La situazione dei rischi per l’umanità nel 2026: il paradosso dell’efficacia della sicurezza

I budget destinati alla sicurezza informatica continuano ad aumentare. L'efficacia difensiva continua a diminuire. E le minacce interne di natura dolosa continuano ad aumentare. C'è qualcosa che non funziona affatto, e la soluzione non sta nell'investire più denaro.

Una nuova ricerca mette in luce una preoccupante discrepanza al centro della sicurezza aziendale. L'efficacia della tecnologia è scesa dal 47% al 37%. L'efficacia dei processi è scesa dal 43% al 35%. L'efficacia del personale è scesa dal 38% al 35%. Eppure, nonostante tali cali, il 99% delle organizzazioni afferma di aver bisogno di un budget ancora maggiore. Non si tratta di un problema di risorse. Si tratta di un problema strutturale. E finché i leader non riconosceranno questa differenza, il circolo vizioso non potrà che peggiorare.

Il crollo dell’efficacia che nessuno vuole ammettere

In ogni ambito della sicurezza informatica – tecnologia, processi e risorse umane – l’efficacia si è notevolmente ridotta. Un calo di 10 punti nell’efficacia tecnologica risulta particolarmente preoccupante, considerando i miliardi che le organizzazioni hanno investito in nuovi strumenti, piattaforme e soluzioni specifiche negli ultimi anni. L'efficacia dei processi ha registrato un calo di 8 punti e anche la dimensione umana, spesso definita come l'«ultima linea di difesa», ha subito una flessione di 3 punti.

Il risultato? Ben il 96% delle organizzazioni segnala una protezione incompleta. Non “margine di miglioramento”, bensì “incompleto”. Dopo anni di investimenti costanti, la stragrande maggioranza dei team di sicurezza non è ancora in grado di affermare con certezza che le proprie organizzazioni siano adeguatamente protette.

La trappola del bilancio

È qui che il paradosso si fa più evidente. Nonostante il calo misurabile dei rendimenti, praticamente ogni organizzazione sostiene di aver bisogno di un budget per la sicurezza più consistente. Nello specifico, il 64% delle organizzazioni intervistate attribuisce la massima priorità all’aumento del personale e dei servizi dedicati alla sicurezza informatica (la single priorità di spesa più importante), nonostante l’efficacia del personale continui a diminuire.

Lo schema è prevedibile: si acquista uno strumento, lo si integra in modo inadeguato, si individua una lacuna, si acquista un altro strumento, si assiste a un peggioramento del coordinamento, e così via. Ogni acquisto aumenta la complessità. Ogni integrazione complica ulteriormente la sfida della precedente. E ogni nuova dashboard, ogni nuovo agente o modulo crea un’ulteriore falla attraverso la quale le minacce possono insinuarsi.

Dal punto di vista di un direttore finanziario, si tratta di rendimenti decrescenti nella loro forma più pura. Dal punto di vista del consiglio di amministrazione, ciò solleva una domanda scomoda: perché non stiamo migliorando la nostra sicurezza?

Minacce interne: il canarino nella miniera di carbone

Il segnale più allarmante che emerge dai dati non riguarda affatto la tecnologia. Si tratta delle persone. Le attività dolose da parte di soggetti interni hanno registrato un aumento del 26% in soli due anni, con la percentuale di organizzazioni che segnalano un aumento passata dal 35% nel 2024 al 42% nel 2025 e al 44% nel 2026.

Questa accelerazione non è una coincidenza. È una conseguenza diretta del problema della frammentazione. Man mano che le organizzazioni implementano un numero sempre maggiore di strumenti non integrati tra loro, la visibilità su tali strumenti si riduce. Gli analisti della sicurezza dedicano più tempo a mettere in relazione gli avvisi provenienti dai vari sistemi che a rispondere effettivamente alle minacce. I programmi di formazione operano indipendentemente dai controlli tecnici. I sistemi delle risorse umane non comunicano con i sistemi di sicurezza. Il risultato è una strategia difensiva piena di punti ciechi e gli insider malintenzionati rappresentano proprio gli attori più in grado di sfruttarli.

