Le aziende telco e le utilities stanno vivendo una metamorfosi silenziosa ma decisiva: la cybersecurity non è più un tema tecnologico, ma una questione di processi, governance e fattore umano. Il settore abbandona la difesa perimetrale per cercare di implementare un modello agile e resiliente, dove la tecnologia è solo uno dei pilastri di una strategia molto più ampia. Questo nelle dichiarazioni di intenti delle associazioni di categoria, molto però resta da fare per raggiungere questo obiettivo.
Sì, perché… “il castello ha molti ingressi. Ora è in voga l’uno, e tutti passano di lì; ora l’altro, e il primo è disertato. Secondo quali regole avvengano questi cambiamenti non s’è ancora potuto scoprire”. Così Kafka diceva nel suo romanzo Il Castello (Das Schloss) e questa potrebbe essere anche la descrizione di quello che sta accadendo negli ultimi anni in tema di cybersecurity aziendale.
Per anni infatti il principio guida della “sicurezza IT” (come si chiamava allora) è stato quello che gli anglosassoni definivano castle-and-moat, un castello con un fossato che proteggesse l’infrastruttura e le applicazioni critiche per l’azienda. Un modello che ha funzionato abbastanza bene ma che presupponeva la possibilità che esistesse un castello da difendere. Oggi non è più così: l’utilizzo del public e hybrid cloud, il software-as-service, l’accesso massivo alle applicazioni da parte di clienti e terze parti, l’aumento dei dispositivi IoT e OT collegati, lo smart working esteso hanno fatto sì che il perimetro aziendale da difendere sia diventato un ecosistema digitale fluido e in costante evoluzione.
Nello stesso tempo gli attacchi cyber sono diventati sempre più sofisticati: i giovani hacker in felpa che lavorando in stanze buie e sotterranee violano sistemi complessi appartengono all’immaginario hollywoodiano. Ormai le organizzazioni di cybercriminali operano come vere e proprie aziende, spesso sostenute da alcuni Stati, utilizzando tecniche sempre più sofisticate e potenziate dall’utilizzo dell’intelligenza artificiale.
A questo si aggiunge un quadro normativo come nel caso della direttiva europea ha imposto un salto di qualità nella governance della sicurezza, rinforzando l’obbligo di gestione del rischio, la sicurezza della supply chain e la responsabilità diretta del management aziendale.
Il contesto si presenta particolarmente sfidante per realtà, come telco e utilities, che gestiscono infrastrutture tecnologiche complesse, spesso con una significativa percentuale di obsolescenza, e in un mercato fortemente regolamentato e in costante evoluzione. Si tratta di infrastrutture critiche per il Paese, che devono essere adeguatamente protette per evitare che si verifichino scenari come quello raccontato nella serie Zero Day di Netflix (ormai un riferimento obbligatorio per chi si occupa di cybersecurity).
Proviamo di seguito a dare qualche dettaglio ulteriore per chiarire meglio lo scenario attuale e le sfide del prossimo futuro.
Perché telco e utilities sono bersaglio perfetto
Come accennato ci sono alcuni elementi strutturali che rendono le aziende telco e utilities particolarmente vulnerabili ad attacchi cyber.
Il primo è che esse gestiscono infrastrutture critiche per il sistema Paese: le reti di telecomunicazioni e i sistemi energetici sono la spina dorsale della società odierna, come dimostrano tristemente gli attacchi russi all’Ucraina. E qui vale la pena ricordare che i primi massici attacchi cyber ai sistemi informatici ucraini sono iniziati prima dei combattimenti sul campo e che i bombardamenti delle infrastrutture energetiche sono iniziati nei primi giorni dell’invasione russa. Questo perché questi attacchi possono avere effetti a cascata su banche, ospedali, trasporti e hanno un alto impatto sulla vita quotidiana delle persone.
I gruppi di cybercriminali utilizzano le stesse logiche di una guerra e negli ultimi anni sono aumentati gli attacchi di vario tipo a backbone di rete, sistemi Scada e OT, piattaforme cloud e dispositivi IoT.
