Un attaccante può restare per mesi nella rete di un ospedale prima che qualcuno ne rilevi la presenza. “In media possono servire più di sei mesi per rilevare un breach”, osserva Nicola Altavilla, Director of the Mediterranean Region di Armis from ServiceNow, sottolineando le conseguenze che una permanenza tanto lunga può avere in una struttura sanitaria. Al danno operativo si somma quello economico: secondo i valori richiamati dal manager, nel mercato statunitense una violazione ai danni di una grande organizzazione può produrre un impatto nell’ordine dei cinque milioni di dollari. In Europa e in Italia le cifre tendono a ridursi, anche per la diversa dimensione media delle organizzazioni, ma il costo cresce rapidamente quanto più a lungo l’attaccante riesce a muoversi indisturbato nella rete.
L’attenzione di CISO, responsabili IT e direttori dell’ingegneria clinica è aumentata e gli incidenti vengono affrontati in modo più strutturato, tanto che il tempo medio di rilevazione, collocato fino a pochi anni fa intorno ai sei mesi, sta diminuendo. Anche una discesa da sei a quattro mesi rappresenterebbe tuttavia un progresso insufficiente, perché lascerebbe all’attaccante un intervallo molto ampio per osservare l’ambiente, acquisire credenziali, muoversi lateralmente e preparare l’esfiltrazione dei dati o il blocco dei servizi. “Sarebbe certamente un segnale positivo, ma la riduzione dovrebbe essere molto più significativa. Non dico necessariamente che si possa arrivare a zero, ma dobbiamo avvicinarci il più possibile a una rilevazione immediata”. Ogni ulteriore contrazione richiede investimenti, integrazioni tecnologiche e una revisione dei processi interni, perché “bisogna implementare molti sistemi e l’impegno richiesto all’organizzazione è elevato. Siamo ancora lontani dal risultato che dovremmo raggiungere”.
Nel settore sanitario la rapidità della rilevazione è, peraltro, soltanto una parte del problema, poiché un incidente non riguarda esclusivamente dati e sistemi informatici, ma può compromettere direttamente l’erogazione delle cure.
IT e ingegneria clinica, due mondi ancora troppo separati
Una delle principali criticità osservate da Armis from ServiceNow è la separazione fra chi governa l’infrastruttura informatica e chi gestisce le tecnologie medicali. “L’ingegneria clinica e l’IT lavorano ancora troppo spesso come compartimenti separati”, spiega Altavilla; diventa quindi difficile creare la necessaria sinergia, perché “proteggere i sistemi medicali senza coordinarsi con l’IT è come mettere le grate alle finestre di una casa e lasciare aperta la porta”.
I due mondi utilizzano spesso inventari, strumenti e procedure differenti. Una segnalazione relativa a una pompa di infusione, a una TAC o a un sistema di climatizzazione può non rientrare immediatamente nei processi del Security Operation Center. Allo stesso tempo, l’ingegneria clinica può non disporre delle informazioni di rete necessarie per comprendere se il comportamento di un apparato sia normale o sospetto.
La prima trasformazione richiesta alla sanità, quindi, non è soltanto tecnologica ma organizzativa: IT, sicurezza e ingegneria clinica devono condividere la stessa visibilità, gli stessi criteri di rischio e processi coordinati di intervento.
“Non possiamo proteggere ciò che non conosciamo”
Il primo ostacolo è sapere quali sistemi siano realmente presenti. Gli ospedali sono ecosistemi eterogenei, composti da dispositivi medicali, asset IT, apparati OT, sensori IoT, reti wireless, telecamere, stampanti e impianti tecnici. Una parte consistente di questi elementi non è monitorata oppure è censita attraverso strumenti che non restituiscono una fotografia aggiornata dell’infrastruttura.
Il principio di partenza, sottolinea Altavilla, è che “non possiamo proteggere ciò che non conosciamo. I sistemi medicali presentano numerose esposizioni nascoste e gli attaccanti cercano proprio gli elementi più deboli: apparati non monitorati o configurati in modo non corretto”.
Quando Armis from ServiceNow incontra un’organizzazione sanitaria, una delle prime verifiche riguarda perciò il numero e la tipologia degli apparati effettivamente connessi, fra dispositivi medicali, sistemi IT e componenti OT e IoT. “Molto spesso questa informazione non è disponibile”, afferma Altavilla, richiamando stime degli analisti secondo cui almeno il 40% degli asset aziendali non sarebbe monitorato.
