Minacce informatiche

Aziende connesse e sempre più vulnerabili ai cyberattacchi: come difendere dati e business

L’adozione massiccia di tecnologie dell’Internet of Things nelle aziende porta vantaggi ma anche vulnerabilità significative

di Nicola Bernardi*

11 novembre 2026

Aggiungi Il Sole 24 Ore
ai preferiti su Google

Gli attacchi hacker ai supermercati e i rischi per le infrastrutture energetiche

5' di lettura

English Version

5' di lettura

English Version

In pochi anni le tecnologie dell’Internet of Things (IoT) hanno rivoluzionato il modo di operare delle imprese, consentendo di controllare a distanza telecamere, frigoriferi, impianti di climatizzazione, macchinari industriali e molti altri dispositivi, con enormi vantaggi in termini di efficienza, automazione, e riduzione dei costi. La corsa verso un mondo sempre più interconnesso ha assunto dimensioni impressionanti, e soltanto in Italia si contano circa 175 milioni di oggetti connessi, che spesso vengono però installati senza mettere in conto che ogni strumento collegato alla rete può trasformarsi in una porta d’ingresso per i criminali informatici, rischiando di compromettere non solo riservatezza e sicurezza dei dati, ma anche la continuità operativa e il business delle aziende.

Chiedilo al Sole

Domande di approfondimento generate da 24Ore AI

Quando l’innovazione diventa una vulnerabilità

Che nessuna organizzazione sia esente da tali rischi, è dimostrato dal rapporto State of IoT 2026, pubblicato a settembre da Eseye sulla base di un’indagine condotta su 1.200 responsabili delle strategie IoT, secondo cui il 73,3% delle aziende intervistate ha subìto almeno una violazione della sicurezza legata ai dispositivi connessi negli ultimi dodici mesi. Il dato è ancora più preoccupante se si considera che il 78% delle imprese prevede comunque di aumentare il numero degli oggetti connessi nei prossimi diciotto mesi, considerando la connettività IoT una priorità per il management. Emerge quindi un quadro di imprese sempre più dipendenti da infrastrutture tecnologiche collegate a internet, che indubbiamente possono migliorare l’efficienza dei processi, ma la cui gestione comporta d’altra parte criticità non indifferenti, con ulteriori esigenze di governance, manutenzione, cybersecurity, e business continuity.

Gestire la sicurezza già prima dell’acquisto

Anche se contro i cyber attacchi non esiste mai il “rischio zero”, le imprese possono comunque adottare un approccio efficace per la sicurezza e la riservatezza delle informazioni facendo riferimento a standard riconosciuti a livello internazionale come quelli della Norma ISO/IEC 27400:2022, “Cybersecurity — IoT security and privacy — Guidelines”, che fornisce indicazioni sui rischi, sui princìpi e sui controlli da considerare nella protezione degli ecosistemi IoT.

Uno dei task raccomandati per ridurre i rischi dell’Internet of Things riguarda le decisioni di acquisto. Prima di introdurre un dispositivo connesso, un’azienda dovrebbe valutarne non soltanto il prezzo e le prestazioni, ma anche l’affidabilità del produttore, le garanzie di sicurezza e la durata dell’assistenza. Un macchinario può essere progettato per funzionare perfettamente per molti anni, ma potrebbe diventare vulnerabile prima del previsto se il fornitore dovesse smettere di fornire gli aggiornamenti. È quindi importante prevedere nei contratti precisi impegni sulla manutenzione, sulla gestione degli incidenti, e sulla possibilità di continuare a utilizzare le apparecchiature anche quando vengono meno i servizi esterni.

Un’altra priorità, è quella di dotarsi di una mappatura completa e aggiornata dei dispositivi IoT per conoscere esattamente quali strumenti sono collegati alle reti aziendali. Telecamere, sensori, impianti di climatizzazione e macchinari intelligenti dovrebbero essere censiti, individuando quelli più importanti per la continuità dell’attività, e anche correttamente dismessi quando non vengono più utilizzati. Non è infatti raro che apparecchiature acquistate dalle singole funzioni aziendali sfuggano al controllo dei responsabili informatici, diventando potenziali punti di accesso per i criminali. Occorre inoltre evitare che un dispositivo secondario possa compromettere sistemi più importanti: ad esempio, una telecamera o un termostato non dovrebbero essere in grado di comunicare con gli archivi contenenti dati riservati. Anche gli accessi dei fornitori e dei manutentori esterni devono essere limitati alle effettive necessità operative.

