Dall'IA generativa alla cyber resilienza, fino alla minaccia quantistica: sfide non più rinviabili che ridisegnano il ruolo del CISO.

Introduzione

Il 2026 si apre come un anno di forte discontinuità per la cybersecurity: le organizzazioni devono fronteggiare una crescente complessità del rischio in un contesto di risorse sempre più limitate e di minacce in costante evoluzione. In particolare, i CISO si trovano al centro di una convergenza critica di tre forze trasformative che stanno ridefinendo, in profondità, il perimetro del rischio aziendale, imponendo ai CISO una revisione sostanziale delle priorità di governance, protezione e continuità operativa.

A conferma di questo quadro, il white paper “Cefriel Innovation Trend 2026” di CEFRIEL individua cinque direttrici tecnologiche chiave per la costruzione della Digital Company 2030 e, precisamente: Quantum Computing, HumanAI Collaboration, Cognitive Factory, Digital Trust & Cybersecurity e KnowledgeCentric Society, delineando un contesto in cui sicurezza e innovazione diventano sempre più interdipendenti.

I tre trend 2026 che impattano sull’agenda del CISO

Nel 2026, l’agenda del CISO si concentra su tre priorità strategiche non più rinviabili, che richiedono un cambio di paradigma nella gestione del rischio, della continuità e della fiducia digitale.

Trend 1 - La minaccia dell’IAGen: quando l'innovazione diventa vettore di attacco

L’IAGen è ormai ampiamente diffusa all’interno delle organizzazioni e, in molti casi, la sua adozione è avvenuta in modo spontaneo, anticipando la capacità della funzione di cybersecurity di valutarne gli impatti ed i rischi. Ne consegue che il fenomeno della shadow AI - evoluzione naturale dello shadow IT, ma con implicazioni sensibilmente più profonde - si configura come una delle sfide più complesse e delicate che i CISO sono chiamati ad affrontare nel 2026.

Inoltre, l’IAGen non rappresenta soltanto un tema di governance interna, ma è anche un potente abilitatore nelle mani degli attaccanti: l’accelerazione nell’adozione dell’AI e l’emergere di nuovi vettori di attacco rappresentano le minacce che destano maggiore preoccupazione tra i responsabili della sicurezza.

Tecniche come i deepfake vocali, impiegate in schemi di Business Email Compromise (BEC) sempre più sofisticati, sono in grado di aggirare i controlli umani con una facilità impensabile fino a pochi anni fa. Non sorprende, dunque, che le frodi basate su meccanismi di impersonificazione tramite l’IA abbiano registrato una crescita esponenziale nell’ultimo anno.

Il CISO, in questo contesto, è chiamato a un deciso cambio di passo: non solo individuare e comprendere le nuove superfici di rischio introdotte dall’IAGen e dalle applicazioni agentiche, ma anche sviluppare una reale maturità di AI security. Ciò implica l’integrazione di controlli di sicurezza lungo l’intero ciclo di vita dell’IA che si traduce in alcune priorità chiave, quali:

• Il censimento completo degli strumenti di IA in uso, inclusi quelli non autorizzati.
• La definizione di policy chiare e comprensibili per l’intera popolazione aziendale.
• Il rafforzamento delle competenze di cybersecurity nei team di sviluppo.
• L’introduzione di metriche capaci di misurare e governare l’esposizione al rischio legato all’IA.

Di fatto, il ruolo del CISO evolve da semplice “controllore” dell’adozione tecnologica a promotore responsabile dell’uso dell’IA, essendo chiamato a bilanciare innovazione, rischio e valore di business. La priorità del CISO si sposta, così, dal controllo ex post all’abilitazione governata dell’innovazione: l’AI non è più un ambito sperimentale, ma una componente strutturale del perimetro di rischio aziendale

Trend 2 — Cyber resilienza end-to-end 

La cyber resilienza si afferma come requisito strutturale per rispondere alle crescenti aspettative normative e di vigilanza europee, sempre più orientate a una gestione integrata del rischio e alla responsabilità diretta dei vertici aziendali. Pertanto, la resilienza non può più essere confinata ai tradizionali piani di IT recovery, ma deve estendersi all’intera organizzazione, includendo in modo coordinato il crisis management e la crisis communication, i.e. dalla gestione degli impatti legali e regolatori alle relazioni con media e stakeholder, fino alle comunicazioni verso il mercato e all’allineamento dell’ecosistema dei fornitori, la continuità operativa diventa una responsabilità condivisa e trasversale.

