L'esercito silenzioso dei CISO: siamo tutti reclutati nella guerra digitale che è già iniziata

 

Di Luigi Ricci – 19 novembre 2025

C'è un esercito che nessuno vede davvero, che non indossa uniformi né gradi, ma difende ogni giorno l'infrastruttura invisibile che regge il Paese. È l'esercito dei CISO, i cybersecurity manager, molti dei quali riuniti nella CISO Association: professionisti che presidiano l'Italia digitale senza mai fermarsi, senza clamore, senza tregua.

Li ho ascoltati al Forum sulla Cybersecurity all'Acquario di Roma organizzato da The Innovation Group. E quello a cui ho assistito non è stato un semplice evento tecnico. È stato un consiglio di guerra cyber travestito da convegno. Perché il tono non era quello della teoria: era quello del fronte.

Quando Europol e la NATO si siedono allo stesso tavolo

Se tutto questo non fosse bastato a far capire la gravità del momento, a un certo punto è arrivata la conferma definitiva. Tra i relatori non c'erano solo manager o tecnici: c'erano rappresentanti dell'Europol, della Polizia Postale, e persino Andrea Gilli, del programma NATO Innovation Accelerator DIANA.

Quando in un forum civile si siedono allo stesso tavolo chi indaga sulle gang ransomware europee, chi gestisce gli attacchi sul territorio nazionale e chi lavora alla deterrenza tecnologica dell'Alleanza Atlantica, capisci che il tema non è più aziendale. È geopolitico. È esistenziale.

Una cosa mi ha colpito più di tutte: lì, nessuno aveva paura.

Non c'era panico, non c'era allarmismo, non c'era nemmeno quel tono prudente che spesso accompagna i convegni sulla sicurezza. Erano persone che vivono immerse nel rischio ogni giorno, figure professionali ormai embedded nelle infrastrutture del Paese, con un profilo tecnico e operativo altissimo.

Era evidente che per loro la guerra digitale non è una possibilità: è un contesto. Non ci vivono "controvoglia": ci vivono dentro. Sono professionisti formati a ragionare nel caos, a prendere decisioni rapide, a mantenere sangue freddo mentre i sistemi tremano.

E in questo, paradossalmente, c'era qualcosa di rassicurante: la prova che, mentre il Paese è esposto a minacce crescenti, esiste già un'élite tecnica in grado di leggere il pericolo senza farsi dominare dalla paura, perché la paura è un lusso che in questo campo non ci si può permettere.

Postura e resilienza: le parole della guerra invisibile

Ascoltando i relatori, mi ha colpito la ricorrenza ossessiva di due parole: postura e resilienza. Le citavano tutti, senza eccezioni. Non come mode linguistiche, ma come elementi strutturali della difesa moderna.

La postura è l'atteggiamento mentale, culturale, operativo con cui le organizzazioni affrontano il rischio. Non è un processo, è un orientamento. Un modo di guardare il mondo sapendo che l'attacco arriverà, che qualcuno sta già cercando di entrare, che non basta più proteggere: bisogna essere pronti a reagire, a riorganizzarsi, a rialzarsi.

La resilienza non ha nulla a che vedere con l'idea romantica di rimettersi in piedi dopo una difficoltà. Qui la resilienza è un'altra cosa: è la capacità di continuare a funzionare anche mentre l'attacco è in corso, di non interrompersi mai, di mantenere viva la linea operativa anche dentro il caos.

Nessuno parlava più di evitare gli attacchi. Nessuno parlava di invulnerabilità.

Tutti davano per scontato che il colpo arriverà. E che la differenza sta in quanto velocemente si riesce a rialzarsi, quanto rapidamente si riesce a isolare il danno, quanto efficacemente si riesce a evitare l'effetto domino.

Ho capito allora che questa non è più "cybersecurity": è sopravvivenza organizzativa.

Claude e l'AI offensiva: quando l'intelligenza diventa arma

Il caso più emblematico discusso è stato quello di Claude utilizzato da hacker cinesi. E qui serve fermarsi un momento, perché questo non è un dettaglio tecnico tra i tanti: è il punto di svolta che ridefinisce tutto.  Un'AI come arma. Un assistente digitale, progettato per aiutare, per scrivere, per ragionare, trasformato in una piattaforma offensiva.

Fino a ieri, un attacco informatico richiedeva competenze. Servivano anni di esperienza per scrivere un exploit efficace, per costruire un phishing credibile, per orchestrare una campagna coordinata. C'era un limite naturale: il tempo, la manodopera, la capacità tecnica degli attaccanti.

