Oltre i confini perimetrali: la resilienza cyber-fisica, la gestione delle catene di fornitura e la sicurezza del personale stanno ridefinendo la difesa delle infrastrutture critiche.

La protezione delle infrastrutture critiche nasce dalla consapevolezza che determinati sistemi e servizi sono essenziali per il funzionamento delle società moderne, il benessere dei cittadini, la sicurezza nazionale e la stabilità economica di un Paese. Tuttavia, la criticità di tali sistemi non dipende solo dall’importanza intrinseca dei servizi erogati, ma deriva anche dalla loro complessa architettura e, soprattutto, dalla densa rete di interdipendenze che collega infrastrutture appartenenti a settori diversi. Se da un lato queste interconnessioni generano efficienza ed economie di scala in condizioni operative ordinarie, dall’altro possono trasformarsi in canali di trasmissione attraverso cui un guasto locale si propaga tra settori e regioni geografiche, innescando disservizi a cascata e potenzialmente sistemici.

Sebbene il tema della protezione delle infrastrutture critiche sia emerso negli anni ’90, gli eventi dell’11 settembre 2001 ne hanno profondamente ridefinito la percezione, consolidando l’esigenza di difendere gli asset strategici da attacchi deliberati condotti da attori intenzionati a massimizzare l’impatto sociale, economico e psicologico. In Europa, questa visione ha trovato una prima formalizzazione nella Direttiva 2008/114/CE del Consiglio, che ha stabilito la procedura per individuare e designare le infrastrutture critiche europee e la necessità di una loro effettiva protezione.

Una delle svolte concettuali più rilevanti è stata il riconoscimento della natura intrinsecamente cyber-fisica delle infrastrutture moderne

Una delle svolte concettuali più rilevanti è stata il riconoscimento della natura intrinsecamente cyber-fisica delle infrastrutture moderne, portando negli anni 2010 all’introduzione del termine CIIP (Critical Information Infrastructure Protection). In questo acronimo l’aggettivo “informatica” sottolinea che il digitale non serviva più solo per la fatturazione o le attività amministrative, ma diventa fondamentale per il monitoraggio, il controllo e il funzionamento operativo dei diversi processi fisici. Lo strato cyber ha acquisito una tale rilevanza e embedeness che una distinzione tra infrastruttura fisica e il suo stratto informativo ha perso gran parte del suo significato pratico.

Però tali tecnologie interagendo direttamente con l’ambiente fisico richiedono garanzie di sicurezza informatica che preservino simultaneamente prestazioni, affidabilità, disponibilità e safety.

 In un’infrastruttura cyber-fisica, cybersecurity e sicurezza fisica non possono più essere gestite come silos separati. La convergenza dei rischi ha spinto le organizzazioni avanzate a integrare la Corporate Security e l’Information Security sotto un unico Chief Security Officer (CSO).

Non ci sono solo attori ostili

I grandi blackout elettrici che hanno colpito l’America del Nord e l’Europa nel 2003 hanno impartito una lezione fondamentale: l’interruzione di un’infrastruttura non richiede necessariamente un attore ostile. Sistemi complessi possono generare conseguenze catastrofiche anche a causa di combinazioni imprevedibili di guasti tecnici, carenze organizzative e dinamiche a cascata. Più di recente, i cambiamenti climatici e la maggiore frequenza di eventi meteorologici estremi hanno ulteriormente sollecitato infrastrutture spesso progettate su assunzioni ambientali non più valide.

Questi fattori hanno favorito il passaggio dalla “protezione” alla “resilienza”. Mentre la protezione si interroga su come prevenire o bloccare un evento avverso, la resilienza parte dalla consapevolezza che non tutti gli eventi avversi possono essere evitati. La domanda centrale diventa quindi come il sistema possa assorbire tale evento, preservare le funzioni essenziali e ripristinare livelli di servizio accettabili in tempi rapidi. Questo approccio, che si basa sul paradigma della resilienza in una ottica “all-hazards”, è codificato, per altro, nelle recenti direttive dell’Unione Europea CER e NIS2 nonché nel National Security Memorandum USA del 2024 sulla sicurezza e resilienza delle infrastrutture critiche.

