Telecamere, stampanti, sensori. In ogni azienda italiana ci sono decine di dispositivi connessi che nessuno sta proteggendo. E il 2026 sarà l’anno in cui qualcuno se ne accorgerà.
C’è una telecamera IP nel parcheggio della tua azienda. Una stampante al terzo piano. Un sensore di temperatura nel magazzino. Tre oggetti che hai smesso di guardare il giorno dopo l’installazione. Tre oggetti che, in questo momento, sono connessi alla stessa rete dove transitano contratti, dati dei clienti, mail della direzione.
Nessuno li aggiorna. Nessuno sa esattamente chi li ha comprati. E quasi sicuramente, nessuno è formalmente responsabile della loro sicurezza.
Ecco il più grande punto cieco della cybersecurity aziendale. Quello che, secondo i professionisti del settore, sta producendo silenziosamente la prossima generazione di violazioni.
Un problema che cresce mentre nessuno guarda
Per anni la sicurezza informatica ha funzionato con un’idea semplice: c’è dentro, c’è fuori, in mezzo c’è un firewall. In quel mondo, applicare patch e aggiornare i sistemi era sufficiente. Quel mondo non esiste più da almeno cinque anni, ma molte aziende fanno finta che esista ancora.
Oggi il perimetro si è disintegrato. Cloud, lavoro remoto, IoT, dispositivi industriali, applicazioni di terze parti: la superficie d’attacco di un’azienda media è cresciuta in modo esponenziale, mentre i processi di sicurezza sono rimasti gli stessi degli anni Duemila.
Il risultato ha un nome che dovreste imparare a riconoscere: security debt. Debito di sicurezza. Vulnerabilità non risolte che si stratificano una sopra l’altra, mese dopo mese, finché non collassano insieme. Funziona esattamente come un debito finanziario solo che gli interessi non li paghi in soldi, ma in giorni di blocco operativo, dati esfiltrati e telefonate al consiglio d’amministrazione.
Gli oggetti che nessuno protegge
Il problema più sottovalutato non sono i computer: è tutto il resto.
Telecamere IP installate dal facility manager. Badge reader gestiti dalle risorse umane. Sensori industriali acquistati dalla produzione. Stampanti di rete che il fornitore configura una volta e poi nessuno tocca più per cinque anni.
Tutti questi dispositivi hanno tre cose in comune: sono connessi alla rete aziendale, non compaiono in nessun inventario IT, e nella maggior parte dei casi non possono nemmeno essere sottoposti alle scansioni di sicurezza tradizionali senza rischiare di andare in tilt.
Sono invisibili per costruzione. E gli attaccanti lo sanno.
L’errore umano è una scusa
C’è un’altra storia che vale la pena smontare: quella secondo cui la maggior parte delle violazioni nasce dall’errore umano. Tecnicamente è vero. Sostanzialmente è una scappatoia.
Quando un dipendente clicca sul link sbagliato, o usa una password debole, o aggira un protocollo di sicurezza, raramente lo fa per superficialità. Quasi sempre lo fa perché il processo “corretto” è troppo lento, troppo macchinoso o semplicemente non esiste un’alternativa praticabile per fare il suo lavoro.
L’errore umano non è una causa. È un sintomo di un’organizzazione che ha scaricato sull’individuo un problema di design.
Cosa fanno le aziende che funzionano
Le organizzazioni che hanno smesso di subire incidenti gravi hanno una cosa in comune: non parlano più di patch. Parlano di gestione del rischio.
La differenza sembra accademica e non lo è affatto. Significa cinque cose concrete:
Sapere in tempo reale cosa è connesso alla rete: ogni telecamera, ogni sensore, ogni dispositivo. Decidere cosa aggiornare prima non in base a un punteggio teorico, ma in base a quanto quella vulnerabilità è realmente sfruttata dagli attaccanti in questo momento. Configurare i sistemi in modo che siano robusti per default, non per patch successive. Assegnare a ogni vulnerabilità un nome e un cognome, con scadenze precise. Misurare tutto e raccontarlo al management in una lingua che il management capisca.
Non è rivoluzionario. È solo organizzato.
Il momento è adesso
Con la direttiva NIS2 ormai pienamente operativa anche in Italia, la pressione regolatoria sulle aziende è cresciuta sensibilmente. Le sanzioni per chi non dimostra una gestione strutturata del rischio cyber non sono più un’ipotesi accademica.
E c’è un’altra ragione di urgenza, più scomoda: gli attaccanti hanno automatizzato. Strumenti di scansione automatica trovano i dispositivi vulnerabili in poche ore. Una volta gli hacker dovevano cercarti. Adesso ti trovano in automatico.
Le aziende che continuano a rispondere applicando patch una alla volta stanno combattendo una guerra del 2010 con armi del 2010. Mentre l’avversario ha già cambiato secolo.
C’è una telecamera IP nel parcheggio della tua azienda. Forse è il momento di chiedersi chi la sta proteggendo.
Francesco Diblasio
• Head of Managed Security Services (SECaaS)
