I dati commerciali sulla panoramica delle minacce concorrono a determinare l’adeguatezza delle misure di sicurezza e incidono su notifiche, tempi di risposta e valutazione del rischio.
Cosa dice la minaccia emergente
Un report annuale di threat intelligence di matrice commerciale, elaborato da Crowdstrike, pur non essendo un atto normativo, produce effetti giuridici indiretti di rilievo. Il documento descrive ventiquattro nuovi gruppi di attacco identificati nel 2025, un tempo medio di propagazione laterale all’interno dell’organizzazione target di ventinove minuti, e uno scenario dove l’ottantadue per cento dei rilevamenti risulta privo di malware. La fonte segnala inoltre un incremento dell’ottantanove per cento degli attacchi che sfruttano l’intelligenza artificiale e la compromissione di oltre novanta organizzazioni mediante iniezione di istruzioni malevole in strumenti di IA generativa, nonché manipolazione della catena di fornitura software. Questi dati, pur provenienti da un operatore commerciale e quindi non vincolanti, forniscono il contesto fattuale al quale le norme in materia di sicurezza rinviano.
I parametri elastici contenuti nell’articolo 32 del Regolamento (UE) 2016/679 e nell’articolo 21 della Direttiva (UE) 2022/2555 — stato dell’arte, costi, grado di esposizione — si riempiono per relazione con dati di fatto sullo scenario di minaccia. Non è questione di quale misura adottare, ma di quale metodo seguire per individuarla, rendendo la documentazione delle fonti consultate e della data di consultazione elemento di valore probatorio autonomo della responsabilizzazione richiesta dall’articolo 5, paragrafo 2.
Il vincolo dei tempi di risposta
La sfasatura fra i tempi dell’aggressione e i tempi degli adempimenti rappresenta il primo profilo di rilevanza giuridica. Se il breakout time medio è ventinove minuti, con casi di ventisette secondi, la finestra per un contenimento efficace è incompatibile con procedure autorizzative di tipo tradizionale che richiedono escalation e approvazioni formali. In questo contesto, la predisposizione di procedure di risposta che contemplino azioni di contenimento automatiche o preautorizzate — con delega esplicita documentata — costituisce elemento sempre più difficilmente eludibile del giudizio di adeguatezza ex articolo 32, quantomeno per organizzazioni significative o che trattino categorie particolari di dati.
La seconda ricaduta attiene al momento della “conoscenza” della violazione ai sensi dell’articolo 33 del Regolamento e dell’articolo 23 della Direttiva. L’assenza di malware e l’utilizzo di credenziali valide rendono l’accertamento intrinsecamente più lento e incerto, poiché l’attività dell’attaccante è difficilmente distinguibile da quella di un amministratore legittimo senza analisi comportamentale. La soluzione consiste nel formalizzare ex ante i criteri oggettivi che determinano il passaggio da “sospetto” a “conoscenza”, documentando le determinazioni assunte con relativa motivazione, rendendo la scelta temporale difendibile perché fondata su criterio predeterminato.
Lo spostamento del baricentro sull’identità
Il dato secondo cui l’ottantadue per cento dei rilevamenti è privo di malware e il trentacinque per cento degli incidenti cloud comporta abuso di account validi segnala uno spostamento decisivo del baricentro della sicurezza dall’endpoint all’identità. Le misure tradizionali — antivirus, rilevamento basato su firme, controllo perimetrale — perdono progressivamente efficacia rispetto a una quota crescente delle intrusioni. L’organizzazione che fondi la dichiarazione di adeguatezza esclusivamente su tali strumenti si espone a contestazione, quantomeno in accertamento successivo a un incidente.
L’articolo 21, paragrafo 2, lettera j), della Direttiva menziona espressamente l’uso di autenticazione a più fattori o continua, ma la norma non qualifica il tipo di autenticazione richiesto. Le tecniche descritte — pagine di phishing che si interpongono in tempo reale, furto di token, abuso di flussi di autenticazione — sono concepite per superare le implementazioni tradizionali. L’adempimento formale dell’obbligo di autenticazione a più fattori non equivale necessariamente a una misura efficace: il giudizio di adeguatezza si sposta dalla presenza della misura alla sua resistenza rispetto alle tecniche concretamente osservate.
