Nick Lowther Direttore vendite per le grandi imprese, Australia e Nuova Zelanda

Nel giugno 2026, l’Australian Signals Directorate ha pubblicato un annuncio relativo a una dichiarazione congiunta delle agenzie di sicurezza informatica del gruppo Five Eyes. Il post, che rimanda direttamente al testo integrale della dichiarazione, riassume l’urgenza della posizione del governo australiano in materia di resilienza informatica:

L'intelligenza artificiale sta accelerando la velocità, la portata e la sofisticazione delle minacce informatiche, a un ritmo più rapido di quanto la maggior parte delle organizzazioni sia in grado di gestire. Considerato il potenziale che ciò comporta non solo in termini di interruzione delle attività operative, ma anche di perdite finanziarie e danni alla reputazione, il messaggio è chiaro: la resilienza informatica è ormai un rischio aziendale fondamentale, non solo una questione di IT. I dirigenti delle organizzazioni sono esortati ad agire subito.

Fonte: Australian Signals Directorate tramite LinkedIn

Questi messaggi fungono da punto di riferimento, sintetizzando e confermando le intense pressioni a cui sono sottoposti i dirigenti aziendali e i professionisti della sicurezza con cui collaboro quotidianamente in Australia e Nuova Zelanda.

Dietro questo messaggio urgente si cela un rischio reale e concreto che sta crescendo in modo esponenziale. Da anni, i leader mondiali nel campo della sicurezza informatica sottolineano l’importanza di adottare un approccio basato sul presupposto che la violazione sia già avvenuta. Ora è chiaro che le misure difensive, pur rimanendo fondamentali, non sono sufficienti. Le organizzazioni devono essere pronte a reagire e a riprendersi dagli attacchi più rapidamente, anche da quelli che non sono in grado di prevedere completamente.

L'intelligenza artificiale ha trasformato il panorama delle minacce. Ha cambiato il modo in cui gli hacker agiscono e il modo in cui difendiamo i nostri sistemi. Inoltre, sta cambiando il modo in cui i consigli di amministrazione devono affrontare l'intersezione tra l'adozione dell'intelligenza artificiale, la sicurezza delle identità e la risposta agli incidenti e il ripristino.


In breve: Punti chiave per i responsabili della sicurezza e i dirigenti aziendali

  • L'intelligenza artificiale sta accelerando i tempi nel mondo cibernetico e rendendo pericolose le ipotesi ormai superate.
  • Le agenzie dei Five Eyes hanno fatto della resilienza informatica una questione di leadership a livello di consiglio di amministrazione, non solo una questione di informatica.
  • Per la maggior parte delle aziende, la resilienza delle identità è fondamentale per la resilienza informatica, poiché Active Directory e le identità ibride sono alla base delle operazioni aziendali e dei processi di ripristino.
  • Il backup da solo non basta. Le organizzazioni devono dimostrare di essere in grado di ripristinare Active Directory a uno stato noto come "pulito" entro un RTO aziendale realistico.
  • I programmi più efficaci considerano la protezione dell’identità, il recupero responsabile e la gestione delle crisi come un’unica disciplina, anziché come progetti distinti.

Come l'adozione dell'IA stia attualmente accelerando i rischi informatici

Le grandi aziende australiane (così come le loro controparti in tutto il mondo) mi riferiscono di trovarsi in bilico tra le opportunità e le minacce poste dall’intelligenza artificiale. Secondo una ricerca di Semperis, la loro esperienza è fin troppo comune: ciò significa che le organizzazioni stanno concedendo agli agenti di intelligenza artificiale l’accesso diretto ai sistemi critici più rapidamente di quanto riescano a mettere in atto adeguate misure di protezione.

