Lo stato del rischio umano nel 2026

Le organizzazioni hanno investito miliardi per potenziare i propri stack tecnologici. Hanno implementato firewall, sistemi di rilevamento degli endpoint, piattaforme SIEM e architetture zero-trust. Eppure, le violazioni continuano senza sosta. Il motivo è al tempo stesso semplice e scomodo: la sfida più grande in materia di sicurezza informatica non è di natura tecnologica, bensì umana.

Il rapporto di Mimecast intitolato “The State of Human Risk 2026”, basato su un sondaggio condotto su 2.500 responsabili della sicurezza informatica e decisori nel settore IT in nove paesi, mette in evidenza un aspetto in modo inequivocabile. Le organizzazioni sanno dove si trovano le loro vulnerabilità. Semplicemente non stanno agendo con sufficiente rapidità per risolverli.

La portata del problema

La posta in gioco finanziaria è sbalorditiva. Gli intervistati stimano che un single episodio di fuga di dati causato da personale interno costerebbe alla propria organizzazione in media 13,1 milioni di dollari. Considerando che le organizzazioni subiscono in media sei incidenti di questo tipo al mese, ciò si traduce in un rischio annuo pari a circa 943 milioni di dollari. Non si tratta di cifre ipotetiche: riflettono la realtà concreta dei team di sicurezza che assistono al moltiplicarsi degli incidenti nelle caselle di posta elettronica, sulle piattaforme di collaborazione e nei canali di comunicazione interni.

Il divario tra il sapere e il fare

Forse il dato più sorprendente emerso dal rapporto di quest’anno è quello che definiamo il “divario tra consapevolezza e azione”. La consapevolezza dei rischi legati al fattore umano è pressoché universale: il 91% delle organizzazioni incontra difficoltà nel garantire il rispetto delle norme da parte dei dipendenti e il 96% ammette di disporre di una protezione incompleta. Tuttavia, solo il 28% combina due pratiche fondamentali: una formazione periodica sulla sensibilizzazione alla sicurezza e un monitoraggio continuo delle violazioni delle politiche.

È proprio in quel divario che si verificano le violazioni. Gli autori degli attacchi non sfruttano ciò che le organizzazioni non riescono a individuare. Essi sfruttano ciò che le organizzazioni vedono ma non riescono a mettere in relazione.

Cinque lacune critiche che definiscono il panorama delle minacce

Il rapporto individua cinque lacune di sicurezza interconnesse che le difese tradizionali faticano a colmare.

L'esplosione della superficie di attacco. Quello che un tempo era principalmente un problema di sicurezza della posta elettronica si è trasformato in un panorama di minacce omnicanale. Le organizzazioni si trovano oggi a dover affrontare attacchi che coinvolgono Slack, Microsoft Teams, Zoom e decine di altre piattaforme di collaborazione. Ben il 71% prevede che nel 2026 gli attacchi agli strumenti di collaborazione avranno un impatto negativo sull’attività aziendale, eppure il 38% continua ad affidarsi esclusivamente ai controlli di sicurezza nativi — controlli che, secondo il 64%, risultano insufficienti.

La crisi dei rischi legati agli addetti ai lavori. Le ricerche dimostrano che solo l’8% e dei dipendenti è responsabile dell’80% e degli incidenti di sicurezza. Non si tratta necessariamente di malintenzionati; più spesso si tratta di dipendenti ben intenzionati che finiscono per diventare un rischio a causa della stanchezza, della distrazione o di sofisticate tecniche di ingegneria sociale. Le organizzazioni riconoscono tre profili di rischio distinti — da negligenza, da compromissione e doloso — ma raramente coordinano le proprie strategie di prevenzione in relazione a tutti e tre.

Il paradosso dell'integrazione. Quasi due terzi (65%) delle organizzazioni ritengono che l’integrazione degli strumenti di sicurezza informatica sia troppo complessa. Eppure, coloro che ottengono risultati positivi segnalano una Threat Remediation più rapida del 40% e una visibilità di gran lunga più completa. L’ironia crudele: i tentativi falliti di integrazione generano proprio quella proliferazione e frammentazione degli strumenti che l’integrazione avrebbe dovuto risolvere.

Il crollo della governance. Nonostante sia universalmente riconosciuto che la governance rivesta grande importanza, il 59% degli intervistati non è sicuro di poter individuare rapidamente i dati relativi alle comunicazioni necessari per soddisfare gli obblighi normativi o legali. Con il 36% che continua ad affidarsi al monitoraggio manuale e il 23% che gestisce le politiche manualmente, le organizzazioni non riescono semplicemente a tenere il passo con i volumi di dati in forte aumento e le crescenti esigenze di conformità.

