorni su 7, attività di threat hunting e risposta agli incidenti all’interno dell’UE. Combina rilevamento ottimizzato dall’AI e contenimento automatizzato delle minacce con il giudizio degli analisti. Per questo servizio, indagini, escalation degli incidenti e analisi del malware restano all’interno del perimetro europeo, senza richiedere il trasferimento dei dati del cliente o della responsabilità operativa al di fuori dell’UE.
La rapidità di risposta dipende dalla preparazione. Consigliamo di concordare in anticipo quali azioni di contenimento può eseguire il servizio, chi prende le decisioni di business e come vengono gestite le escalation verso il cliente. Procedure ed esercitazioni devono verificare questi meccanismi anche fuori dal normale orario di lavoro. Le attività svolte in Europa possono combinare competenze specialistiche e interventi rapidi quando tecnologia, autorizzazioni e responsabilità sono allineate. L’MDR amplia le capacità del team interno; l’azienda mantiene la responsabilità delle decisioni di business e delle priorità di ripristino.

Il Sovereign Acceleration Program accompagna le aziende nel passaggio da fornitori extraeuropei, con migrazione in parallelo e supporto alla rescissione dei contratti. Quali ostacoli incontrano oggi le imprese italiane nel cambiare vendor e come li affronta il programma?

Cambiare fornitore di sicurezza è un progetto che riguarda la continuità operativa. Per le imprese italiane, gli ostacoli possono comprendere un contratto ancora in essere, costi di licenza sovrapposti, tempo limitato a disposizione del personale, integrazioni con altri strumenti e il timore di perdere protezione durante la fase transizione. I team devono anche ricostruire policy e flussi operativi e acquisire padronanza e sicurezza nell’utilizzo della nuova piattaforma. Sono aspetti da valutare con ogni cliente, senza presumere che lo stesso percorso sia adatto a tutti.
Il Sovereign Acceleration Program affronta queste barriere attraverso la pianificazione della migrazione, l’accesso agli esperti Bitdefender, consulenza sull’architettura e una valutazione gratuita dei rischi legati alla sovranità. Supporta una transizione graduale con implementazione in parallelo, per verificare copertura e capacità operative prima di dismettere la soluzione precedente. Il piano deve tenere conto della compatibilità tra gli agenti sugli endpoint, delle integrazioni e delle finestre previste dal cliente per introdurre modifiche.
Per le aziende idonee, il supporto alla recessione del contratto in essere può ridurre l’onere economico del passaggio da un fornitore extra-UE. Le condizioni commerciali vengono valutate caso per caso, insieme agli obblighi contrattuali già assunti dal cliente. Non comportano la cancellazione automatica del contratto con il fornitore precedente. L’obiettivo è rendere praticabile la migrazione, con una sequenza concordata, responsabilità chiare e continuità della protezione durante l’intera transizione.

Con Aruba, GravityZone viene ospitata su un cloud italiano: Aruba fornisce l’infrastruttura, Bitdefender mantiene il controllo operativo e i dati restano cifrati. Dopo OVHcloud e secunet, cosa aggiunge avere dati ed elaborazione in Italia e quali settori e aziende intendete raggiungere?

Aruba amplia il nostro ecosistema europeo con un’opzione di implementazione in Italia, che si aggiunge alle partnership con OVHcloud in Francia e secunet in Germania. Per i clienti che richiedono che i dati di sicurezza  siano archiviati ed elaborati in Italia, questa soluzione consente di allineare maggiormente la localizzazione della piattaforma alle proprie esigenze di selezione dei fornitori e di governance. Permette inoltre alle aziende di adottare il portafoglio di soluzioni di sicurezza aziendale di Bitdefender attraverso un partner infrastrutturale locale.
Le responsabilità sono definite: Aruba fornisce l’infrastruttura cloud, mentre Bitdefender mantiene il controllo operativo di GravityZone e la gestione esclusiva dei dati cifrati del cliente. Gli impegni della partnership riguardano i dati dei clienti e relativi alla configurazione, gli eventi di sicurezza e i dati di telemetria all’interno dell’UE. L’hosting in Italia e l’erogazione delle attività operative  dall’Europa vanno valutati congiuntamente, definendone il perimetro nei contratti relativi alla configurazione e ai servizi scelti. Il fatto che l’hosting sia in Italia non implica, di per sè, che tutti i servizi di sicurezza a supporto vengano erogati dall’Italia.
Ci rivolgiamo a aziende di ogni dimensione con requisiti stringenti in termini di trattamento dei dati e resilienza, in particolare pubblica amministrazione, servizi finanziari, sanità, istruzione, infrastrutture critiche, energia e manifattura. L’opportunità riguarda anche le aziende che si affidano a MSP e MSSP per accedere a funzionalità di sicurezza enterprise. Il valore è un servizio di cybersecurity europeo con opzioni di hosting locale e una ripartizione trasparente delle responsabilità, a supporto della strategia di sicurezza e delle esigenze di compliance del cliente.