I dati non mentono, ma a volte rivelano verità scomode che richiedono una seria riflessione da parte dei C-level. La più recente ricerca globale dei Rubrik Zero Labs fotografa una realtà italiana sulla cybersecurity che impone un immediato cambio di paradigma: il modello tradizionale di disaster recovery non è più sufficiente, e pagare il riscatto è diventato, paradossalmente, la scelta aziendale più razionale per sopravvivere.
Non si tratta di una scelta emotiva, ma di un calcolo operativo. Quando l’87% delle organizzazioni italiane colpite da ransomware nel 2025 decide di pagare un riscatto, un dato superiore alla già preoccupante media globale dell’82%, ci troviamo di fronte a una precisa scelta di business: per la quasi totalità delle aziende, negoziare con gli attaccanti è percepito come più rapido rispetto al tentativo di ripristinare i propri sistemi in autonomia.
Ma perché siamo arrivati a questo punto? La risposta risiede in tre fattori convergenti: un profondo divario tra le aspettative della leadership e la realtà operativa sul campo, un cambiamento radicale della natura stessa delle minacce (da encryption a extortion), e una governance tecnologica che fatica a tenere il passo dell’innovazione accelerata dall’AI.
Board vs. IT: quando la teoria del recovery si scontra con la realtà
Il primo segnale di questo cambio necessario è un primato globale che merita attenzione: il 27% dei leader IT e della sicurezza in Italia giudica del tutto irrealistiche le aspettative che il top management (CEO e Board) ha sulle capacità e i tempi di ripristino del team. È la percentuale più alta registrata a livello mondiale, più del doppio della media globale del 12%.
Esiste un drammatico scollamento comunicativo all’interno delle aziende. Da un lato, i consigli di amministrazione approvano piani di business continuity basati su Recovery Time Objectives (RTO) teorici e rassicuranti. Dall’altro, i team tecnici sanno perfettamente che, in caso di incidente reale, la complessità dell’infrastruttura, la frammentazione dei dati e la sofisticazione degli attacchi renderanno impossibile rispettare quelle tempistiche.
Quando l’attacco si verifica, l’illusione si scontra con la realtà. Di fronte a settimane di potenziale fermo e perdite devastanti, il Board o il CEO si rende conto che il recovery interno è una strada impraticabile nei tempi richiesti dal business. Pagare diventa così l’unica via d’uscita per colmare, con il denaro, il gap tra aspettative e capacità effettiva.
La tempesta perfetta: primato nei ransomware e passaggio alla data extortion
Questa fragilità strutturale si inserisce in un contesto in cui l’Italia è diventata un bersaglio preferito dei cybercriminali. Secondo i dati dei Rubrik Zero Labs, l’Italia è il mercato con la più alta incidenza di ransomware al mondo: ben il 49,5% delle aziende italiane intervistate ha subito un attacco ransomware nell’ultimo anno, nettamente sopra la media globale (39%) e quella EMEA (40%).
A cambiare non è solo la frequenza, bensì la dinamica stessa dell’estorsione. Il 73% dei pagamenti effettuati in Italia è stato motivato da minacce di data extortion (esfiltrazione e minaccia di pubblicazione dei dati), contro una media globale del 53%.
Questo dato è cruciale e spiega perché il modello tradizionale di disaster recovery è diventato insufficiente. La cybercriminalità ha evoluto la propria strategia: bloccare i sistemi non è più sufficiente, perché le aziende possono avere backup – magari lenti da ripristinare, ma esistenti. Sottrarre i dati sensibili e minacciare di divulgarli, invece, va oltre qualsiasi strategia di backup tradizionale.
Anche se l’azienda possiede un disaster recovery perfetto e riavvia i sistemi in poche ore, la proprietà intellettuale, i dati dei clienti e i segreti industriali sono ormai nelle mani degli attaccanti. Anche con backup perfetti che ripristinano i sistemi in poche ore, i dati rubati restano nelle mani dei criminali. Di conseguenza, le aziende pagano non per ripartire, ma per comprare il silenzio dei criminali, con una transazione che però non offre alcuna garanzia reale.
Il nuovo fattore di rischio: la “forza lavoro ombra” degli agenti AI
A complicare ulteriormente questo scenario si aggiunge l’adozione accelerata di sistemi autonomi. Le aziende italiane stanno integrando agenti AI per ottimizzare i processi, spesso senza le necessarie misure di governance e visibilità.
La ricerca evidenzia che il 70% delle organizzazioni italiane non ha un controllo completo o visibilità sugli agenti AI che operano nei propri ambienti. Si sta creando una vera e propria “forza lavoro ombra”: identità non umane che interagiscono con dati critici prendono decisioni ed eseguono azioni con accessi persistenti e scarsa supervisione.
Per un attaccante, compromettere un agente AI con privilegi di accesso elevati rappresenta oggi l’autostrada perfetta per effettuare movimenti laterali e mettere in atto quella data extortion che rappresenta ormai quasi i tre quarti dei riscatti pagati in Italia. La velocità con cui questi sistemi possono esfiltrare terabyte di dati supera qualsiasi capacità di detection tradizionale.
Dal recovery alla resilience: la roadmap per i C-Level
I numeri delineano con chiarezza la necessità di un’evoluzione strategica. Non si tratta più di rafforzare il modello esistente, ma di ripensarlo completamente attraverso tre pilastri fondamentali:
- Allineare aspettative e capacità reali
I Board devono smettere di accontentarsi di rassicurazioni teoriche e richiedere ai propri team di sicurezza simulazioni di ripristino reali, sotto stress e su larga scala. Solo misurando empiricamente i tempi di recovery effettivi – considerando la complessità delle infrastrutture ibride, delle dipendenze applicative e della disponibilità delle risorse – si possono allineare le aspettative del business alla capacità operativa.
- Spostare la protezione sui dati, non solo sui perimetri
Se il 73% dei pagamenti è dovuto a data extortion, significa che il perimetro è già stato superato. La difesa deve spostarsi sui dati stessi: immutabilità, air gap logico, zero trust per gli accessi, controllo continuo delle identità non umane (inclusi gli agenti AI). Se i dati esfiltrati sono protetti e resi inutilizzabili dagli attaccanti, la minaccia dell’estorsione viene neutralizzata.
- Cyber resilience come metrica di business
La resilienza deve entrare nei bilanci, nei comitati rischi e nei KPI del Board. Ogni investimento in digitalizzazione o in intelligenza artificiale deve prevedere nativamente una quota dedicata alla sua osservabilità, governance e ripristinabilità. La resilienza informatica non è solo responsabilità del CISO: il CFO deve calcolare i costi dei fermi, il CLO gestire gli obblighi legali post-breach, e il CEO proteggere la reputazione aziendale.
Ciò che può essere razionale oggi, diventa insostenibile domani
Trattare l’87% di riscatti pagati come un costo accettabile del fare business in Italia è una strategia pericolosa nel breve termine. Ogni pagamento finanzia la prossima generazione di attacchi e segnala agli attaccanti che l’organizzazione è un obiettivo potenzialmente redditizio. La vera sovranità digitale e la continuità operativa si costruiscono sulla capacità di resistere e ripartire in autonomia. Il passaggio dal recovery tradizionale alla resilience by design non è più un’opzione strategica: è l’unica risposta sostenibile a un panorama di minacce in rapida evoluzione.
A cura di Alessio Stellati, Regional Vice President for Italy, Spain and Portugal at Rubrik