Nello studio intitolato “Lo stato della sicurezza delle identità nell’era dell’intelligenza artificiale”, ho scoperto che gli intervistati provenienti da organizzazioni australiane hanno confermato che:

  • Il 37% del loro personale dispone di sistemi di intelligenza artificiale installati sui propri computer locali, da cui è possibile accedere a SSH e alle chiavi di crittografia.
  • Il 24% delle organizzazioni utilizza già agenti basati sull'intelligenza artificiale per gestire i ticket dell'help desk relativi alla sicurezza, tra cui il ripristino delle password e l'accesso alla VPN.

Pur accelerando l’adozione degli agenti di intelligenza artificiale, gli intervistati riconoscono che l’aggiunta di identità degli agenti amplia notevolmente la superficie di attacco relativa alle identità.

  • L'80% degli intervistati australiani ritiene che l'intelligenza artificiale renderà più frequenti gli attacchi all'identità.
  • Il 65% prevede che gli hacker utilizzeranno l'intelligenza artificiale per prendere di mira la propria infrastruttura di gestione delle identità.

Le statistiche regionali che ho trovato nello studio di Semperis rispecchiano fedelmente i dati provenienti da tutte le regioni del mondo. Si tratta di un problema di portata mondiale.

Quando i consigli di amministrazione chiedono se l’organizzazione sia pronta ad affrontare un attacco informatico accelerato dall’intelligenza artificiale, molti team rispondono elencando una serie di misure di controllo: autenticazione a più fattori (MFA), rilevamento e risposta sugli endpoint (EDR), backup, applicazione delle patch, monitoraggio, esercitazioni teoriche. Sono tutte misure importanti.

Ma la realtà è che solo il 21% delle organizzazioni australiane — e appena il 32% delle organizzazioni a livello mondiale— ritiene di poter riprendere il controllo qualora un agente di intelligenza artificiale divulgasse le credenziali amministrative.

La dichiarazione delle agenzie di sicurezza informatica dei Five Eyes alza l’asticella. Il messaggio non è semplicemente che le organizzazioni debbano rafforzare le proprie difese, bensì che i dirigenti devono partire dal presupposto che le ipotesi sui rischi informatici possano diventare obsolete nel giro di mesi o addirittura settimane — e che la resilienza debba reggere alla pressione durante un incidente reale.

È uno standard che mette a disagio. Molte aziende non hanno mai verificato realmente se siano in grado di ripristinare i sistemi di gestione delle identità in modo rapido e completo a seguito di una violazione.

E poiché l’identità costituisce il piano di controllo aziendale, tale lacuna non è una semplice nota a margine di natura tecnica. Si tratta di un rischio aziendale con conseguenze operative, finanziarie e reputazionali.


Perché l’allarme lanciato dai Five Eyes sull’intelligenza artificiale è importante proprio ora

Le agenzie dei Five Eyes sono state concise e dirette nel loro comunicato di allerta. L’intelligenza artificiale sta già abbassando le barriere per gli attori malintenzionati, aumentando la velocità e la complessità degli attacchi e riducendo il lasso di tempo che intercorre tra la scoperta di una vulnerabilità e il suo sfruttamento specifico in ambito di identità.

Allo stesso tempo, sostengono che la resilienza informatica non sia più una questione puramente tecnica. Si tratta di una responsabilità della leadership legata alla continuità operativa, alla fiducia del mercato e al valore a lungo termine.

Tale inquadramento e tali specifiche dovrebbero essere di grande importanza per ogni CISO, responsabile IAM, amministratore di Active Directory e di identità ibride, responsabile SecOps e architetto aziendale. Ciò sposta l’attenzione dalla domanda “Disponiamo di controlli?” a “Siamo in grado di dimostrare che tali controlli funzioneranno durante un incidente reale, quando l’identità è sotto attacco?”.

Per la maggior parte delle aziende, la prova della resilienza risiede nel ripristino delle identità. Come sottolinea Semperis, il sistema di gestione delle identità è coinvolto nella maggior parte degli incidenti informatici e, nella maggior parte delle organizzazioni, tale sistema è un ambiente ibrido basato su Active Directory ed Entra ID.