La cyber resilienza, quindi, evolve da insieme di misure difensive a capacità organizzativa trasversale, direttamente connessa alla continuità operativa e alla responsabilità dei vertici aziendali. Inoltre, la capacità di garantire continuità anche in condizioni di attacco rappresenta un fattore distintivo sempre più rilevante: le organizzazioni che investono in architetture Zero Trust, segmentazione della rete, gestione evoluta delle identità e pratiche di verifica continua non solo riducono l’esposizione al rischio, ma rafforzano la propria credibilità verso clienti, partner e stakeholder, offrendo livelli di affidabilità difficilmente replicabili da realtà meno mature.

Sul piano operativo, tale approccio richiede un ripensamento profondo delle priorità del CISO. In ecosistemi IT/OT sempre più interconnessi, il governo dell’identità emerge come fulcro della resilienza. L’adozione di un modello Zero Trust, basato sulla verifica costante di ogni accesso e sulla limitazione sistematica dei privilegi, deve essere sostenuta da una strategia strutturata di Identity and Access Management (IAM) e Privileged Access Management (PAM), capace di ridurre in modo duraturo i rischi derivanti da credenziali compromesse e accessi eccessivi.

In parallelo, le soluzioni di file management e i sistemi di Data Loss Prevention (DLP) assumono un ruolo centrale nella protezione della confidenzialità e nel controllo dei flussi informativi, contribuendo a prevenire fenomeni di esfiltrazione e utilizzo improprio dei dati.

È importante evidenziare che l’obiettivo non è moltiplicare i meccanismi difensivi, ma verificare in modo continuo la capacità dell’organizzazione di prevenire, rilevare e rispondere a scenari di attacco realistici. Esercizi di red teaming estesi, tabletop exercise che coinvolgano anche il board e test mirati sugli ambienti IT/OT diventano strumenti essenziali per misurare la resilienza reale, non quella dichiarata.

Trend 3 - Quantum computing & crittografia postquantistica: tempus fugit

Il quantum computing è spesso collocato dai CISO su un orizzonte temporale percepito come remoto, con la conseguente tendenza a considerarlo una minaccia futura e non prioritaria. Tale impostazione, tuttavia, rischia di produrre esposizioni significative nel medio‑lungo periodo.

È necessario introdurre, sin d’ora, il tema della crypto‑agility e della sostenibilità nel tempo delle scelte crittografiche, anche in assenza di un impatto immediato. Sul piano della sicurezza, ciò implica che gli algoritmi crittografici asimmetrici, alla base della maggior parte delle comunicazioni sicure (in particolare RSA ed ECC), potrebbero perdere le proprie garanzie di robustezza a fronte di sistemi quantistici sufficientemente evoluti.

Nel breve‑medio termine, la minaccia più concreta è rappresentata dalla strategia “harvest now, decrypt later”: attori avanzati stanno già oggi intercettando e accumulando grandi volumi di dati cifrati – i.e. comunicazioni, transazioni e informazioni ad alto valore - con l’obiettivo di decifrarli in futuro, una volta disponibili capacità quantistiche adeguate. Ne consegue che la protezione delle informazioni sensibili non può più essere valutata su orizzonti tattici, ma deve essere ripensata secondo una prospettiva temporale di lungo periodo.

Conclusione

Oggi, non è più sufficiente proteggere il perimetro tecnologico: occorre proteggere il valore aziendale lungo l’intera catena decisionale, garantendo cyber resilienza endtoend, salvaguardia delle identità, protezione della confidenzialità dei dati e sostenibilità nel tempo delle scelte di sicurezza, anche in ottica di compliance e preparazione postquantistica.

Di fatto, cyber resilienza, data protection e PQC non sono più iniziative tecniche isolate, ma componenti strutturali della strategia d’impresa e della responsabilità fiduciaria verso clienti, stakeholder e autorità di vigilanza.

Tale cambiamento richiede anche un nuovo paradigma di valutazione della postura di sicurezza, non più basato esclusivamente sul livello di maturità, ma sulla capacità di risposta nel tempo. In tale prospettiva, governare il rischio significa governare la velocità delle decisioni, la definizione delle priorità e il coordinamento tra le diverse funzioni aziendali.

A livello tattico, ciò si traduce nella necessità di concentrare l’attenzione su alcuni snodi critici — identità, canali di accesso remoto, meccanismi di controllo, flussi informativi e processi di aggiornamento — sui quali si fonda la resilienza effettiva dell’organizzazione.

Il CISO, in questo scenario, assume un ruolo centrale nel governo delle scelte strategiche: la sicurezza evolve definitivamente da centro di costo a leva di fiducia, resilienza e vantaggio competitivo.”

Concludendo, la resilienza, oggi, è una capacità di governo che determina la fiducia del mercato e la sostenibilità del business.