Il secondo elemento di debolezza è che sulle infrastrutture critiche e sotto pressione molti operatori gestiscono ancora sistemi legacy ormai datati, progettati senza logiche di sicurezza adeguate al contesto attuale, che non è possibile aggiornare e la cui sostituzione richiede, nel migliore dei casi, tempi lunghi, investimenti significativi e rischi per la continuità del business. Il risultato è che la superficie di attacco risulta eterogenea e frammentata, senza adeguati sistemi di controllo in campo.
ll Report 2026 sullo stato dell’Operational Technology e della Cybersecurity di Fortinet mostra poi un quadro preoccupante: il sondaggio, condotto su oltre 700 professionisti aziendali di cybersecurity in 30 Paesi, rivela che molte organizzazioni hanno visibilità solo su circa metà del proprio ambiente OT. In pratica, non sanno davvero cosa accade nell’altra metà: dispositivi non monitorati, segmenti di rete non mappati, asset non inventariati. È una vulnerabilità strutturale, perché ciò che non si vede non si può proteggere.
Un approfondimento indipendente, basato sempre sul report Fortinet e riportato da SecurityOpenLab, conferma la criticità: nel 2026 il 71% delle aziende dichiara di aver subito almeno una intrusione malevola nei propri ambienti OT, contro il 47% dell’anno precedente. Un ulteriore rischio viene dalla supply chain: la dipendenza da fornitori sempre più internazionali (che magari svolgono parte delle loro attività off-shore), allarga l’ecosistema aziendale introduce ulteriori vulnerabilità come quelle legate all’access e identity management e in generale dell’accesso sicuro, profilato e controllato ai sistemi e ai dati aziendali.
E per completare il quadro non può mancare l’AI o per essere precisi l’introduzione non guidata e non controllata dell’AI nei processi e nei sistemi aziendali, che incrementa significativamente il perimetro di rischio aziendale. L’esplosione dell’AI sta portando alla tentazione di introdurre l’AI come elemento “magico” in grado di introdurre efficienza nei processi, ridurre i costi aziendali e accelerare la trasformazione digitale dell’azienda.
Tutte aspettative per un certo verso comprensibili ma la vera sfida è su come l’AI viene introdotta e quali sono i meccanismi di governance da mettere in campo per evitare che qualcosa di potenzialmente positivo per il business diventi un elemento di rischio rilevante in contesti aziendali che devono già fronteggiare significative sfide di cybersecurity per le motivazioni che ho illustrato precedentemente.
Nuovo paradigma cyber per telco e utilities
Telco e utilities hanno investito e continuano a investire nella protezione dei propri asset e dei dati aziendali, e sia Asstel sia Elettricità Futura (associazione di Confindustria che rappresenta la filiera dell’industria elettrica italiana) convergono su un punto chiave: la cybersecurity non può essere affrontata solo come un tema tecnologico ma deve diventare uno dei pilastri della trasformazione digitale delle aziende, integrata nel modo in cui esse progettano, gestiscono e fanno evolvere le proprie infrastrutture e i propri servizi. Questo è l’obiettivo dichiarato, ed è già un passo avanti. Tuttavia, confrontandosi con Cio e Ciso di diverse realtà emerge chiaramente che la distanza da colmare è ancora ampia e che serve un cambiamento profondo nell’approccio. Di seguito alcuni elementi che possono favorire questo cambio di paradigma.
- La sicurezza non è resilienza
Per aumentare la sicurezza telco e utilities investono per proteggere asset, reti e dati da minacce note: implementare controlli, monitorare gli accessi, chiudere vulnerabilità, applicare patch e rispettare le normative. È un approccio principalmente “difensivo”, la protezione del “castello” che ormai non esiste più nella forma tradizionale.
Per essere resilienti occorre fare un passo ulteriore: progettare sistemi capaci di assorbire l’impatto di un attacco, continuare a funzionare e ripristinarsi rapidamente. Non basta evitare l’incidente o essere rapidi nella reazione: la resilienza richiede che la cybersecurity sia parte integrante della progettazione delle reti e dei sistemi, che ci siano processi chiari, automatizzati e con responsabilità definite. L’obiettivo non è solo proteggere ma garantire continuità in caso di attacco. Per garantire una protezione davvero efficace delle infrastrutture critiche, la sicurezza digitale deve essere integrata nell’intero ecosistema aziendale, con un approccio sistemico che metta al centro governance, processi, competenze e responsabilità. Solo così la cybersecurity smette di essere un elemento puramente tecnico e diventa una leva strutturale della trasformazione digitale.