Il divario in termini di preparazione all’intelligenza artificiale. Sebbene il 69% degli intervistati ritenga che gli attacchi basati sull’intelligenza artificiale siano inevitabili entro i prossimi 12 mesi, solo il 40% dichiara di essere pienamente preparato con strategie specifiche per contrastarli. Quel divario di 29 punti tra consapevolezza e preparazione rappresenta una finestra di vulnerabilità critica — e gli autori degli attacchi la stanno già sfruttando.

IA: un'arma a doppio taglio

L'intelligenza artificiale merita un'attenzione particolare poiché accentua ogni altro divario evidenziato nel rapporto. Dal punto di vista degli attacchi, l’intelligenza artificiale consente la creazione automatizzata di catene business email compromise in grado di mantenere conversazioni credibili per settimane, deepfake vocali che imitano i dirigenti e contenuti di phishing così ben curati che i tradizionali segnali di allarme — grammatica scorretta, saluti generici — sono praticamente scomparsi.

Per quanto riguarda la difesa, l’adozione sta crescendo, ma in modo disomogeneo. Poco più della metà delle organizzazioni utilizza attualmente l’intelligenza artificiale per il rilevamento delle minacce e il monitoraggio in tempo reale, in aumento rispetto al 46% dell’anno precedente. Esiste tuttavia uno squilibrio significativo: il 48% sta investendo in strumenti di monitoraggio basati sull’intelligenza artificiale, mentre solo il 44% sta formando i dipendenti a riconoscere gli abusi legati all’intelligenza artificiale e appena il 41% ha definito politiche specifiche per l’utilizzo dell’intelligenza artificiale. Le organizzazioni stanno acquistando sistemi più avanzati, lasciando però il proprio personale esposto proprio agli attacchi che tali sistemi dovrebbero contrastare.

Una sfida globale con variazioni a livello regionale

Il rischio legato al fattore umano è universale, ma gli approcci variano a seconda del mercato. Il rapporto individua tre livelli di maturità. Gli Stati Uniti e Singapore sono in testa alla classifica dei “paesi che adottano l’IA”, caratterizzati da un elevato livello di consapevolezza, un’adozione dinamica e un ROI in crescita. Mercati come il Regno Unito, la Germania e la Francia adottano un approccio più cauto e incentrato sulla conformità. E i paesi emergenti — Spagna, Sudafrica e Australia — stanno registrando una rapida crescita, pur dovendo far fronte a limitazioni in termini di risorse.

Nonostante tali differenze, alcune sfide sono comuni a tutti i contesti: le difficoltà di governance interessano il 91–93% delle organizzazioni in tutte le regioni, la complessità dell’integrazione supera il 65% e il divario di coordinamento del 28% persiste a livello globale.

La strada da seguire

Le raccomandazioni contenute nel rapporto ruotano attorno a cinque priorità che si rafforzano a vicenda: garantire la sicurezza di tutti i canali di comunicazione attraverso una protezione unified; gestire il rischio umano tramite analisi comportamentali e controlli incentrati sull’utente; governare i dati con meccanismi automatizzati di conformità; consolidare gli strumenti di sicurezza in piattaforme integrate; e prepararsi alle minacce basate sull’intelligenza artificiale (IA) ricorrendo sia all’IA difensiva sia a chiari quadri di governance.

Non si tratta di cinque progetti distinti. Sono interconnessi: la protezione unified dei canali fornisce all’analisi comportamentale dati più articolati, una migliore valutazione del rischio orienta le politiche di governance e le piattaforme integrate rendono l’intero sistema operativamente fattibile.

La linea di fondo

Il costo dell’inazione supera di gran lunga l’investimento necessario. Con un’esposizione stimata al rischio legato agli insider pari a quasi 1 miliardo di dollari all’anno, gli attacchi agli strumenti di collaborazione in aumento e l’intelligenza artificiale che aggrava ulteriormente il panorama delle minacce, il 2026 è l’anno in cui le organizzazioni devono passare dalla consapevolezza all’azione.

La questione che ogni responsabile della sicurezza deve porsi non è se investire nella gestione dei rischi legati al fattore umano. La questione è se agirà prima del prossimo incidente o dopo.

Scarichi il rapportodi Mimecast intitolato“The State of Human Risk 2026” per conoscere i risultati dettagliati, le analisi regionali e le raccomandazioni concrete.