Una protezione adeguata richiede poi un’attenzione costante. Non basta installare apparecchiature sicure: bisogna verificare periodicamente che siano aggiornate, individuare tempestivamente eventuali anomalie, e stabilire chi debba intervenire in caso di incidente. Quando un dispositivo non può più essere aggiornato, occorre valutarne la sostituzione o limitarne i collegamenti con altri sistemi. Le tecnologie di monitoraggio, anche basate sull’intelligenza artificiale, possono aiutare a riconoscere comportamenti sospetti, ma devono essere accompagnate da responsabilità e procedure chiare, che comprendano anche misure tecniche ed organizzative che garantiscano la continuità operativa nel caso in cui un dispositivo non sia gestibile da remoto a causa di guasti, black-out, o calamità naturali.

Infine, è opportuno valutare quali informazioni sia davvero necessario raccogliere e trasferire verso piattaforme esterne, evitando collegamenti e trattamenti superflui. Anche per quanto riguarda la compliance al GDPR, occorre sempre verificare se i dispositivi trattino dati personali, coinvolgendo in tal caso il Data Protection Officer (se designato), oppure un professionista che supporti l’azienda nell’individuare i rischi per la privacy prima che diventino problemi organizzativi o legali.

Non tutti gli strumenti aziendali devono essere necessariamente connessi

Esiste poi una questione che dovrebbe precedere qualsiasi valutazione tecnica: è davvero indispensabile e opportuno che un determinato dispositivo sia collegato a internet? la possibilità di connetterlo alla rete non implica automaticamente che farlo sia la soluzione migliore, e in certi casi le stesse funzioni potrebbero essere svolte efficacemente anche da un apparecchio tradizionale. Prima di affidarsi esclusivamente a dispositivi intelligenti solamente perché sono più moderni, è quindi opportuno fare un’adeguata analisi dei benefici effettivi rispetto ai costi e ai rischi introdotti.

Per esempio, un sistema di climatizzazione può trarre vantaggio dal controllo remoto quando gestisce numerosi edifici, ma in un piccolo ufficio potrebbe bastare un impianto programmabile localmente. Fare questo tipo di valutazioni non significa rinunciare all’innovazione, ma adottare un principio di proporzionalità: dove la connessione offre vantaggi concreti, conviene adottarla con adeguate misure di sicurezza; ma dove invece non aggiunge un valore reale può essere preferibile evitarla, e in certi casi la soluzione più semplice potrebbe essere davvero anche la più sicura ed economica.

Una responsabilità che riguarda il management

La sicurezza dei dispositivi connessi non può essere considerata una questione riservata ai tecnici informatici, perché coinvolge acquisti, produzione, manutenzione, gestione dei fornitori e continuità operativa, e anche il quadro normativo europeo prevede specifici obblighi di gestione del rischio e responsabilità in capo a organi di amministrazione e direzione per i soggetti che rientrano nel perimetro di applicazione della Direttiva NIS2.

I vertici aziendali dovrebbero quindi farsi consegnare report periodici sul numero di dispositivi critici non aggiornati, sulle vulnerabilità ancora aperte, sulle dipendenze dai fornitori, e sui tempi necessari per ripristinare i servizi essenziali, così da essere in grado di valutare investimenti e priorità.

Per il management la sfida è dunque quella di saper conciliare l’innovazione con la protezione dei dati aziendali, scegliendo le soluzioni che migliorano davvero il business senza esporsi a rischi sproporzionati, come quelli che negli ultimi tempi si sono concretizzati sempre più frequentemente con scenari di vera e propria guerra ibrida che hanno seriamente danneggiato le aziende che si sono fatte cogliere impreparate.

*Presidente di Fedeprivacy