Per decenni, la protezione si è basata su un modello sostanzialmente perimetrale: l’asset da proteggere risiedeva all’interno, mentre la minaccia incombeva all’esterno. A partire dal 2020, tuttavia, l’inadeguatezza di questo schema è apparsa evidente. La pandemia da COVID-19, le tensioni geopolitiche, le restrizioni commerciali e una serie di incidenti informatici su vasta scala hanno dimostrato che la continuità di un servizio essenziale dipende non solo da ciò che l’operatore controlla direttamente, ma dall’intera catena del valore: fornitori, subappaltatori, logistica, ricambi, materie prime, ecc..

La globalizzazione ha incrementato l’efficienza e ridotto i costi

La globalizzazione ha incrementato l’efficienza e ridotto i costi, ma ha anche generato catene di fornitura lunghe, in parte opache e spesso caratterizzate dalla presenza di un esiguo numero di operatori specializzati. In molti contesti, un unico fornitore tecnologico serve una pluralità di operatori, settori e paesi. Tale concentrazione crea le precondizioni per eventi di common-mode failures: un singolo evento, una crisi aziendale o una compromissione cyber possono impattare simultaneamente decine di organizzazioni critiche.

Nelle infrastrutture cyber-fisiche, questa dipendenza è rafforzata dai flussi continui di dati e comandi tra le apparecchiature installate, la casa madre e il provider di servizi. Queste connessioni, necessarie per diagnostica, aggiornamenti, manutenzione predittiva e risposta agli incidenti, creano al contempo canali privilegiati che travalicano molto spesso i perimetri di sicurezza ed i confini nazionali.

Un fornitore in grado di aggiornare da remoto un firmware, modificare una configurazione o riavviare un componente non è un soggetto esterno: sotto il profilo operativo e di sicurezza, è un attore che opera già all’interno dell’infrastruttura.

La gestione del rischio lungo la catena di fornitura si configura dunque come una componente imprescindibile della resilienza.

È in questo contesto che la sovranità tecnologica assume un valore strategico per le infrastrutture critiche. Essa non va confusa con l’autarchia o con il rifiuto della cooperazione internazionale, bensì intesa come la capacità di un’organizzazione o di un Paese di assumere decisioni libere, consapevoli e autonome sulle tecnologie da cui dipendono le proprie funzioni essenziali.

Per un operatore di infrastrutture critiche, la sovranità tecnologica si traduce in precise facoltà operative

Per un operatore di infrastrutture critiche, la sovranità tecnologica si traduce in precise facoltà operative: identificare le dipendenze critiche (sia di primo, ma anche di secondo e terzo livello), monitorare  le filiere per determinarne vulnerabilità e criticità, operare con ottiche che non si limitino a perseguire la massima efficienza economica ma che considerino anche la resilienza, i dal punto di vista stabilire le condizioni di accesso dei fornitori, verificare la sicurezza delle funzioni chiave, preservare modalità operative degraded/alternative e poter sostituire un fornitore senza causare interruzioni inaccettabili del servizio.

Pertanto, la sovranità tecnologica per un operatore di infrastrutture critiche non è definita semplicemente dalla nazionalità del un vendor. Un sistema proprietario a “scatola chiusa”, non ispezionabile, può rappresentare anch’esso un rischio significativo. In ottica di resilienza, quello che andrebbe perseguito solo soluzioni che si basano su standard internazionali, interfacce trasparenti, componenti verificabili e garanzie contrattuali solide.

L’attenzione normativa dell’UE per la catena del valore

Questo considerazioni sono, per altro, alla base dell’accresciuta attenzione rivolta dalla Unione Europea alla catena del valore come espresso dai diversi atti legislativi prodotti negli ultimi anni fra cui: EU Chips Act, il Critical Raw Materials Act, il Cyber Resilience Act oltre alla Comunicazione della Commissione Europea del 2026 sulla Sovranità Tecnologica e sulla Strategia Open Source.

