Di fronte al crollo del breakout time e alla convergenza ibrida tra IT e OT, limitarsi a rincorrere gli alert non basta più. Marco Fattorelli, CTO di HWG Sababa, illustra la transizione verso il modello CTEM (Continuous Threat Exposure Management) e l’evoluzione organizzativa dal SOC al ROC (Risk Operation Center): un cambio di paradigma che integra la verifica sul campo della reale sfruttabilità delle vulnerabilità tramite simulazioni d’attacco hyperautomation deterministica e sovranità digitale, con l’obiettivo di ridurre la superficie esposta e proteggere la continuità operativa.
Nel panorama della sicurezza informatica aziendale si è consumata una trasformazione profonda, silenziosa ma inesorabile, che sta costringendo i vertici aziendali a ripensare le strategie di difesa. Per oltre un decennio il baricentro della sicurezza gestita è coinciso quasi esclusivamente con la capacità di identificare l’incidente e arginarlo nel minor tempo possibile. Il Managed Detection and Response è nato ed evoluto proprio con questo scopo: intercettare l’anomalia, inviare una notifica e attivare le contromisure necessarie a circoscrivere il danno. Ma l’evoluzione delle offensive informatiche ha reso lo schema puramente reattivo necessario ma non più sufficiente: la capacità di detection e response resta un pilastro irrinunciabile, ma da sola non basta a garantire la continuità operativa delle organizzazioni moderne.
Perché l’ultimo miglio da solo non basta: l’accelerazione del rischio informatico
Come spiega Marco Fattorelli, Chief Technology Officer di HWG Sababa, oggi posizionarsi unicamente al termine della catena d’attacco significa partire sempre in svantaggio rispetto all’attaccante. Nel momento in cui scatta un allarme in un Security Operation Center, in molti casi l’avversario ha già superato le difese perimetrali e la catena d’attacco è già in corso.
Fattorelli evidenzia questo limite operativo: «In un approccio MDR esclusivamente reattivo, quando si alza un alert nel SOC spesso l’attaccante ha già ottenuto un accesso iniziale e sta progredendo lungo la catena d’attacco. Non è più sufficiente, quindi, posizionarsi alla fine della catena d’attacco, nell’ultimo miglio, ma bisogna integrare componenti e capability preventive e proattive».
Gli scenari operativi odierni, infatti, vedono la proliferazione di tecniche d’attacco sempre più raffinate, tra cui spiccano i vettori privi di file binari malevoli tradizionali, le cosiddette minacce malwareless, orchestrate e velocizzate dall’impiego pervasivo dell’intelligenza artificiale generalista e specializzata.
In questo contesto, le finestre temporali di reazione si sono polverizzate. I dati di settore e le analisi indipendenti evidenziano una metrica inequivocabile: il breakout time, ossia l’intervallo temporale che intercorre tra l’intrusione iniziale dell’attaccante e l’avvio del movimento laterale, è crollato drasticamente, passando dall’ordine delle ore a quello dei minuti.
Quando il tempo a disposizione per contenere una minaccia si misura in una manciata di minuti, la sola capacità di rilevamento non può più costituire la prima linea di difesa. Un MDR maturo resta la base imprescindibile, come confermato anche da IDC MarketScape, che ha inserito HWG Sababa tra i major player del settore per l’MDR midmarket e per la protezione degli ambienti convergenti. La vera sfida, oggi, consiste nell’estendere la prospettiva operativa a monte, anticipando l’azione ostile prima che questa possa trasformarsi in un evento critico.
I sistemi informativi aziendali sono cambiati e le minacce lo sanno
Questa accelerazione delle minacce si innesta su una metamorfosi strutturale dei sistemi informativi aziendali. Le architetture contemporanee hanno abbandonato qualsiasi parvenza di omogeneità. La compresenza di piattaforme cloud native, infrastrutture on-premise storiche, filiere di fornitura interconnesse e apparati operativi industriali disegna un mosaico eterogeneo in cui ogni componente risponde a logiche, protocolli e finalità operative profondamente divergenti.
Marco Fattorelli sottolinea come la complessità architetturale non sia necessariamente una condanna, ma possa trasformarsi in un moltiplicatore di vulnerabilità se gestita senza una visione organica. La complessità, se governata con rigore, non si traduce necessariamente in un aumento del rischio, a patto che sia garantita una visibilità unificata e trasversale.
