La cybersecurity è una delle poche funzioni aziendali il cui successo è, di norma, silenzioso. Dall’esterno può persino sembrare che non succeda nulla. All’interno, però, è rappresentato da una serie di processi e controlli apparentemente ordinari che fanno esattamente ciò per cui sono stati progettati: impedire che incidenti tecnici si trasformino in crisi aziendali. Per usare un’analogia ormai abusata, nessuno pensa alle cinture di sicurezza quando il tragitto in auto procede senza problemi. Ma quando un incidente dimostra che servono, la prospettiva cambia. Può sembrare un punto di partenza insolito, ma questa dinamica è al centro di un vecchio problema della cybersecurity: quando funziona, a livello superficiale non si apprezza. Tutti continuano a lavorare e la giornata scorre normalmente. Quando però fallisce, tutti se ne accorgono: la differenza è evidente e i costi esplodono rapidamente.
Prevenire le interruzioni è, quindi, fondamentale, ma giustificare i costi della cybersecurity rispetto ad altre priorità aziendali non è sempre semplice. Altri ambiti aziendali, soprattutto quelli che generano ricavi, possono mostrare risultati tangibili: più vendite o time-to-market più rapidi. La sicurezza informatica raramente ha questo privilegio. Spesso deve giustificarsi sulla base di eventi che non dovrebbero mai verificarsi. E nelle dinamiche di budget, questa differenza pesa davvero.
Per capire quanto il tema sia reale, basta guardare i dati: uno studio di IANS e Artico ha rilevato che nel 2025 la crescita media dei budget per la sicurezza è calata al 4%, il livello più basso degli ultimi cinque anni, in netto calo rispetto all’8% del 2024. Il numero di CISO con budget invariati o ridotti ha superato, inoltre, quello di chi ha registrato incrementi, evidenziando una crescente difficoltà nell’ottenere risorse adeguate.
Un problema di prospettiva
Quando ci si chiede: “Come si può dimostrare il valore della sicurezza quando non è successo nulla?”, si finisce per giustificare le spese facendo riferimento a disastri che non si sono verificati. Questo approccio mette la sicurezza in una posizione difensiva e ignora gran parte del suo contributo quotidiano, oscurandone il reale valore. Si rischia anche un bias di sopravvivenza: un’azienda che ha investito poco in sicurezza e non ha subito incidenti potrebbe ritenere adeguata la propria strategia. Ma il fatto che negli ultimi anni non sia successo nulla non è una garanzia per il futuro. La sicurezza è spesso legata a rischi a “coda lunga”: situazioni che sembrano sotto controllo fino a quando, improvvisamente, non lo sono più, con conseguenze potenzialmente devastanti. Con minacce in continua evoluzione e normative sempre più stringenti, il rischio non diminuisce nel tempo, anzi tende ad aumentare.
Forse, quindi, è necessario cambiare domanda: non quanto si è evitato di perdere, ma cosa la sicurezza consente di fare. Misurare ciò che non è accaduto limita il discorso ai risparmi, trascurando le opportunità e la crescita che operazioni sicure rendono possibili. La capacità di operare in sicurezza in un contesto rischioso, dove i concorrenti non riescono, rappresenta un vantaggio competitivo raramente quantificato.
Una domanda più utile potrebbe essere: “cosa ci permette di fare la sicurezza che altrimenti non potremmo fare?”. Non in senso astratto, ma operativo. In questo modo, si passa dalla dimostrazione di un rischio evitato alla prova concreta di un valore generato. La sicurezza, infatti, incide direttamente sulla quotidianità e sulle prospettive future di un’organizzazione.
Dalla teoria alla realtà
La realtà operativa, soprattutto per le piccole e medie imprese, è spesso complessa. Le risorse sono limitate e le competenze difficili da reperire, rendendo complicato garantire un monitoraggio continuo 24/7. In molti casi, i log vengono raccolti e gli alert generati, ma la mancanza di tempo e personale porta a ritardi nelle analisi o, peggio, a una totale assenza di risposta. Questi limiti hanno conseguenze concrete. Più a lungo un attaccante resta indisturbato nella rete, peggiore può diventare la sua compromissione: esfiltrare dati sensibili, individuare backup o pianificare azioni mirate a causare il massimo danno.
Secondo il report Cost of a Data Breach 2025 di IBM, il costo medio di una violazione ha raggiunto i 4,44 milioni di dollari. Ma al di là dei numeri, è importante comprendere il valore delle misure di sicurezza che riducono questi impatti. Esistono framework dedicati al ROI della sicurezza e alla quantificazione del rischio cyber, ma analizzarli richiede una trattazione a parte. In questo caso l’attenzione si concentra su qualcosa di più difficile da misurare.
In questo contesto, servizi come il Managed Detection and Response (MDR) assumono un ruolo centrale. Si tratta di servizi attivi, che combinano rilevamento, risposta, intelligence sulle minacce e attività di remediation un’unica soluzione che consentono anche alle organizzazioni più piccole di beneficiare di un livello di protezione un tempo riservato alle grandi imprese. Significa, in pratica, avere sempre qualcuno che monitora e valuta se un’anomalia è innocua o rappresenta una minaccia reale. Questo cambiamento può sembrare minimo, ma ha effetti significativi. Anche incidenti apparentemente minori, come un tentativo di furto di credenziali, possono essere bloccati prima di evolvere in attacchi più gravi, come il ransomware. Inoltre, questo tipo di protezione è sempre più richiesto anche dalle compagnie assicurative cyber.
Il vero valore della sicurezza
Limitarsi a considerare la cybersecurity come un costo da evitare significa non coglierne il valore reale. I benefici non sono sempre immediatamente visibili, ma sono profondi e cumulativi. La sicurezza contribuisce direttamente a obiettivi strategici fondamentali: continuità operativa, fiducia dei clienti e conformità normativa. In questa prospettiva, la sicurezza non è solo un prodotto o un servizio, ma un risultato essenziale.
Per le organizzazioni che guardano al lungo periodo, gli investimenti in cybersecurity si ripagano molte volte nel tempo. Consentono di crescere, scalare le operazioni, entrare in nuovi mercati e migliorare le performance complessive. In altre parole, la sicurezza crea spazio di manovra. E per le aziende più lungimiranti, questo è un valore strategico imprescindibile.
La prossima volta che tutto funziona senza intoppi e le attività procedono normalmente, vale la pena chiedersi il perché. Potrebbe essere proprio la sicurezza a fare il suo lavoro, in silenzio, ma in modo decisivo.
Samuele Zaniboni, Manager of Sales Engineering di ESET Italia