Il dato diventa comprensibile osservando come vengono ancora gestiti molti inventari: in alcune strutture il censimento dei dispositivi dipende da fogli Excel, database separati o applicazioni introdotte in momenti differenti e mai integrate. Sebbene la situazione stia migliorando, molti inventari sono ancora “costruiti in modo artigianale”, attraverso fogli Excel e sistemi stratificati che non consentono di ottenere una visibilità in tempo reale.
Un inventario statico può documentare che una determinata apparecchiatura appartiene all’ospedale, ma non necessariamente sa dire se sia attiva, dove si trovi, quale software utilizzi, con quali sistemi comunichi, se sia ancora supportata dal produttore o se presenti una configurazione anomala.
Il divario ha conseguenze anche sul piano della conformità. La sanità rientra nel perimetro delle infrastrutture critiche e deve confrontarsi con requisiti sempre più stringenti, a partire dalla NIS2. Eppure, osserva Altavilla, l’aderenza alle certificazioni e alle indicazioni dell’Agenzia per la cybersicurezza nazionale non rappresenta sempre un vero criterio discriminante nella selezione delle tecnologie.
Altavilla precisa che Armis dispone, nel proprio ambito, di certificazioni dell’Agenzia per la cybersicurezza nazionale, ma osserva che, “quando una certificazione non viene considerata obbligatoria, non sempre incide sulla scelta della tecnologia”. Con la NIS2, aggiunge, la situazione cambia perché gli obblighi sono più espliciti e il tema viene affrontato con maggiore attenzione.
NIS2, gli obblighi per la sanità
La sanità rientra tra i settori ad alta criticità individuati dalla NIS2. In concreto, il decreto legislativo 138/2024 si applica ai prestatori di assistenza sanitaria pubblici e privati – quindi ASL, aziende ospedaliere, policlinici, IRCCS, ospedali e cliniche – che non rientrano nella definizione europea di piccola impresa: in termini semplificati, hanno almeno 50 addetti oppure, pur avendone meno, superano sia i 10 milioni di euro di fatturato annuo sia i 10 milioni di euro di totale di bilancio. Nel calcolo possono concorrere anche i dati delle imprese collegate. L’Agenzia per la cybersicurezza nazionale può includere strutture di dimensioni inferiori quando il loro servizio è particolarmente rilevante per la salute pubblica o a livello nazionale o regionale. Il perimetro sanitario comprende inoltre i laboratori di riferimento dell’Unione europea, le organizzazioni che svolgono ricerca e sviluppo sui medicinali, i produttori farmaceutici e i fabbricanti di dispositivi medici considerati critici durante un’emergenza di sanità pubblica. Sono classificati come soggetti essenziali gli enti che hanno almeno 250 addetti oppure che superano contemporaneamente i 50 milioni di euro di fatturato e i 43 milioni di euro di totale di bilancio; le altre organizzazioni incluse nel perimetro sono soggetti importanti. Tutte devono adottare misure tecniche, operative e organizzative proporzionate al rischio, che comprendono la gestione degli incidenti, la continuità operativa, i backup e il ripristino, la sicurezza della supply chain, la gestione delle vulnerabilità, il controllo degli accessi, la conoscenza degli asset, la crittografia e, quando appropriata, l’autenticazione a più fattori. La responsabilità non ricade soltanto sulle funzioni tecniche: gli organi di amministrazione e direttivi devono approvare e supervisionare l’attuazione delle misure, ricevere informazioni sugli incidenti e seguire una formazione specifica. Quando un incidente produce un impatto significativo sull’erogazione dei servizi, il soggetto deve inviare al CSIRT Italia una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Per una struttura sanitaria, quindi, la conformità coincide con la capacità documentata di conoscere i sistemi dai quali dipendono le cure, ridurne l’esposizione e reagire senza compromettere la continuità clinica.
Un ospedale funziona soltanto se funziona tutto
La superficie da proteggere non coincide con quella che, a prima vista, si potrebbe definire informatica, perché, come sintetizza Altavilla, “un ospedale può operare correttamente solo quando funzionano tutti i dispositivi che compongono la sua infrastruttura”. Anche l’indisponibilità dei sistemi di connettività, delle postazioni utilizzate per l’accettazione o delle periferiche necessarie ai processi amministrativi può rallentare l’accesso alle prestazioni e ripercuotersi immediatamente sull’attività sanitaria, sebbene questi strumenti non svolgano alcuna funzione diagnostica.