Il CTO di HWG Sababa pone l’accento sulla necessità di non ragionare a compartimenti stagni: «È fondamentale accentrare e consolidare la visibilità su questi ambienti eterogenei. Ciò che avviene sul cloud deve essere correlato con ciò che accade in ambito OT, che a sua volta deve essere correlato con gli eventi nel dominio dell’identity». Troppo spesso, tuttavia, la complessità tecnologica riflette e amplifica una frammentazione di natura organizzativa. Nei contesti d’impresa si riscontra di frequente una separazione tra i responsabili dei sistemi informatici tradizionali e quelli delle tecnologie operative. Sistemi con owner differenti seguono inevitabilmente processi non allineati e rispondono a priorità contrastanti.
Questa disconnessione gestionale si traduce in una opportunità per i cybercriminali. Fattorelli illustra un vettore d’attacco divenuto ormai una prassi consolidata nelle cronache: «gli attaccanti entrano nel contesto industriale e trovano un sistema legacy, che non è manutenuto e allineato e in cui potenzialmente non c’è una patch proprio perché per motivi operativi non è possibile farlo; spesso gli attaccanti sfruttano quel sistema come punto d’ingresso o di pivot per poi spostarsi all’interno della rete aziendale verso altri contesti». La complessità architetturale e gestionale si trasforma così in un cavallo di Troia, che ci fa capire quanto sia necessario un allineamento rigoroso sia sul piano dei processi sia su quello della governance aziendale.
CTEM, ovvero come ridurre probabilità e impatto degli incidenti
Di fronte al fatto che non basta più rincorrere le intrusioni a perimetro violato, la risposta è l’integrazione strutturale tra il monitoraggio costante e il paradigma del Continuous Threat Exposure Management. Secondo Marco Fattorelli, abbracciare il modello CTEM non significa semplicemente aggiungere un ulteriore strumento diagnostico all’arsenale aziendale, ma fare un cambio culturale e metodologico. Non si tratta più di attendere la generazione dell’allarme per poi classificarlo, ma di intervenire a monte in modo metodico e continuo per ridurre l’esposizione al rischio dell’intera infrastruttura.
L’obiettivo fondamentale di questa convergenza operativa consiste nel ridurre drasticamente la probabilità che un incidente si verifichi e il suo impatto sul business. Riducendo sistematicamente la superficie d’attacco e correggendo le configurazioni errate prima che possano essere individuate e sfruttate da un attaccante, il servizio di monitoraggio può concentrare la propria capacità analitica su ciò che realmente conta. Nel momento in cui scatta una segnalazione in un sistema protetto secondo questa logica, quell’allarme assume un valore qualitativo decisamente superiore rispetto al consueto rumore di fondo dei SOC tradizionali: segnala con elevata probabilità un’attività ostile reale, che ha trovato un’esposizione residua o una tecnica non ancora mitigata, richiedendo un intervento immediato e ad altissima priorità.
In questo quadro Fattorelli identifica nell’Adversarial Exposure Validation un autentico elemento di discontinuità tecnologica. Non basta limitarsi alla rilevazione passiva di una vulnerabilità censita in un database; è indispensabile comprendere se e come quella specifica debolezza sia effettivamente sfruttabile nello specifico contesto architetturale dell’azienda. Come spiega il CTO, «questo consente, oltre a ridurre la superficie d’attacco, di integrare una funzionalità che rileva una vulnerabilità e con l’intelligenza artificiale, strumenti di penetration test automatizzato e di exposure validation, capisce se effettivamente la vulnerabilità è sfruttabile e con che modalità».
Questo meccanismo produce un duplice beneficio. Da un lato convalida la reale pericolosità di ogni singola falla, evitando che i team di sicurezza disperdano energie nella chiusura di falle prive di una concreta via di penetrazione. Dall’altro, come argomenta Fattorelli, la validazione avversaria fornisce un flusso continuo di informazioni fresche e contestualizzate al nucleo di detection engineering. Coloro che hanno la responsabilità di ideare nuove regole di correlazione e sviluppare casi d’uso avanzati per l’MDR non lavorano più su ipotesi astratte, ma costruiscono contromisure modellate su tecniche offensive verificate, garantendo un allineamento con l’evoluzione delle minacce.