La sfida che i consigli di amministrazione spesso trascurano: l’identità è al tempo stesso un obiettivo e un fattore di dipendenza

I responsabili della sicurezza hanno trascorso anni a spiegare che Active Directory è un'infrastruttura fondamentale. Ma la dichiarazione dei Five Eyes conferisce a tale argomentazione una nuova urgenza, poiché l'intelligenza artificiale riduce il tempo a disposizione per individuare, decidere e reagire.

Il problema non è solo che gli hacker prendono di mira l'identità. È che il resto dell'organizzazione dipende dall'identità per funzionare. Quando l'identità non è disponibile, anche la posta elettronica, le conferenze, l'accesso ai file, l'accesso ai servizi SaaS, i flussi di lavoro operativi e persino il coordinamento in caso di crisi possono subire interruzioni.

Ciò comporta un rischio combinato:

  • L'identità rappresenta una superficie di attacco di grande valore.
  • L'identità consente il movimento laterale e l'escalation dei privilegi.
  • L'identità è anche il sistema di cui l'azienda ha bisogno per recuperare tutto il resto.

Ecco perché i consigli di amministrazione non dovrebbero considerare il ripristino di Active Directory come una semplice operazione di backup. AD è un database replicato multi-master con requisiti di ripristino rigorosi, e un ripristino eseguito in modo errato può prolungare i tempi di inattività, consentire agli autori degli attacchi di mantenere la propria presenza nel sistema o costringere i team a ricominciare da capo.


Perché l'intelligenza artificiale rende ancora più urgente la questione del recupero dell'identità

Le linee guida dei Five Eyes non affermano che l’intelligenza artificiale modifichi ogni principio della sicurezza informatica. Infatti, gran parte dei consigli è di carattere fondamentale: ridurre l’esposizione, accelerare l’applicazione delle patch, dismettere i sistemi obsoleti, rafforzare i controlli di identità e di accesso, partire dal presupposto che si verificheranno violazioni e testare in anticipo i piani di risposta.

Ciò che l’intelligenza artificiale cambia è la velocità e la portata con cui le vulnerabilità possono essere individuate e sfruttate. Ciò significa che presupposti consolidati come “avremo tempo per indagare”, “possiamo risolvere il problema manualmente” o “il nostro backup è probabilmente sufficiente” diventano più difficili da sostenere.

Per i team che si occupano di sicurezza delle identità, l’implicazione fondamentale è questa: la preparazione al ripristino deve essere considerata una capacità in continua evoluzione, non un documento statico. Se gli aggressori sono in grado di agire più rapidamente, le organizzazioni devono esserne consapevoli in anticipo:

  • Quanto tempo occorre per ripristinare l'AD a uno stato di funzionamento corretto
  • Se i backup sono integri
  • Se i percorsi di accesso privilegiati siano stati individuati e ridotti
  • Se la comunicazione di crisi e il processo decisionale possano proseguire in caso di malfunzionamento degli strumenti che dipendono dall'identità

Si tratta di questioni di livello dirigenziale, poiché determinano se un incidente informatico si tradurrà in un’interruzione circoscritta o in una crisi aziendale prolungata.


Il divario tra il backup e la vera resilienza dell’identità

Una delle distinzioni più importanti in materia di resilienza dell'identità è la differenza tra il disporre di un backup e l'essere in grado di ripristinare uno stato affidabile.

Semperis lo sottolinea chiaramente: ciò che conta è il ripristino, non il semplice backup.

Chiunque può affermare di aver eseguito il backup di Active Directory. La domanda più complessa è se l’organizzazione sia in grado di ripristinarlo in modo tale da ripristinare una capacità di identità affidabile sufficiente a supportare le operazioni della “minimum viable company” (MVC) entro i tempi richiesti.

Questa distinzione è importante perché i sistemi di gestione delle identità compromessi non lo sono in un solo modo. Gli aggressori possono compromettere i sistemi operativi che ospitano AD, ma possono anche creare una presenza persistente all’interno dello stesso database di AD tramite account con privilegi, modifiche alle autorizzazioni, appartenenze non autorizzate o altre backdoor. Il ripristino troppo affrettato di un backup errato può semplicemente reintrodurre il punto d’appoggio dell’aggressore.