Sul piano pratico, gli operatori devono tradurre queste direttive in azioni concrete: mappare i fornitori e le dipendenze, identificare i Single Point of Failure tecnologici, costituire scorte strategiche di ricambi, esigere interoperabilità e portabilità dei dati, definire clausole sulla notifica delle vulnerabilità e degli incidenti, monitorare i privilegi di accesso remoto e predisporre piani realistici di uscita e sostituzione del vendor.

Le decisioni d’acquisto si trasformano così in decisioni di sicurezza aziendale. Il costo iniziale più basso può nascondere vincoli pluriennali di lock-in, supporto remoto opaco e costi di uscita insostenibili. È fondamentale valutare non solo se un prodotto soddisfa i requisiti funzionali, ma se l’organizzazione manterrà la capacità di gestirlo, proteggerlo e sostituirlo anche in scenari di crisi.

Unitamente alla tecnologia e alle Supply Chain, anche il fattore umano è ormai entrato a pieno titolo all’interno del perimetro di sicurezza. Tradizionalmente, la minaccia interna (insider threat) veniva associata a dipendenti “scontenti” che causavano danni abusando intenzionalmente o sbadatamente dei propri accessi legittimi. Tuttavia, considerare l’insider unicamente come un individuo problematico è riduttivo: il rischio interno nasce dall’interazione dinamica tra livello di accesso, autorità, opportunità, controlli organizzativi, vulnerabilità personali e sollecitazioni esterne.

È errato liquidare l’essere umano come il mero “anello debole” della catena

È errato liquidare l’essere umano come il mero “anello debole” della catena. In realtà, le persone costituiscono il principale elemento adattivo di un’organizzazione complessa. Durante un’emergenza imprevista, è la competenza umana che interpreta informazioni incomplete, individua anomalie non previste dagli algoritmi, improvvisa procedure di sicurezza e ripristina i servizi. Ma quella stessa autonomia decisionale rappresenta anche una superficie d’attacco.

Questa duplice veste è riconosciuta esplicitamente dalla Direttiva CER (Art. 14), che consente di richiedere screening di sicurezza (background check) per il personale assegnato a ruoli sensibili, così come dalla Direttiva NIS2, che annovera la sicurezza delle risorse umane, la formazione e il controllo degli accessi tra le misure obbligatorie di gestione del rischio.

Importanza e limiti dei controlli preventivi

I controlli preventivi sul personale sono utili, ma costituiscono una fotografia istantanea: non possono prevedere l’evoluzione futura delle dinamiche personali né impedire che un dipendente venga successivamente coartato, manipolato o reclutato. La sicurezza del personale deve pertanto abbracciare l’intero ciclo di vita lavorativo: dal recruiting all’onboarding, dai cambi di mansione alla revisione periodica dei privilegi, fino all’offboarding.

Inoltre, il fenomeno dell’insider si è evoluto. Non assistiamo solo all’azione isolata del dipendente scontento o ideologicamente motivato: attori statali e gruppi cybercriminali strutturati tentano attivamente di reclutare individui che operino all’interno di organizzazioni target. In diversi casi l’adescamento avviene attraverso un processo graduale di manipolazione che parte da contatti professionali apparentemente innocui e si sviluppa attraverso la costruzione di un rapporto di fiducia fra l’attaccante e la vittima. Rapporto che si istanzia con piccoli regali a cui seguono modesti compensi a fronte di richieste minime e, almeno all’inizio, anche legittime, che però spostamento progressivamente il confine tra ciò che percepito dal dipendente come è lecito e ciò che è illecito, normalizzando in questo modo comportamenti prima inaccettabili.

Ovviamente, la mitigazione del rischio insider non deve trasformarsi in una sorveglianza indiscriminata. Un monitoraggio invasivo e punitivo distrugge la fiducia, inibisce la segnalazione spontanea degli errori e isola il lavoratore, creando proprio quelle vulnerabilità che i reclutatori ostili cercano di sfruttare. Un programma maturo deve coniugare controlli tecnici proporzionati con una solida cultura aziendale, un welfare premiale ed inclusivo, canali trasparenti di segnalazione e garanzie di tutela per chi riferisce di essere stato contattato o si trova in situazioni di difficoltà personali o finanziaria.