Dalla quantificazione cieca alla contestualizzazione del valore aziendale
Uno dei mali cronici che affliggono i centri di controllo tradizionali è la cosiddetta alert fatigue, una saturazione cognitiva generata da volumi spropositati di notifiche indifferenziate che ostacolano l’individuazione tempestiva dei pericoli autentici. La soluzione a questa inefficienza strutturale risiede nella capacità di contestualizzare l’informazione tecnica rapportandola al reale impatto sul business.
Fattorelli chiarisce che la criticità di un asset non può essere stabilita con una valutazione contabile del numero di vulnerabilità rilevate. Una macchina che ha molteplici debolezze teoriche potrebbe trovarsi in un segmento di rete completamente isolato, mentre un sistema apparentemente meno compromesso potrebbe gestire il database principale delle transazioni o la linea di produzione cardine dell’intera impresa. Il CTO di HWG Sababa definisce cosa debba intendersi per criticità: «Se l’approccio è portato a termine in modo efficace, si riesce a capire quali asset sono effettivamente critici, ossia non quelli che hanno dieci vulnerabilità critiche, ma quelli che, se impattati, causano una disruption all’interno dell’azienda».
Per mettere a terra questo principio, il percorso di exposure management alimenta costantemente una customer card dell’ambiente protetto, una vera e propria mappa dinamica delle priorità aziendali. Quando una rilevazione emerge all’attenzione degli analisti, viene istantaneamente arricchita e ponderata attraverso questa lente interpretativa. Un alert che impatta una risorsa marginale vedrà scendere la propria priorità, consentendo agli operatori di non distogliere l’attenzione dalle emergenze concrete.
Viceversa, un’anomalia apparentemente minore o caratterizzata da un indice di gravità nominalmente basso riceverà un’escalation immediata se l’asset bersaglio risulta vitale per i flussi economici dell’azienda ed è contemporaneamente esposto a fattori di rischio non mitigati. La detection cessa così di essere un processo standardizzato e decontestualizzato per diventare un presidio personalizzato, cucito sulla conformazione dell’organizzazione protetta.
Correlare piattaforme, usare HyperSOC e fare automazione deterministica
L’integrazione tra riduzione continua dell’esposizione e monitoraggio attivo richiede un’infrastruttura tecnologica vendor-agnostic capace di abbattere le barriere tra prodotti e ambienti differenti. Le aziende non possono permettersi di azzerare e sostituire i cospicui investimenti tecnologici effettuati negli anni, né possono tollerare una gestione frammentata affidata a cruscotti isolati per il cloud, la rete aziendale e gli endpoint.
Fattorelli racconta come HWG Sababa abbia affrontato questa complessità architetturale sviluppando la piattaforma proprietaria Pulse, spina dorsale dell’approccio HyperSOC. Il pilastro distintivo di questa tecnologia è la correlazione tra piattaforme differenti.
Come spiega il manager, «nel caso che parta un alert EDR che impatta uno specifico username e un alert NDR di un altro vendor che monitora un’altra parte dell’infrastruttura contiene un’informazione che riconduce al primo alert, siamo in grado di correlarli, anche su una timeline temporale diversa». In sostanza, se un segnale si manifesta nell’immediato e un secondo evento collegato si verifica a distanza di ore ed è riconducibile alla medesima entità, ad esempio lo stesso utente o host, il sistema consolida il tutto in un’unica vista coerente, superando la gestione a silos.
Questo processo dà vita a un case unico: un fascicolo investigativo arricchito all’istante con le evidenze provenienti dai programmi CTEM, con i playbook di risposta e con la Threat Intelligence per contestualizzare l’attacco e, ove possibile, ricondurlo a un threat actor noto. Da qui scattano le procedure di hyperautomation per il contenimento, consentendo di registrare un Mean Time to Contain che si attesta tra 7 e 8 minuti su tipologie di alert e domini definiti.
AI agentica sì, ma governata
Nello spiegare l’efficacia di questi risultati, Fattorelli propone una visione pragmatica ma tutt’altro che conservatrice: l’evoluzione verso SOC sempre più autonomi è una traiettoria reale, a patto che l’autonomia cresca di pari passo con la governance e con la misurabilità dei risultati.
Il CTO distingue tra la promessa di agenti che indagano e decidono in completa autonomia e un modello in cui gli agenti AI operano all’interno di un perimetro di controllo definito. La posizione di Fattorelli sull’argomento è chiara: «L’agente AI che fa triage e investigation in totale autonomia può avere senso dove i processi non sono ancora strutturati; per noi l’Artificial Intelligence si integra fortemente con il mondo deterministico di workflow ed esperienza accumulati in oltre quindici anni di erogazione di servizi».