È proprio su questo punto che molti programmi di resilienza risultano ancora immaturi. Dispongono di politiche di backup e possono persino avere manuali operativi per il ripristino, ma non hanno dimostrato che sia possibile ripristinare le identità in modo corretto, entro un obiettivo di tempo di ripristino (RTO) realistico, nelle condizioni di stress e confusione tipiche di una vera e propria crisi informatica.

Cosa dovrebbero chiedere ora i consigli di amministrazione alla dirigenza

Se la dichiarazione dei Five Eyes rappresenta un invito ad assumere un ruolo di leadership, i consigli di amministrazione devono porre domande concrete. Tra quelle più pertinenti figurano:

  • È possibile ripristinare Active Directory a uno stato notoriamente pulito? Il ripristino rapido è importante, ma il ripristino pulito lo è ancora di più. I dirigenti dovrebbero chiedersi in che modo l’organizzazione verifica che il punto di ripristino sia affidabile e che la persistenza a livello di identità non sopravviva al ripristino.
  • Abbiamo testato il ripristino in base al nostro RTO aziendale effettivo? Un obiettivo di ripristino di AD ha senso solo se consente di ripristinare un numero sufficiente di servizi di identità a supporto delle applicazioni critiche e dei processi aziendali dell’organizzazione. Il ripristino di un singolo controller di dominio non equivale al ripristino delle operazioni aziendali.
  • Sappiamo quali sono le vulnerabilità relative alle identità più rilevanti? Le linee guida dei Five Eyes pongono l’accento sui controlli fondamentali e sulla riduzione dell’esposizione. In pratica, ciò comporta la comprensione dei percorsi privilegiati, degli accessi amministrativi non più necessari, delle configurazioni errate, dei rischi legati alla delega e dei controlli deboli sulle identità che gli aggressori possono concatenare tra loro.
  • Il team di risposta è in grado di coordinarsi se i sistemi che dipendono dall’identità non sono disponibili? Un piano di ripristino che presupponga che la posta elettronica, le condivisioni di file e le normali comunicazioni continuino a funzionare durante un’interruzione dei servizi di identità è incompleto. La gestione delle crisi deve funzionare indipendentemente dai sistemi oggetto di ripristino, con una capacità di comunicazione e coordinamento fuori banda (come Semperis Ready1) che garantisca che le squadre di risposta possano continuare a collaborare per tutta la durata dell’incidente.
  • Abbiamo effettuato questa verifica abbastanza di recente? Se le ipotesi relative ai rischi informatici possono diventare obsolete nel giro di pochi mesi, la verifica della resilienza non può limitarsi a una semplice spunta annuale. Deve essere simulata con sufficiente frequenza da riflettere l’architettura attuale, le dipendenze attuali e i percorsi di attacco attuali.

In che cosa consiste la preparazione pratica

La buona notizia contenuta nella dichiarazione dei Five Eyes è che la risposta non è “acquistare più strumenti”.

Le agenzie invitano esplicitamente i responsabili a concentrarsi sugli aspetti fondamentali, su un’esecuzione disciplinata e sull’uso mirato dell’intelligenza artificiale per migliorare la difesa laddove questa apporta valore aggiunto.
Per gli ambienti di identità ibridi, la preparazione pratica comprende solitamente diverse azioni.


Ridurre le vie di attacco basate sull'identità

Rafforzare gli accessi privilegiati, eliminare le esposizioni non necessarie, verificare regolarmente le autorizzazioni e identificare le vie di attacco ad alto rischio verso le risorse di livello 0 prima che lo faccia un avversario.


Migliorare la visibilità sui comportamenti specifici relativi alle identità

La registrazione generale è importante, ma gli attacchi all'identità richiedono spesso un contesto specifico di AD per individuare modifiche pericolose quali l'attività DCSync, il comportamento "Golden Ticket ", la manipolazione dei gruppi con privilegi o l'abuso di AdminSDHolder.