In molte organizzazioni è prassi consolidata segnalare le e-mail di phishing al team di sicurezza. È fondamentale estendere questa stessa cultura della trasparenza alla segnalazione tempestiva di tentativi di contatto sospetti o offerte d’ingaggio insolite.

Il valore dlel’AI

L’avvento dell’Intelligenza Artificiale aggiunge un ulteriore livello di complessità. Se da un lato l’IA può automatizzare compiti routinari e compensare la carenza di personale, dall’altro rischia di contrarre le opportunità di apprendimento per i profili junior, impoverendo le competenze generali e concentrando il know-how critico nelle mani di pochissimi specialisti. Se solo un ristretto gruppo comprende il funzionamento di un processo assistito da IA, l’organizzazione diventa estremamente fragile di fronte a scenari di crisi o indisponibilità di tale personale.

Inoltre, l’IA Generativa riduce drasticamente i costi di creazione di campagne di ingegneria sociale mirate, impersonificazioni vocali (deepfake) e profili sintetici ad alta credibilità, facilitando l’adescamento degli insider.

Con la delega crescente di decisioni ad agenti autonomi di IA, la distinzione tradizionale tra insider umano e sistema tecnico sfuma. Un agente IA con permessi di accesso alle reti o ai sistemi d’acquisto esercita un’autorità delegata analoga a quella di un utente privilegiato. La domanda di sicurezza del futuro non sarà solo “chi è autorizzato ad agire”, ma anche “quali sistemi automatizzati possono agire per suo conto, con quali vincoli e con quale grado di reversibilità”.

L’evoluzione della protezione delle infrastrutture critiche può essere letta come un’espansione progressiva di ciò che si trova “all’interno” del perimetro. Inizialmente si è iniziato a prendere in considerazioni le dipendenze diretta fra le diverse infrastrutture, poi ci si è resi conto della necessità di gestire in modo adeguata ed integrato la sicurezza cyber; successivamente le catene di fornitura sono state individuate quali potenziali elementi di vulnerabilità; oggi si sta iniziando a prendere coscienza che la rete umana di dipendenti, fornitori e consulenti è una risorsa essenziale per qualunque azienda, ma anche un elemento da considerare e proteggere in ottica di resilienza.

Bisogna ragionare in termini di perimetro integrato

La necessità della protezione del perimetro fisico di una azienda non è scomparso, ma non è più sufficiente. Occorre ragionare in termini di perimetro integrato che ricomprenda tecnologia, organizzazione, persona il cui malfunzionamento, compromissione o manipolazione possa minacciare la resilienza dell’infrastruttura e l’erogazione dei servizi essenziali.

In questo scenario, sovranità tecnologica e sicurezza del fattore umano non sono accessori organizzativi, ma proprietà costitutive della resilienza. Un’infrastruttura è sovrana nella misura in cui comprende, governa, verifica e può sostituire le tecnologie da cui dipende. Analogamente, un’organizzazione è sicura non perché ha eliminato ogni margine di discrezionalità, ma perché sa assegnare l’autorità in modo responsabile, supporta le proprie persone, rileva le anomalie e valorizza la competenza umana necessaria per gestire l’imprevisto.

La sfida futura per la protezione delle infrastrutture critiche non si giocherà soltanto su cancelli, le recinzioni, i firewall che saranno istallati. Si deciderà nei contratti di procurement, nelle analisi di concentrazione dei fornitori, nelle politiche di sviluppo del capitale umano, nella cultura della sicurezza (nella duplice eccezione di Safety & Security)  e nella governance delle intelligenze artificiali. Garantire la resilienza significa governare queste relazioni preservando la libertà di azione tecnica, organizzativa e umana indispensabile quando la sola prevenzione non è più sufficiente.

Rielaborazione dell’articolo Setola, R. (2026). Critical infrastructure protection, technological sovereignty, and the human factor. International Journal of Critical Infrastructure Protection, 54, 100893.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo Protezione delle Infrastrutture Critiche, Sovranità Tecnologica e il Fattore Umano sembra essere il primo su CyberSecurity Italia.