L’hyperautomation implementata in HWG Sababa si poggia su flussi di lavoro ingegnerizzati a partire dai playbook definiti da analisti Tier 2 e Tier 3. L’intelligenza artificiale non sostituisce questo patrimonio, lo amplifica: viene impiegata in modo mirato i playbook e le regole prestabilite incontrano un limite oggettivo.
Come evidenzia ancora Fattorelli, «se abbiamo una struttura scalabile con workflow deterministici che danno più garanzie rispetto a un agente AI, non usiamo l’agente per fare l’investigation, perché il workflow lo fa meglio, più velocemente e a minor costo. L’agente AI lo utilizziamo dove la minaccia non è nota, dove il playbook non è ancora stato costruito, coprendo il gap e accelerando la costruzione del nuovo playbook insieme agli analisti: ciò che l’agente impara, una volta validato, diventa un workflow deterministico». L’intelligenza artificiale deve coprire i gap dove la minaccia è nuova, sempre sotto la supervisione degli analisti, ma le competenze restano alla base di tutto. È un modello destinato a evolvere: man mano che gli agenti dimostrano un’affidabilità misurabile su scenari specifici, il loro perimetro di autonomia può ampliarsi, sempre con una responsabilità umana chiara.
La metamorfosi organizzativa: il Risk Operation Center
Il superamento della logica emergenziale non è soltanto un fatto tecnologico o procedurale, ma culmina in una riconfigurazione dei modelli operativi aziendali. In questa cornice si inserisce la transizione promossa da HWG Sababa verso il Risk Operation Center, concepito non come un’alternativa, ma come la controparte complementare del classico centro di sicurezza.
Come illustra Fattorelli, queste due strutture sono due facce perfettamente integrate della stessa medaglia difensiva. Se il SOC porta competenze di incident response, threat hunting e interviene a valle di una detection, la missione del ROC si colloca interamente sul terreno della mitigazione strategica e preventiva. Nel tratteggiare questa distinzione, Fattorelli sintetizza: «Da un lato si interviene quando accade qualcosa dall’altro si riducono la probabilità che accada e il suo impatto potenziale, mettendo a terra azioni di mitigazione ponderate. Non basta dotarsi di strumenti che segnalano decine di migliaia di vulnerabilità: il ROC supporta nel calare queste evidenze sull’infrastruttura in termini di contesto, posizionandosi sopra il framework CTEM». Il ROC analizza le configurazioni, intercetta le esposizioni residue, valuta l’efficacia delle contromisure e guida i processi di patching e remediation rapida riducendo a monte le condizioni che generano un allarme.
Il valore delle competenze è sempre alto
Questa divergenza di obiettivi richiede un bagaglio di competenze multidisciplinare. Nel ROC operano figure specializzate nella sicurezza tecnica affiancate da esperti di governance, conformità e gestione del rischio. È proprio questa sinergia a colmare lo storico divario comunicativo tra i responsabili della sicurezza e i vertici aziendali. I consigli di amministrazione e i manager faticano a cogliere il valore di parametri meramente quantitativi come il volume dei log processati.
Fattorelli evidenzia come la combinazione tra evidenze tecniche e Business Impact Analysis permetta di parlare un linguaggio finalmente accessibile al vertice aziendale: «Mappando queste due viste, al board si può dire che se non si interviene a prioritizzare le attività di remediation in quest’area del business, vi è un impatto quantificabile sulla continuità operativa e sul piano economico. Quindi parliamo già anche di potenziale impatto finanziario». In questo modo, le vulnerabilità tecniche decontestualizzate vengono tradotte in scenari di rischio comprensibili e tangibili, orientando le risorse aziendali dove serve davvero.
I contesti complessi: manufacturing, difesa, infrastrutture critiche
L’efficacia di un modello basato sull’esposizione continua e sulla gestione del rischio trova il suo banco di prova più severo nei contesti operativi complessi, a partire dal settore manifatturiero e dalle infrastrutture critiche. In ambito industriale, le logiche convenzionali dell’informatica d’ufficio risultano non direttamente applicabili.