La medesima dipendenza emerge negli ambienti clinici a maggiore criticità, dove parametri come umidità, temperatura e qualità dell’aria sono regolati da sistemi tecnici che appartengono all’ambito OT o medicale. Il loro corretto funzionamento costituisce una condizione operativa per l’impiego delle sale e mostra come la continuità dell’ospedale dipenda da un insieme di componenti tecnologiche molto più esteso delle sole apparecchiature destinate alla diagnosi e alla cura.
La distinzione fra IT, OT e medicale rimane utile per applicare controlli specifici e assegnare responsabilità, ma non può tradursi in altrettante visioni separate. È questo il senso dell’approccio olistico proposto da Armis from ServiceNow: permettere all’IT, all’ingegneria clinica e a chi governa la struttura ospedaliera di vedere l’intero insieme dei dispositivi dai quali dipende il servizio.
La sicurezza degli asset non gestiti
La gestione della sicurezza in ambito sanitario deve confrontarsi con una vasta categoria di asset sui quali non è possibile applicare i controlli previsti per gli endpoint tradizionali. Computer e server consentono generalmente di installare un agente, distribuire aggiornamenti e applicare patch in modo centralizzato; sulle apparecchiature medicali certificate, sui dispositivi IoT e sui componenti OT, invece, gli interventi diretti sono limitati da vincoli tecnici, operativi e normativi.
Altavilla spiega che “non possiamo installare liberamente un software di protezione su una TAC o su un altro apparato medicale, perché il dispositivo potrebbe perdere la certificazione o non risultare più conforme”. La distinzione fra sistemi gestiti e non gestiti definisce quindi anche il modello di protezione: quando non è possibile intervenire sull’asset, occorre osservarne dall’esterno l’identità, le comunicazioni, le vulnerabilità e il comportamento, ricorrendo a una piattaforma agentless.
Il monitoraggio si basa sull’analisi del traffico di rete e sulle integrazioni con gli strumenti già presenti. In questo modo la visibilità può estendersi a dispositivi medicali, apparati di rete, sistemi IoT e componenti OT senza modificarne la configurazione e senza introdurre operazioni che possano interferire con apparecchiature sensibili o processi clinici.
Non basta associare un dispositivo a un indirizzo IP
Identificare un asset non significa semplicemente trovare un indirizzo IP, ma comprenderne la natura, il produttore, il modello, il sistema operativo, il software installato, la funzione e il comportamento atteso.
Armis from ServiceNow utilizza una piattaforma cloud alimentata dall’Asset Intelligence Engine, una base di conoscenza che mappa miliardi di apparati. Il patrimonio informativo consente di confrontare ciò che un dispositivo sta facendo all’interno dell’ospedale con il comportamento normalmente associato ad apparati analoghi.
Il confronto permette di riconoscere configurazioni errate, comunicazioni verso destinazioni non autorizzate, software inatteso e attività incompatibili con la funzione dell’asset; per questo, spiega Altavilla, “la piattaforma può segnalare in tempo reale che un apparato si sta comportando in modo diverso da quanto previsto”. Rispetto a un inventario tradizionale, che documenta soprattutto l’esistenza del dispositivo, l’analisi continua dello stato e delle attività può far emergere violazioni delle policy e possibili compromissioni altrimenti invisibili a un censimento amministrativo.
Il rischio deve essere collegato alla funzione clinica
Una volta individuati gli asset e le loro vulnerabilità, occorre decidere dove intervenire. Un’organizzazione può ricevere migliaia di segnalazioni, allarmi e falsi positivi; se la piattaforma si limita ad aggiungere altri alert, il SOC rischia di perdere tempo su eventi marginali mentre una criticità reale rimane nascosta nel rumore. Per Altavilla, “il team deve conoscere il risk scoring degli apparati e capire dove si trovano i problemi più rilevanti”: anziché comunicare la presenza di duemila alert, bisogna indicare le poche segnalazioni realmente critiche sulle quali intervenire per prime.
Nel settore sanitario, il livello di rischio deve comprendere, oltre al punteggio tecnico della vulnerabilità, il ruolo del dispositivo e l’impatto che un suo malfunzionamento potrebbe avere sull’erogazione delle cure. Poiché “la funzione primaria di un’azienda ospedaliera è erogare il servizio sanitario”, la stessa vulnerabilità può assumere pesi differenti a seconda dell’apparato interessato, della sua esposizione e del processo ospedaliero dal quale dipende: il risk scoring deve mettere insieme l’informazione tecnica con il contesto clinico e operativo.