Verifica il ripristino così come lo sperimenterebbe l'azienda

Un test di ripristino significativo verifica se i servizi di identità tornino operativi nel giusto ordine, con le giuste dipendenze e su una scala sufficiente per le operazioni critiche. Verifica inoltre se i team siano in grado di operare sotto pressione e di comunicare in modo efficace durante l’intero incidente.


Considerare la gestione delle crisi e il recupero dell'identità come due aspetti indissociabili

Il ripristino dell’identità non è solo un’operazione tecnica di ripristino. Si tratta anche di un problema di coordinamento che coinvolge dirigenti, team legali, team addetti alle infrastrutture, responsabili delle applicazioni, addetti alla risposta e, spesso, soggetti esterni. Le organizzazioni che riescono a gestire bene entrambi questi aspetti si riprendono più rapidamente e con meno confusione.


Il ruolo di Semperis come consulente di fiducia

Semperis offre il massimo valore in questo contesto quando l'obiettivo non è semplicemente quello di vendere un prodotto, ma di aiutare le organizzazioni a colmare il divario tra i piani di sicurezza delle identità e la resilienza effettiva delle identità.

Si può iniziare con la comprensione dell’esposizione. Semperis offre strumenti gratuiti e pratici per valutare lo stato di sicurezza delle identità, tra cui Purple Knight la valutazione delle vulnerabilità comuni in AD, Entra ID e Okta, e Forest Druid per identificare i percorsi di attacco di livello 0.

L’esperienza di Semperis si estende anche alla risposta e al ripristino. Il loro team di Identity Forensics and Incident Response (IFIR) sottolineano l’importanza di un ripristino che riporti Active Directory a uno stato affidabile e privo di malware, anziché limitarsi a rimettere in linea i servizi. La pianificazione del ripristino è affiancata da un coordinamento delle crisi che rimane disponibile anche quando i sistemi basati sull’identità non lo sono.

Questo orientamento è importante perché è in linea con le linee guida dei Five Eyes. L’esigenza strategica non è alimentare ulteriormente la paura, bensì fornire ulteriori prove:che i controlli fondamentali siano efficaci, che l’identità possa essere ripristinata senza problemi e che l’organizzazione sia in grado di continuare a operare durante l’incidente, anziché dover improvvisare nel bel mezzo di esso.


I consigli di amministrazione devono provvedere immediatamente alla verifica dell'identità

La sfida più importante sollevata dalla dichiarazione dei Five Eyes non è stabilire se l’intelligenza artificiale cambierà il rischio informatico. Lo ha già fatto.

Oggi i team dirigenziali devono verificare quella capacità che risulterà fondamentale in caso di compromissione delle identità: la capacità di ripristinare Active Directory in modo rapido, completo e con un controllo sufficiente a garantire la continuità operativa.

I consigli di amministrazione non hanno bisogno di un’altra rassicurazione astratta del tipo “abbiamo messo in atto dei controlli”. Hanno bisogno di prove concrete che dimostrino che la resilienza dell’identità funzioni anche sotto pressione. Le organizzazioni in grado di fornire tali prove saranno meglio preparate non solo a sopravvivere alle minacce accelerate dall’intelligenza artificiale, ma anche a mantenere la fiducia quando arriverà il momento della prova.


Risorse correlate

Dichiarazione delle agenzie di sicurezza informatica dei Five Eyes | Cyber.gov.au
Lo stato della sicurezza dell'identità nell'era dell'intelligenza artificiale
Introduzione degli agenti di IA nel vostro Identity Fabric
Recupero delle identità e gestione delle crisi: due aspetti indissociabili nella risposta agli incidenti
Ripensare la gestione delle crisi informatiche: perché i piani falliscono
Le principali insidie dell'AD Forest Recovery e manuale
Minimum Viable Company: la vera resilienza informatica inizia dall’identità
Lista di controllo: preparate il vostro Identity Fabric all’era degli agenti