- Never trust, always verify. Un passo oltre zero trust
Il modello zero trust ha introdotto un’idea chiave: la fiducia non è mai implicita. Ma era un approccio pensato per perimetri chiusi e controlli statici. Oggi, con reti distribuite, servizi cloud‑native e una superficie d’attacco in continua evoluzione, quel principio deve diventare operativo e continuo. È qui che si afferma il principio Never trust, always verify: non uno slogan, ma l’evoluzione naturale dello zero trust verso una verifica costante, sostenuta da automazione con utilizzo dell’AI, audit di sicurezza periodici affidati a terze parti indipendenti e una governance dei rischi realmente efficace.
In questo modello (se ne parla dal 2020, peraltro) la fiducia non è semplicemente negata: viene costruita e aggiornata in tempo reale, coinvolgendo l’intera organizzazione. Per telco e utilities che gestiscono infrastrutture critiche e servizi essenziali Never trust, always verify significa passare dalla protezione alla resilienza operativa: un salto necessario in un contesto in cui ogni componente, ogni sistema, ogni dato, ogni interfaccia, ogni accesso può diventare un punto di vulnerabilità.
- Resilienza, quando la sicurezza smette di essere un esercizio di stile
In molti contesti aziendali si tende a dare per scontati i processi di sicurezza già messi in campo, considerandoli validi solo perché documentati o conformi alle normative. E’ un punto di vista che nasce in buona fede ma è viziato da una certa pigrizia mentale o da una visione limitata del contesto nel quale l’azienda opera. In definitiva questo modo di gestire la sicurezza diventa esso stesso un rischio serio: quando processi chiave come governance dei rischi e security by design vengono gestiti con lo stesso approccio formale usato, per esempio, con le varie forme di compliance, perdono completamente la loro efficacia. La resilienza non nasce da procedure scritte, ma da processi vivi, applicati ogni giorno e integrati nelle decisioni strategiche e operative.
Una governance dei rischi efficace richiede analisi continue supportate da audit indipendenti, responsabilità chiare e la capacità di anticipare gli impatti negativi sul business, non di registrarli a posteriori. Allo stesso modo, la security by design deve essere molto più di un requisito dichiarato: deve diventare un modo di progettare e gestire i servizi, coinvolgendo tutte le funzioni aziendali oltre l’IT o la sicurezza (operation, marketing, procurement, compliance, risk management, HR, finance…) perché ogni scelta di business, ogni acquisto, ogni processo introduce potenziali punti di vulnerabilità.
Quando questi elementi vengono trattati come formalità, l’azienda si illude di essere protetta mentre in realtà espone le proprie infrastrutture e i propri sistemi critici a rischi crescenti, anche reputazionali o di perdita di fatturato. Quando invece diventano pratiche sostanziali, integrate e condivise, diventano la base della resilienza operativa, permettendo all’organizzazione di prevenire le vulnerabilità, ridurre gli impatti e garantire continuità anche in caso di eventi imprevisti e dannosi per il business aziendale.
Scegliere partner con competenze strategiche
Raggiungere una vera resilienza richiede molto più delle competenze interne, per quanto solide possano essere. Le organizzazioni che gestiscono infrastrutture critiche hanno bisogno di un supporto esterno capace di portare esperienza, conoscenza del mercato di riferimento, metodo rigoroso e una visione indipendente. Ma il mercato dei consulenti è vasto e disomogeneo: non tutti i partner sono realmente in grado di guidare trasformazioni complesse. È essenziale scegliere con attenzione. Il partner giusto non arriva con soluzioni preconfezionate, non promette scorciatoie e non si limita a un approccio formale da compliance. Porta invece competenza strategica, conoscenza profonda dei settori telco e utilities, capacità di integrare sicurezza, governance dei rischi e processi operativi, e soprattutto lavora fianco a fianco con le funzioni aziendali, valorizzando le competenze interne e costruendo modelli sostenibili. È un consulente che sa leggere la complessità e trasformarla in scelte praticabili, che mantiene indipendenza rispetto alle tecnologie e ai vendor, e che misura il successo non sui deliverable, ma sulla resilienza reale dell’organizzazione. In altre parole: non un fornitore, ma un partner strategico che aiuta l’azienda a diventare più forte, più consapevole e più capace di affrontare il cambiamento.
—
*Cosimo Delfino, advisor strategico attivo anche nel settore no profit. Collabora con aziende Ict e con le università su iniziative di innovazione e formazione
© RIPRODUZIONE RISERVATA