Quando l’apparato funziona, ma il software è obsoleto
Molte apparecchiature diagnostiche rimangono operative per anni pur utilizzando sistemi operativi o applicazioni non più supportati. Sono dispositivi ancora validi dal punto di vista clinico, spesso molto costosi da sostituire, ma esposti a vulnerabilità che non possono essere corrette con i normali processi di aggiornamento.
Per Altavilla, “occorre convincere chi governa l’infrastruttura della necessità di rinnovare progressivamente il parco tecnologico”, pur riconoscendo che questi apparati hanno costi elevati e che i vincoli di budget non sono sempre risolvibili in tempi brevi. Quando la sostituzione non è possibile, il dispositivo può essere isolato e le sue comunicazioni limitate, ma il rischio non scompare: “L’apparato rimane un punto critico. La piattaforma può identificarlo e segnalare che è fuori supporto o ha raggiunto la fine del proprio ciclo di vita. Se continua a essere utilizzato, però, l’esposizione resta”.
Il fatto che un’apparecchiatura continui a svolgere correttamente la propria funzione alimenta spesso la scelta di non intervenire, anche quando il software è obsoleto o non più supportato. “È un atteggiamento frequente”, osserva Altavilla, perché molti applicativi non vengono aggiornati con sufficiente regolarità e alcune soluzioni non sono più gestite dal produttore. Rendere evidente la fine del supporto, l’assenza di manutenzione o una configurazione non corretta consente all’ingegneria clinica di documentare il problema e chiedere un intervento, ma può anche suscitare resistenze: “In alcuni casi l’adozione degli strumenti di visibilità viene rallentata proprio perché porta alla luce problemi che l’organizzazione preferirebbe non dover affrontare”. Resta però il fatto che non vedere una criticità non significa eliminarla.
Dalla visibilità alla risposta
Per produrre un risultato concreto, la piattaforma deve integrarsi con le tecnologie già scelte dall’ospedale: firewall, sistemi SIEM e SOAR, apparati di networking e strumenti di gestione di produttori differenti.
Poiché il cliente ha già costruito una propria infrastruttura, integrare nativamente la piattaforma con le soluzioni esistenti significa valorizzare gli investimenti effettuati e arricchire la visibilità attraverso le telemetrie provenienti dai diversi sistemi.
L’integrazione permette di trasformare la rilevazione di un rischio elevato in una risposta automatica. “È possibile, per esempio, chiudere la porta di uno switch e isolare una componente della rete”, spiega Altavilla: durante un attacco, un intervento di questo tipo consente di contenere il danno prima che la compromissione si propaghi.
L’automazione non sostituisce il team di sicurezza, ma serve a contenere rapidamente l’incidente mentre gli specialisti analizzano ciò che sta accadendo. In un attacco che si estende fra più reparti o strutture, ridurre il tempo necessario per intervenire può fare la differenza fra un evento circoscritto e il blocco dell’intera organizzazione.
Il valore delle cartelle cliniche e il blocco delle cure
Gli ospedali vengono attaccati per ragioni economiche, ma anche per finalità politiche e geopolitiche. Sul fronte criminale, le cartelle cliniche sono particolarmente appetibili perché contengono informazioni personali, sanitarie e amministrative utilizzabili per frodi, ricatti e altre attività illecite. Sul fronte geopolitico, colpire un ospedale significa interrompere un servizio essenziale e produrre conseguenze che vanno ben oltre la singola organizzazione.
Le organizzazioni sanitarie custodiscono una quantità enorme di informazioni sensibili e, quando un attacco porta all’esfiltrazione di ventimila o trentamila cartelle cliniche, il danno per i pazienti assume dimensioni enormi. L’esfiltrazione, tuttavia, è soltanto una parte dell’impatto, perché un ospedale sotto attacco può smettere di erogare i propri servizi: i primi malfunzionamenti possono interessare il pronto soccorso, costringere le strutture vicine ad assorbire parte delle attività e propagarsi progressivamente alle sale operatorie e agli altri reparti; quando il blocco diventa evidente, l’incidente può essersi già esteso.
Alle perdite economiche si aggiungono il danno reputazionale e, soprattutto, il rischio per il paziente. “Per qualsiasi organizzazione è difficile dover comunicare di avere subito un attacco”, sottolinea Altavilla, “ma nel caso di un ospedale l’aspetto più grave è l’interruzione del servizio: il paziente potrebbe non essere visitato o curato nei tempi necessari”.
La cybersecurity diventa quindi una componente diretta della continuità clinica: difendere la rete non significa soltanto proteggere i dati, ma garantire che la struttura possa continuare a funzionare.