Marco Fattorelli evidenzia che in fabbrica il punto di partenza non è la bonifica immediata, ma l’acquisizione di una piena visibilità sugli apparati realmente connessi, superando l’opacità causata dai dispositivi industriali non censiti. «In un contesto manifatturiero e industriale bisogna fare un passo indietro. Spesso il primo tassello non è mitigare o ridurre la superficie d’attacco, ma capire che cosa si ha: c’è un tema fondamentale di visibilità, di gestione dello shadow OT, per capire di quali asset stiamo parlando».
Una volta consolidato l’inventario, il ciclo di vita dell’esposizione deve fare i conti con un vincolo non negoziabile: la continuità della produzione. La scoperta di una falla critica in un PLC (Programmable Logic Controller) o in un impianto robotizzato non può tradursi nell’applicazione automatica di una patch correttiva o nel blocco istantaneo del nodo, poiché un arresto non programmato provocherebbe danni economici ingenti e potrebbe mettere a repentaglio la safety degli operatori.
In questo equilibrio delicato si innestano le competenze specialistiche della business unit Y-Cyber di HWG Sababa, dove specialisti del dominio industriale collaborano con analisti di security per contestualizzare la reale portata di un exploit e definire misure compensative (segmentazione, virtual patching, monitoraggio passivo) senza compromettere le linee. Questa maturità, peraltro, è sostenuta da una decisa evoluzione normativa: provvedimenti come la direttiva NIS2 e il regolamento Cyber Resilience Act stanno progressivamente spingendo le organizzazioni a colmare lo storico vuoto di ownership tra responsabili IT e gestori dei contesti industriali.
Se la resilienza industriale poggia sulla salvaguardia fisica della continuità operativa, l’anticipazione delle minacce trova la propria massima espressione negli ambiti ad altissima intensità geopolitica.
Per rispondere a queste sfide estreme, HWG Sababa ha istituito a Roma la business unit Space & Defense Intelligence. In questi domini la Threat Intelligence assume una valenza cruciale, fungendo da bussola primaria per comprendere in anticipo le mosse avversarie. Come evidenzia Fattorelli, «i servizi di punta sono proprio quelli di Threat Intelligence, che in un contesto del genere portano proattività nel comprendere i movimenti dei threat actor, dei gruppi APT, le tecniche e i settori targettizzati, così da indirizzare il monitoraggio e la mitigazione». Monitorando costantemente gli attori ostili, tracciando le tendenze geopolitiche globali e presidiando il dark web per rilevare informazioni sensibili esposte, questa divisione trasferisce evidenze predittive vitali non solo alle istituzioni, ma al tessuto industriale strategico del Paese.
La rotta per i decisori: sovranità, metodo e pragmatismo operativo
Tracciando le conclusioni di questo cambio di paradigma, Marco Fattorelli rivolge un messaggio ai CIO e ai CISO chiamati a guidare l’evoluzione della propria organizzazione verso una gestione continua e integrata del rischio.
Per prima cosa, i decisori devono ricercare partner capaci di assumere una responsabilità organica e trasversale lungo l’intero ciclo di vita della sicurezza. Come spiega il CTO, il primo passo fondamentale è «affidare l’accountability end-to-end della sicurezza a un partner in grado di gestirla, capace di integrare l’exposure management con l’MDR e di far convergere domini verticali come l’OT all’interno di una visione complessiva, evitando di gestire SOC IT e SOC OT tramite provider separati e disallineati».
Poi, è indispensabile adottare un approccio orientato al risultato effettivo, superando la logica formale degli accordi basati unicamente su tempi di presa in carico o reazione. Bisogna richiedere al partner evidenze tangibili su come stia migliorando la security posture e mitigando il rischio reale dell’organizzazione. A questo si collega strettamente il valore della sovranità digitale, un concetto che Fattorelli invita a non ridurre a uno slogan geografico: «Sovranità digitale non significa unicamente avere il dato localizzato nell’Unione Europea, ma adottare una strategia che mantenga processi, competenze e partner fidati all’interno del contesto normativo e operativo europeo».
Infine, sul piano degli errori da non commettere, l’ammonimento del manager è chiaro: occorre diffidare delle facili lusinghe di chi descrive un futuro a breve termine dominato da sistemi interamente gestiti da intelligenze artificiali autonome prive di controllo umano. L’AI non sostituisce l’esperienza delle persone, la moltiplica. Il suo perimetro di autonomia è destinato ad ampliarsi, ma in modo governato e misurabile: workflow deterministici dove garantiscono affidabilità, agenti AI dove servono adattività e velocità, e una responsabilità che resta saldamente in capo alle persone e alle loro competenze.
