La cybersicurezza è sempre più importante nelle strategie (non solo IT, ma di business) e nelle voci di budget delle aziende. Ma avere una buona strategia e aumentare gli investimenti non è sufficiente e non significa necessariamente essere più protetti, in uno scenario di minacce in continua evoluzione. Un nuovo studio di Deloitte, “Global Future of Cyber Survey”, basato sulle risposte di oltre mille leader aziendali di 43 Paesi, evidenzia cinque paradossi, così definiti dagli analisti: di certo sono punti dolenti, aspetti irrisolti che complicano o depotenziano la gestione della cybersicurezza.
“La cybersecurity è diventata una priorità strategica nelle agende dei leader delle aziende globali. Eppure, nonostante gli investimenti crescenti, il supporto della C-suite e gli investimenti e la transizione verso modelli tecnologici più avanzati, le organizzazioni si trovano ancora di fronte a una realtà complessa e contraddittoria”, ha commentato Matthew Holt, cyber leader di Deloitte Central Mediterranean.
Un primo “paradosso” riguarda il rapporto tra fiducia nella strategia cyber aziendale e capacità di attuarla. L'85% degli intervistati si è detto "abbastanza" o "molto" fiducioso nella propria strategia di cybersecurity. I principali fattori che contribuiscono alla fiducia sono l’esistenza di architetture, strumenti e approcci di sicurezza moderni come lo Zero Trust e i sistemi di Identity and Access Management (citati dal 42% del campione), la capacità di risposta e gestione degli incidenti (36%), la buona governance dei dati (integrità dei dati, data readiness e sicurezza per l'AI, 35%), l’appoggio e l’allineamento dei dirigenti e manager rispetto all’IT (33%), la presenza di personale qualificato (32%), le esercitazioni cyber (red team e purple team, 32%).
Se l’85% è “molto o abbastanza fiducioso, solo il 70% delle aziende ha implementato queste tecnologie e strategie in misura ampia o molto ampia. Il divario di 15 punti percentuali, secondo Deloitte, “non rappresenta un semplice scostamento statistico, ma evidenzia una criticità strutturale che le organizzazioni sono chiamate a colmare per raggiungere una reale integrazione operativa”, ha sottolineato Holt.
Un’altra contraddizione riguarda il disallineamento tra i Chief Information Security Officer (Ciso) e altri responsabili aziendali. Tra Ciso e i Ceo esiste una “forte relazione” nel 66% dei casi, percentuale che sale al 76% se si considera l'intera C-suite. Paradossalmente, la relazione tende a indebolirsi man mano che ci si allontana dai vertici dell’organigramma, e per esempio solo nel 22% delle aziende c’è una forte sintonia tra Ciso e responsabili dell’architettura IT.
Il terzo aspetto evidenziato da Deloitte riguarda la gestione dell'ecosistema dei fornitori, ed è un problema ben noto. In molte aziende la tendenza è cercare di ridurre il numero di vendor per semplificare la governance tecnologica, ma d’altro canto a volte è necessario ampliare tale numero per adottare soluzioni specifiche o per farsi supportare da partner esperti in un determinato dominio cyber. Al momento, il 38% delle aziende del campione ha un numero di fornitori compreso tra 11 e 20, mentre il 29% ne ha più di 20. Per 74% il numero di partner di cybersecurity è aumentato nell'anno precedente e la maggior parte prevede un'ulteriore crescita nei prossimi tre-cinque anni. Non mancano, però, aziende che cercano di ridurre il numero di fornitori per evitare un'eccessiva frammentazione e semplificare la gestione operativa della cybersicurezza. Deloitte rimarca che non esiste una soluzione valida per tutti e suggerisce di orientarsi su piattaforme di cybersicurezza integrate.
La quarta contraddizione riguarda la frequenza e pericolosità degli attacchi, e anche in questo caso l’analisi di Deloitte rispecchia precedenti studi in materia. Da un lato, le violazioni restano molto diffuse: il 78% delle aziende del campione ha reso pubblica almeno un incidente subìto nel 2025, quota comunque in calo rispetto al 91% del 2024. E da un anno all’altro scende anche, dal 64% al 52%, la percentuale di chi ha subìto danni "significativi". Il paradosso sta nel significato sottostante ai numeri: “Questo andamento”, ha spiegato Holt, “non suggerisce che gli attacchi siano diventati meno pericolosi, ma piuttosto che le organizzazioni abbiano rafforzato la propria capacità di prevenzione, rilevazione e contenimento. Allo stesso tempo, un numero ridotto di breach dichiarati non rappresenta necessariamente un indicatore positivo: in alcuni casi potrebbe essere il sintomo di capacità di detection ancora insufficientemente mature”.
L’ultimo aspetto contraddittorio è il rapporto tra investimenti e incertezza. L'85% delle aziende ha aumentato il budget annuo destinato alla cybersecurity e l'88% prevede un'ulteriore crescita nel prossimo futuro. Ma una pianificazione di questo tipo, su base annua, non tiene conto della rapidità con cui le minacce e il rischio cyber continuamente si trasformano. Dunque, per Deloitte, oggi servirebbero modelli di pianificazione finanziaria più dinamici e flessibili. Questi cinque paradossi, in ogni caso, non rappresentano dei fallimenti, ma descrivono una fase di transizione e suggeriscono le aree su cui focalizzare le azioni future.