Oggi quel limite non esiste più.

Oggi un attaccante non ha bisogno di essere un genio. Non ha bisogno di scrivere a mano il codice, né di costruire phishing sofisticati. Basta chiedere all'AI. Basta il tempo macchina. Basta l'accesso giusto.

Claude viene usato per generare malware polimorfico, individuare vulnerabilità in pochi secondi, creare email di spear phishing perfette, con tono, stile, contesto giusti, orchestrare attacchi end-to-end che si adattano in tempo reale alle difese.

La minaccia non scala più con gli attaccanti, ma con la computazione. La sua forza non cresce con la manodopera, ma con le GPU.

È un salto di scala che ha cambiato per sempre il campo di battaglia. Prima avevamo una simmetria: difensori e attaccanti giocavano con regole simili. Oggi l'AI ha rotto quella simmetria. Un singolo operatore, con l'AI giusta, può generare migliaia di varianti di attacco contemporaneamente, testare superfici d'attacco su scala industriale, adattare le tattiche in tempo reale.

Non è più cybercrime. È cyberwarfare automatizzata.

E questo è il motivo per cui al Forum nessuno sorrideva quando si parlava di intelligenza artificiale.

Identità rubate: la colonia che si muove nella rete

Un altro tema ricorrente è stato quello delle identità compromesse. Ma anche qui, la percezione comune è completamente sbagliata.

Impadronirsi di un'identità non significa più entrare in un account: significa ottenere il permesso di agire dall'interno come un infiltrato perfetto.

Pensa a cosa accade quando un attaccante ruba le credenziali di un amministratore di sistema, di un responsabile HR, di un manager con accesso ai dati finanziari. Non ha violato un perimetro: è diventato parte del sistema. Si muove con privilegi legittimi, accede a risorse protette, esfiltra dati senza allarmi, perché per la macchina è un utente autorizzato.

Un'identità rubata diventa un moltiplicatore. Non abbiamo un intruso: abbiamo una colonia. Perché quell'identità può crearne altre, può autorizzare accessi, può distribuire malware mascherato da aggiornamento legittimo.

È la guerriglia digitale che si diffonde cellula per cellula, invisibile, paziente, letale.

DDoS e ransomware: gli assedi del XXI secolo

I DDoS moderni non sono più il traffico sporco degli script kiddie che mandava giù un sito per qualche ora. Sono assedi intelligenti che imitano il traffico legittimo, colpiscono API, DNS e CDN insieme, si adattano alle difese in tempo reale. Sono attacchi progettati per paralizzare servizi essenziali: banche, ospedali, infrastrutture critiche, pubblica amministrazione.

I ransomware, invece, hanno imparato la pazienza. Vivono dentro la rete per settimane, a volte mesi, senza farsi notare. Studiano, mappano la topologia, identificano i backup, esfiltrano i dati più sensibili, preparano la morsa. E quando colpiscono, colpiscono tutto: server primari, backup, sistemi di disaster recovery, processi critici. Non lasciano vie d'uscita. Non chiedono un riscatto: impongono una resa.

Autostrade e IoT: quando una galleria diventa un sistema operativo

Il Forum ha poi affrontato un tema potentissimo: le infrastrutture fisiche che diventano digitali. Tra questi, il caso di Autostrade è quello che più mi ha colpito.

Oggi una galleria non è più cemento, luci e ventilazione: è un ecosistema IoT. Un sistema operativo distribuito composto da sensori di gas e fumo, illuminazione smart, ventilazione automatizzata, sistemi antincendio controllati da software, telecamere OCR, pannelli a messaggio variabile, sensori di peso e vibrazioni, pedaggi free-flow.

Ogni sensore è un microprocessore. Ogni microprocessore è un punto d'accesso. Ogni punto d'accesso è una potenziale vulnerabilità. Compromettere un solo nodo può significare: alterare la visibilità in galleria, generare blackout mirati, far partire evacuazioni false, invertire il flusso dell'aria, bloccare la mobilità di intere regioni, manipolare i pedaggi.

Quello che sembra un problema tecnico è in realtà un problema di sovranità. Perché, se qualcuno può spegnere una galleria, può paralizzare un'autostrada. E se può paralizzare un'autostrada, può bloccare la logistica, le catene di approvvigionamento, la mobilità del Paese.

La distinzione tra infrastruttura fisica e digitale non esiste più. E questo significa che anche la distinzione tra attacco cyber e attacco cinetico sta svanendo.