Cosa devono fare le imprese
Sul piano attuativo, le organizzazioni devono procedere a un riesame della valutazione dei rischi assumendo esplicitamente come scenari di riferimento quelli documentati dalle fonti di intelligence disponibili, documentando le fonti consultate e la data di consultazione. Il valore risiede nella dimostrabilità che la valutazione è stata condotta alla luce di uno scenario aggiornato, elemento centrale dell’onere di responsabilizzazione. Deve accompagnarsi una revisione delle misure di autenticazione verificando la resistenza alle tecniche di intercettazione, con priorità su accessi amministrativi, remoti e a sistemi trattanti categorie particolari. È necessario operare una razionalizzazione dei privilegi estesa alle identità applicative, ai token di integrazione e ai segreti delle catene di sviluppo, mediante censimento delle identità non umane attribuendo a ciascuna un responsabile nominativo e sottoponendola a revisione periodica.
Per la gestione degli incidenti, deve essere rivista la dimensione temporale prevedendo azioni di contenimento preautorizzate per un insieme predefinito di indicatori, definendo chiarezza su perimetro, limiti e rendicontazione. È necessario esplicitare nella procedura i criteri di qualificazione della “conoscenza” della violazione, evitando valutazioni occasionali. Deve essere incorporata una matrice degli obblighi di segnalazione che dall’evento rilevato consenta di derivare tutti gli adempimenti applicabili — pre-notifica a ventiquattro ore, notifica a settantadue ore verso il CSIRT, notifica all’autorità ex articolo 33, eventuale comunicazione agli interessati — con indicazione di destinatari, formati e termini.
La catena di fornitura e il rischio non contrattualizzato
La catena di fornitura software presenta due modalità distinte con rilevanza giuridica differenziata. Nel primo caso — compromissione del fornitore con manipolazione del meccanismo di aggiornamento — vi è tipicamente un rapporto contrattuale configurabile come responsabilità del trattamento ex articolo 28. Nel secondo — alterazione di pacchetti in repository pubblici — la dipendenza open source acquisita non genera alcun rapporto contrattuale: il rischio è reale ma il presidio tradizionale è strutturalmente inefficace. Ciò impone uno spostamento dal piano contrattuale a quello tecnico-organizzativo.
Rispetto alle dipendenze non contrattualizzate, l’adeguatezza ex articolo 32 e la conformità all’articolo 21, paragrafo 2, lettere d) ed e), della Direttiva si giocano sulla capacità di sapere quali componenti siano effettivamente in esecuzione, verificarne l’integrità mediante firma del codice e bloccare l’introduzione non validata in catene di integrazione continua. Per fornitori contrattualizzati, la revisione dei contratti deve verificare la presenza di obblighi di notifica tempestiva degli incidenti, impegni sulla gestione delle vulnerabilità e diritti di verifica esercitabili in forma non meramente documentale. Il questionario di due diligence deve essere integrato con richieste specifiche sulla sicurezza dei meccanismi di distribuzione degli aggiornamenti, essendo questo il vettore concretamente sfruttato negli scenari descritti.
Intelligenza artificiale: strumento e bersaglio della sicurezza
L’intelligenza artificiale riveste nella minaccia emergente una duplice veste di moltiplicatore offensivo e di nuova superficie di attacco. Quanto al primo profilo, l’impiego di modelli generativi per produrre esche di ingegneria sociale, tradurre messaggi in lingue diverse e creare identità fittizie incide direttamente sull’efficacia della formazione. I programmi costruiti sul riconoscimento di indizi superficiali perdono efficacia quando il testo è indistinguibile da comunicazione legittima. La formazione deve essere ripensata nei contenuti: dal riconoscimento dell’anomalia formale alla verifica procedurale dell’identità del richiedente e alla resistenza all’induzione di urgenza, con simulazioni che riproducano anche il canale vocale.
Quanto al secondo profilo, l’iniezione di istruzioni in oltre novanta organizzazioni e il componente contraffatto illustrano rischi specifici dell’architettura agentica. Un agente basato su modello linguistico non distingue strutturalmente fra istruzione dell’operatore e istruzione contenuta nel dato elaborato. Ciò significa che un sistema agentico con privilegi di accesso a banche dati di dati personali costituisce trattamento a rischio elevato richiedente valutazione d’impatto ex articolo 35. Il principio di minimizzazione ex articolo 5, paragrafo 1, lettera c), impone limitare i privilegi dell’agente a quanto strettamente necessario; il principio di integrità ex lettera f) impone tracciabilità delle azioni dell’agente.
L’approfondimento completo di questo articolo è disponibile su 01magazine.it.