Una minaccia riconosciuta, ma non ancora governata
I dati dell’Armis State of Cyberwarfare and Trends Report 2025 richiamati da Altavilla descrivono un settore consapevole del rischio, ma non ancora pienamente preparato: il 53% delle organizzazioni del comparto medico, sanitario e farmaceutico avrebbe dovuto segnalare alle autorità un episodio di cyberwarfare, mentre il 64% ritiene che il settore non sia ancora pronto ad affrontare minacce abilitate dall’intelligenza artificiale.
In Italia, aggiunge, circa il 70% dei professionisti IT considera gli attacchi basati sull’AI una minaccia significativa e il 44% dichiara di averne già subito uno generato o guidato attraverso strumenti di intelligenza artificiale. Allo stesso tempo, il 72% dei responsabili IT o dell’ingegneria clinica considera prioritario adottare un modello di cybersecurity proattivo, mentre il 64% evidenzia che le minacce colpiscono sempre più spesso gli asset non gestiti.
I numeri riportano al punto di partenza: non è possibile adottare una postura proattiva se una parte consistente dell’infrastruttura rimane sconosciuta.
L’intelligenza artificiale, fra difesa e cyberwarfare
Per Altavilla, l’intelligenza artificiale è “uno strumento a doppio taglio”: da una parte automatizza le attività di routine, libera risorse per iniziative più strategiche e analizza quantità di dati che nessun team potrebbe esaminare manualmente; dall’altra offre agli aggressori la possibilità di accelerare le attività offensive. Sul versante difensivo, “l’AI è in grado di identificare schemi e tendenze e di fornire indicazioni preventive sulle minacce emergenti”, oltre a rendere più coerenti le valutazioni del rischio, limitare l’errore umano e controllare continuamente configurazioni, vulnerabilità e stato di conformità degli asset.
Sul versante offensivo, AI e machine learning consentono di automatizzare la ricognizione, modificare il malware in tempo reale e ridurre le risorse necessarie per condurre un attacco.
La dimensione geopolitica rende il problema ancora più rilevante: “Costruire e mettere in campo sistemi d’arma convenzionali richiede investimenti enormi”, osserva Altavilla, mentre un gruppo relativamente piccolo, operando da un altro Paese e utilizzando strumenti basati sull’intelligenza artificiale, può produrre danni molto rilevanti con costi e rischi decisamente inferiori.
L’obiettivo può essere colpire ospedali, acquedotti e altre infrastrutture essenziali, fino a mettere in difficoltà un’intera nazione; per questa ragione, la stessa AI impiegata dagli attaccanti deve essere utilizzata sul fronte difensivo.
Sul piano operativo, i difensori possono impiegare la stessa tecnologia per classificare gli asset, stabilire i comportamenti attesi e riconoscere le anomalie prima che diventino incidenti: è necessario rispondere utilizzando strumenti altrettanto avanzati.
Pubblico e privato sono esposti allo stesso rischio
La differenza fra sanità pubblica e privata riguarda soprattutto la lunghezza della catena decisionale e la rapidità con cui il riconoscimento di una necessità può tradursi in un investimento. Altavilla osserva che “nel privato può esserci una maggiore rapidità nel prendere una decisione, una volta riconosciuta la necessità di intervenire”, ma dal punto di vista dell’esposizione e dell’impatto non esiste una differenza sostanziale.
Anche gli ospedali privati possono subire incidenti importanti e rimanere con i servizi indisponibili per periodi prolungati. La qualità della protezione dipende soprattutto dalla capacità di conoscere l’ambiente, assegnare responsabilità chiare e trasformare le decisioni in interventi.
Dal singolo ospedale alla governance regionale
Armis from ServiceNow ha sviluppato progetti con singole grandi organizzazioni sanitarie, fra le quali l’ASL Napoli 1 Centro e il Policlinico San Matteo di Pavia, ma anche iniziative di portata regionale.
L’ASL Napoli 1 Centro, racconta Altavilla, è una delle realtà sanitarie più importanti del Sud Italia e doveva affrontare una situazione particolarmente complessa; dopo avere implementato la soluzione, ha scelto di condividere pubblicamente il percorso compiuto e i risultati ottenuti.
Nei progetti regionali, l’interlocutore può essere la società in-house che governa i servizi tecnologici del territorio. La piattaforma non viene utilizzata soltanto per osservare un singolo ospedale, ma per controllare trenta, quaranta o cinquanta presidi attraverso una regia comune.
