La convergenza tra la crescita esponenziale delle minacce informatiche, la trasformazione digitale e l’attuazione della NIS2 in Italia e l’applicazione di DORA stanno ridefinendo il modo in cui le imprese italiane gestiscono il rischio digitale. In settori come automotive, energia, aerospace & defence, finanza, farmaceutica e infrastrutture critiche — con obblighi che variano in base all’ambito e all’inquadramento normativo — la cybersecurity è una componente essenziale della resilienza operativa. A complicare il quadro c’è l’intelligenza artificiale, che aumenta la sofisticatezza degli attacchi e impone nuovi paradigmi di governance e di protezione dei dati.
Il nodo centrale è la convergenza tra tecnologie e competenze. Quando applicazioni, cloud, dispositivi connessi e sistemi industriali concorrono al funzionamento di un servizio, la sicurezza non riguarda un singolo componente né può essere demandata a una verifica finale. Una vulnerabilità può coinvolgere sistemi interdipendenti e avere conseguenze sull’operatività.
La sicurezza lungo tutto il ciclo di vita. Questo scenario richiede di integrare sicurezza e privacy fin dalla progettazione, dalla scelta dell’architettura allo sviluppo, fino all’integrazione e alla gestione degli aggiornamenti. Significa considerare insieme codice, apparati, reti, dati, processi e responsabilità, tenendo conto di come ciascun elemento contribuisca al funzionamento del sistema.
È una prospettiva concreta per chi lavora tra IT e Embedded, ovvero due ambiti che, nei progetti reali, si incontrano sempre più spesso. La sicurezza di un prodotto o di un servizio dipende anche dalle interfacce tra componenti, dai flussi di dati e dalle modalità con cui il sistema viene mantenuto nel tempo. È in questi punti di integrazione che la competenza tecnica deve dialogare con la conoscenza dei processi e dei requisiti normativi.
“Nei progetti IT ed embedded – spiega Osvaldo My, Operations Manager di Adentis Italia, società di consulenza specializzata in sistemi embedded e nuove tecnologie – si vede un aspetto che spesso resta sullo sfondo nel dibattito sulla cybersecurity: il rischio non si ferma al perimetro informatico, ma attraversa applicazioni, dispositivi, reti industriali, dati e processi; per questo la sicurezza va considerata lungo tutto il ciclo di vita del sistema, dalla progettazione agli aggiornamenti. Serve integrare nei propri team specialisti con competenze verticali, ma anche professionisti capaci di collegare le scelte tecniche alle conseguenze operative. È questa integrazione, più della conoscenza di un singolo strumento, a rendere una competenza efficace nei contesti reali”.
Tra le competenze più richieste si trovano Cloud security, incident response, vulnerability assessment e sicurezza dei sistemi OT/ICS. A queste si affiancano capacità legate allo sviluppo sicuro e alla protezione dei sistemi connessi. La domanda non riguarda soltanto figure altamente specializzate, ma anche di professionisti in grado di far dialogare team tecnici, responsabili dei processi e funzioni che governano il rischio.
L’AI trasforma ruoli e formazione. La diffusione dell’intelligenza artificiale aggiunge un ulteriore livello di complessità. Accanto a figure come data analyst, data engineer, AI engineer, cybersecurity specialist e cloud architect, acquistano rilievo competenze in AI governance, qualità dei dati e valutazione dei rischi e della conformità dei sistemi algoritmici.
L’AI Act introduce un quadro europeo basato sul rischio per i sistemi di intelligenza artificiale. Gli obblighi variano in funzione del ruolo dell’organizzazione e del tipo di sistema e di utilizzo; per questo, la capacità di comprendere e governare i rischi dell’AI diventa sempre più rilevante. Le competenze di base dipendono dal percorso professionale, ma alcuni elementi sono trasversali: capacità di interpretare i dati, comprensione dei principi di funzionamento dell’AI, attenzione alla sicurezza digitale e pensiero critico. Per i ruoli tecnici sono centrali programmazione, statistica, architetture cloud e gestione delle pipeline di dati; per chi governa processi e informazioni contano anche la data governance, la conoscenza dei processi aziendali e la capacità di tradurre un’esigenza organizzativa in un progetto tecnologico.
Anche la formazione deve quindi articolarsi su più livelli. Quella tecnica deve fornire strumenti operativi e occasioni di sperimentazione; quella manageriale deve aiutare a valutare casi d’uso, benefici e rischi; quella regolatoria, infine, deve affrontare privacy, responsabilità, trasparenza e tracciabilità, senza limitarsi alla lettura delle norme.
Oggi la sfida per le imprese è creare le condizioni perché competenze tecniche, organizzative e normative lavorino insieme. È così che la cybersecurity può diventare parte delle decisioni di progettazione e contribuire alla resilienza dell’intero sistema.