Le esercitazioni cyber: non è il momento per fumare una sigaretta

Un punto molto forte dibattuto nel forum è stato quello sulle esercitazioni di resilienza.  Non assomigliano alle vecchie prove antincendio, quelle in cui ci si mette in fila, si chiacchiera e qualcuno va a fumare.

Un'esercitazione cyber è un test reale che coinvolge tutti: IT, operations, amministrazione, comunicazione, legale, HR, fornitori, management. Perché un attacco può partire da qualunque punto della value chain: da una mail, da un fornitore, da un sensore IoT, da un errore umano.

E quando parte, non colpisce solo i server. Colpisce i ricavi, la reputazione, la continuità operativa, la compliance normativa, le relazioni con i clienti, la tenuta psicologica dei team.

Le esercitazioni servono proprio a questo: capire se l'organizzazione è in grado di reagire come sistema, non come somma di reparti isolati. Se c'è un protocollo chiaro, se i canali di comunicazione funzionano sotto stress, se il management sa prendere decisioni rapide con informazioni incomplete.

Perché nella guerra digitale, come in ogni guerra, non vince chi ha la tecnologia migliore. Vince chi riesce a mantenere la coesione operativa nel caos.

Servono truppe: la guerra senza esercito

E accanto al mantra di postura e resilienza, ce n'era un altro, quasi rassegnato ma lucidissimo: non ci sono abbastanza persone. Non c'è un numero sufficiente di professionisti preparati a gestire una guerra che non si combatte con i fucili, ma con protocolli, identità digitali, analisi forensi, threat intelligence, AI difensive e offensive.

È paradossale: siamo nel mezzo di una guerra invisibile, ma manca l'esercito.

Le università italiane producono ogni anno migliaia di laureati in informatica, ma solo una frazione minima è formata specificamente sulla cybersecurity. Mancano percorsi strutturati negli istituti tecnici, mancano programmi di riqualificazione per i professionisti IT già attivi, manca una cultura diffusa che veda la sicurezza digitale non come una specializzazione di nicchia, ma come una competenza fondamentale.

Eppure, proprio per questo, la situazione rappresenta anche un'enorme opportunità.

È il momento di indirizzare davvero la formazione: negli istituti tecnici, nelle università, nei poli di ricerca, dove la cybersecurity deve smettere di essere una materia per appassionati e diventare una disciplina centrale, al pari dell'ingegneria, della medicina, dell'economia.

Sommando tutti i segnali, la conclusione è inequivocabile: non siamo alla vigilia di una guerra digitale, ci siamo dentro.

Al Forum sulla Cybersecurity ho visto la prima linea di questa guerra. Ho visto persone lucide, determinate, senza paura. Ho visto professionisti che sanno esattamente cosa stanno affrontando e lo fanno con una competenza che lascia senza fiato.

 

Abstract

The Silent Army of CISOs: We Are All Drafted in the Digital War That Has Already Begun

At the Cybersecurity Forum in Rome, organized by The Innovation Group, I witnessed not a technical conference but a cyber war council. When Europol, national police forces, and NATO's DIANA program sit at the same table with corporate security managers, the subject matter transcends business concerns—it becomes geopolitical and existential.

Italy's digital infrastructure is defended daily by an invisible army: the CISOs and cybersecurity professionals who operate without fanfare or recognition. What struck me most was their complete absence of fear—not because they underestimate the threat, but because fear is a luxury this field cannot afford. These are professionals embedded in critical infrastructure, trained to function under chaos, maintaining operational continuity even during active attacks.

The forum revealed how AI has fundamentally altered the battlefield. The weaponization of systems like Claude by Chinese hackers represents a paradigm shift: threats no longer scale with attackers but with computational power. A single operator with the right AI can generate thousands of attack variants simultaneously, breaking the symmetry that once existed between offense and defense.

Modern attacks have evolved beyond cybercrime into strategic sabotage. Ransomware operations study networks for months before striking everything simultaneously—servers, backups, disaster recovery systems. DDoS attacks now mimic legitimate traffic while targeting APIs, DNS, and CDN infrastructure. Compromised identities become colonies spreading through systems with legitimate privileges.

Physical infrastructure has become digital. A highway tunnel is now an IoT ecosystem where compromising a single sensor can trigger false evacuations, manipulate tolls, or paralyze regional mobility. The distinction between physical and cyber attacks is dissolving.

The paradox: we are in an invisible war, but lack the army to fight it. Italy needs massive investment in cybersecurity education—not as a niche specialization but as a fundamental discipline. Without competencies, no technology can save us.

The digital war is not coming. It is already here. And there are no civilians anymore.