Secondo Altavilla, “monitorare centralmente tutti gli ospedali attraverso un Security Operation Center e un’unica console permette di ottimizzare gli investimenti”; il beneficio principale riguarda però la sicurezza, perché in presenza di un breach è possibile capire in tempo reale dove si sta propagando e avvertire immediatamente le strutture interessate.
La governance centralizzata consente inoltre di uniformare policy, procedure e aderenza alle normative, evitando che ogni presidio affronti la cybersecurity con strumenti e livelli di maturità differenti.
La visione regionale non si estende automaticamente all’intera filiera composta da laboratori esterni, aziende farmaceutiche, medici e fornitori che scambiano dati o servizi con le strutture sanitarie. “Nei progetti regionali ci siamo concentrati sulla componente propriamente sanitaria”, chiarisce Altavilla; la piattaforma è applicabile anche agli altri soggetti della supply chain, ma la loro inclusione dipende dalle scelte delle singole organizzazioni.
La protezione del sistema ospedaliero rappresenta dunque un passo importante, ma non equivale ancora alla sicurezza dell’intera filiera: “Più elementi dell’ecosistema vengono messi in sicurezza”, osserva Altavilla, “maggiore è la resilienza complessiva”.
Asset, identità e workflow nella strategia ServiceNow
L’acquisizione di Armis da parte di ServiceNow, insieme a quella di Veza, punta a collegare la conoscenza degli asset, la gestione delle identità e l’esecuzione dei processi di risposta.
Altavilla riassume così il significato dell’operazione: “L’ingresso in ServiceNow ha rafforzato la nostra capacità di aiutare i clienti ad anticipare gli attacchi e a gestire in modo più efficace le esposizioni”. La strategia ruota intorno a quattro domande, che riguardano la conoscenza degli asset, gli accessi, le priorità e la remediation.
La prima – che cosa possiedo nella mia infrastruttura? – trova risposta nella capacità di Armis from ServiceNow di identificare ogni dispositivo. ServiceNow offriva già visibilità attraverso il CMDB, che tuttavia non sempre disponeva del contesto dettagliato associato al singolo indirizzo IP: occorre capire se corrisponda a una telecamera, a una stampante o a un dispositivo medicale, oltre a conoscerne il sistema operativo, il software installato e lo stato degli aggiornamenti.
La seconda domanda – chi o che cosa ha accesso? – chiama in causa Veza, che aggiunge visibilità sulle identità e sulle autorizzazioni, considerando persone, macchine e agenti AI. Il controllo deve identificare continuamente chi dispone di un accesso, con quali modalità, per quale ragione e in quale momento.
La terza questione consiste nello stabilire perché una determinata esposizione sia importante. Armis e ServiceNow permettono di individuare le criticità, attribuire un risk scoring e collegare le vulnerabilità al loro contesto, affinché esposizioni con impatti differenti sul servizio sanitario non vengano trattate allo stesso modo.
La quarta domanda è infine come risolvere il problema: occorre individuare il responsabile della remediation e attivare le azioni richieste prima e dopo un breach. L’integrazione fra ServiceNow e Armis permette così di costruire un processo completo, dalla scoperta dell’asset fino alla risoluzione del problema. L’unione fra asset intelligence, identity intelligence e workflow punta quindi a colmare la distanza fra conoscenza e intervento.
Quando gli attacchi si sviluppano a velocità macchina
Le capacità mostrate dai modelli di intelligenza artificiale più avanzati indicano una drastica compressione dei tempi necessari per individuare e potenzialmente sfruttare una vulnerabilità. “Gli attacchi basati sull’intelligenza artificiale non si muovono più soltanto nei tempi umani, quindi nell’arco di settimane o giorni, ma possono svilupparsi in pochi secondi”, osserva Altavilla.
A fronte di questa accelerazione, la risposta deve combinare in tempo reale la visibilità sugli asset, il controllo delle identità e la capacità operativa di intervento: “ServiceNow rappresenta il cervello operativo, Armis vede ciò che è presente nell’infrastruttura e Veza aggiunge la dimensione dell’identità. Queste componenti devono operare contemporaneamente”.
Per gli ospedali, la differenza sarà determinata dalla capacità di trasformare una quantità enorme di segnali in poche decisioni rilevanti e di tradurle in azioni immediate: vedere tutto è il primo requisito, ma la sicurezza si misura nella capacità di capire che cosa conta davvero e intervenire prima che l’attacco comprometta la continuità delle cure.