Con un costo medio di 13,1 milioni di dollari per organizzazione, derivante da circa sei incidenti al mese, le minacce interne non rappresentano solo un problema di sicurezza. Si tratta di un rischio finanziario critico per l’azienda, aggravato proprio dagli investimenti destinati a prevenirlo.

Perché un numero maggiore di strumenti peggiora la situazione

Un dato sbalorditivo: il 65% delle organizzazioni riferisce che l’integrazione tra i vari componenti del proprio sistema di sicurezza risulta complessa. Tale complessità non è casuale. È la causa principale del calo di efficacia.

Ogni nuova soluzione puntuale comporta requisiti di integrazione che crescono in modo esponenziale anziché lineare. La "stanchezza da notifiche" si aggrava man mano che sistemi non interconnessi generano ciascuno le proprie notifiche senza un contesto condiviso. Gli analisti si trasformano in semplici operatori di strumenti anziché in cacciatori di minacce, trascorrendo le loro giornate passando da una console all’altra invece di indagare sui rischi. E la componente umana (formazione sulla consapevolezza, segnali comportamentali, indicatori culturali) rimane isolata dalla telemetria tecnica che dovrebbe fornirle informazioni.

L’ironia è evidente: le organizzazioni acquistano strumenti per migliorare la sicurezza, ma proprio l’atto stesso di acquistare ulteriori strumenti finisce per comprometterla attivamente.

La soluzione strutturale

Per rompere questo circolo vizioso è necessario un approccio radicalmente diverso, che dia priorità all’integrazione piuttosto che all’aggiunta e al coordinamento piuttosto che all’accumulo.

Una strategia basata su una piattaforma che riunisce in un ecosistema single la sicurezza della posta elettronica, la gestione dei rischi interni, la formazione sulla sensibilizzazione e la conformità elimina le falle di cui approfittano i soggetti interni malintenzionati. Anziché aggiungere un altro strumento alla suite, consente agli investimenti esistenti di interagire tra loro grazie a una profonda integrazione, trasformando soluzioni isolate in una difesa coordinata.

La gestione dei rischi legati al personale è al centro di questo cambiamento. Considerando le persone non come l’anello più debole, ma come un’area di rischio misurabile e gestibile, le organizzazioni possono affrontare le cause alla radice anziché limitarsi a risolvere i sintomi. L'analisi comportamentale, l'intervento continuo e la valutazione del rischio sostituiscono l'approccio basato su semplici "caselle da spuntare" tipico della formazione annuale e della risposta reattiva agli incidenti.

I risultati parlano da soli: le organizzazioni che hanno intrapreso questa transizione segnalano riduzioni misurabili nell’uso dell’IA “ombra”, tempi di risposta agli incidenti più rapidi e un costo per incidente inferiore, spesso già entro sei mesi.

Dai costi alla risoluzione dei problemi

Il paradosso dell'efficacia della sicurezza non sarà risolto dall'aumento del bilancio previsto per il prossimo anno. La questione sarà risolta da leader disposti a porre domande più impegnative: non “quanto stiamo spendendo?” ma «con quanta efficacia stiamo spendendo?» Non “quanti strumenti abbiamo?” ma «quanto bene lavorano insieme?»

L'accelerazione delle attività dolose da parte di soggetti interni rappresenta il segnale di allarme più evidente del fallimento dell'approccio attuale. Le organizzazioni che terranno conto di tale avvertimento, passando da una situazione caratterizzata da una proliferazione disordinata di strumenti a piattaforme integrate e incentrate sulle persone, non solo miglioreranno il proprio livello di sicurezza, ma riusciranno finalmente a spezzare il circolo vizioso che le porta a spendere di più per proteggere di meno.

Per ulteriori dettagli, vi invitiamo a leggere il rapporto di Mimecast intitolato “The State of Human Risk 2026 ”.

Mettete in discussione il paradosso dell’efficacia della sicurezza. Scoprite come la piattaforma integrata di gestione di Human Risk di Mimecast garantisca miglioramenti misurabili in termini di efficacia senza un'eccessiva proliferazione di strumenti. Richieda una demo.