Secondo Roberto Marzocca, Head of Cybersecurity di Kirey, la priorità di banche e intermediari non è più soltanto rilevare le vulnerabilità; bisogna individuare quelle realmente sfruttabili e ridurne l’esposizione prima che possano trasformarsi in un incidente.
Milano, 09 novembre 2026 – Già da qualche tempo si è fatta strada la consapevolezza che la cybersecurity non può più essere interpretata come la semplice capacità di presidiare un perimetro; quel perimetro, del resto, non esiste più nella forma in cui lo abbiamo conosciuto.
Oggi comprende infatti ambienti cloud, applicazioni, API, componenti legacy, identità umane e tecniche, fornitori, partner e supply chain. È un ecosistema molto più ampio e interconnesso, in cui il rischio raramente risiede in un singolo elemento isolato.
Oggi comprende infatti ambienti cloud, applicazioni, API, componenti legacy, identità umane e tecniche, fornitori, partner e supply chain. È un ecosistema molto più ampio e interconnesso, in cui il rischio raramente risiede in un singolo elemento isolato.
Nel frattempo, gli attacchi diventano ogni giorno più sofisticati. Non tanto perché l’AI riesca a inventare minacce del tutto nuove, ma perché sta rendendo più veloci, scalabili e accessibili molte delle attività alla base di un’aggressione informatica: dalla raccolta di informazioni alla creazione di campagne di phishing più credibili, fino alla ricerca di punti deboli in infrastrutture e applicazioni.
Il rischio assume dunque un nuovo profilo: saper affrontare un contesto in cui il ciclo di attacco può essere più veloce di molti processi tradizionali di rilevazione, valutazione e risposta. Si riduce così il tempo che intercorre tra l’emergere di una vulnerabilità e il momento in cui può essere individuata, raggiunta e sfruttata.
Il rischio assume dunque un nuovo profilo: saper affrontare un contesto in cui il ciclo di attacco può essere più veloce di molti processi tradizionali di rilevazione, valutazione e risposta. Si riduce così il tempo che intercorre tra l’emergere di una vulnerabilità e il momento in cui può essere individuata, raggiunta e sfruttata.
Per il settore bancario, questa non è una sfumatura tecnica. Ogni finestra di esposizione può mettere a rischio dati sensibili, processi essenziali, servizi rivolti ai clienti e, in ultima analisi, la fiducia che sostiene il rapporto con il mercato.
In un contesto dove continuità operativa e conformità sono elementi strutturali, la cybersecurity bancaria diventa sempre più una questione di velocità reattiva, oltre che di protezione. Cambia una delle domande fondamentali a cui è chiamata a rispondere la sicurezza informatica: non più quante vulnerabilità abbiamo rilevato, ma quali di queste possono davvero diventare una porta d’accesso ai processi più critici?
In un contesto dove continuità operativa e conformità sono elementi strutturali, la cybersecurity bancaria diventa sempre più una questione di velocità reattiva, oltre che di protezione. Cambia una delle domande fondamentali a cui è chiamata a rispondere la sicurezza informatica: non più quante vulnerabilità abbiamo rilevato, ma quali di queste possono davvero diventare una porta d’accesso ai processi più critici?
CTEM: un approccio per governare l’esposizione in modo continuo
Non tutte le debolezze sono uguali: la priorità è individuare quelle che possono generare impatti reali sul business. Per farlo, però, serve una capacità continua di lettura dell’esposizione.
Non tutte le debolezze sono uguali: la priorità è individuare quelle che possono generare impatti reali sul business. Per farlo, però, serve una capacità continua di lettura dell’esposizione.
In ambito cybersecurity, il Continuous Threat Exposure Management (CTEM) si sta affermando come un approccio strutturato per identificare, valutare e ridurre le esposizioni sulla base del rischio effettivo. Non coincide con il tradizionale vulnerability management e non si risolve nell’acquisto di una nuova piattaforma. Richiede piuttosto di integrare tecnologie, processi, responsabilità e contesto di business in un metodo che consenta di concentrare risorse e attenzione sulle esposizioni che possono compromettere gli asset più rilevanti.
In altri termini, Il CTEM offre un modello per passare da una gestione reattiva dei segnali a una prioritizzazione basata sul rischio effettivo. Il suo valore risiede nella continuità del processo, sintetizzabile in 5 momenti:
· Scoping: definire l’ambito di analisi, dagli asset critici a dati, cloud, identità, applicazioni e terze parti.
· Discovery: rilevare vulnerabilità, misconfiguration, esposizioni esterne e rischi connessi a identità e accessi.
· Prioritization: ordinare le esposizioni in base alla loro sfruttabilità, al potenziale impatto e allacriticità per il business.
· Validation: verificare se uno scenario sia effettivamente sfruttabile, anche attraverso simulazioni e tecniche di attack validation.
· Mobilization: attivare remediation, workflow e responsabilità, monitorando i KPI e alimentando meccanismi di miglioramento continuo.
· Discovery: rilevare vulnerabilità, misconfiguration, esposizioni esterne e rischi connessi a identità e accessi.
· Prioritization: ordinare le esposizioni in base alla loro sfruttabilità, al potenziale impatto e allacriticità per il business.
· Validation: verificare se uno scenario sia effettivamente sfruttabile, anche attraverso simulazioni e tecniche di attack validation.
· Mobilization: attivare remediation, workflow e responsabilità, monitorando i KPI e alimentando meccanismi di miglioramento continuo.
Il caso specifico del banking: correlare tecnologia, identità e processi critici
Nel settore bancario la complessità aumenta, perché l’esposizione non può essere letta soltanto in termini infrastrutturali. Occorre considerare asset e applicazioni critiche, identità e privilegi, configurazioni, connessioni cloud, API, fornitori e segnali provenienti dalla threat intelligence. Soprattutto, è necessario collegare questi elementi ai processi che sostengono l’operatività della banca, la continuità dei servizi e la protezione dei clienti.
Nel settore bancario la complessità aumenta, perché l’esposizione non può essere letta soltanto in termini infrastrutturali. Occorre considerare asset e applicazioni critiche, identità e privilegi, configurazioni, connessioni cloud, API, fornitori e segnali provenienti dalla threat intelligence. Soprattutto, è necessario collegare questi elementi ai processi che sostengono l’operatività della banca, la continuità dei servizi e la protezione dei clienti.
Le identità, in particolare, rappresentano un punto di osservazione cruciale. Utenti, account amministrativi, account tecnici, applicazioni e fornitori possono costituire punti di accesso a sistemi e dati. Comprendere chi può accedere a cosa, con quali privilegi e attraverso quali relazioni di fiducia è ormai essenziale quanto monitorare una rete o applicare una patch.
L’intelligenza artificiale in questo caso può essere un aiuto, supportando i team di sicurezza nella correlazione di grandi quantità di segnali, nell’individuazione di anomalie, nella prioritizzazione delle esposizioni e nell’orchestrazione delle attività di verifica e risposta. In altre parole, può contribuire a trasformare informazioni frammentate in decisioni più tempestive.
Il ricorso a sistemi AI e agenti, tuttavia, non può tradursi in una delega indiscriminata. Nel banking, ogni forma di autonomia deve essere definita entro confini precisi: quali dati possono essere trattati, quali strumenti possono essere utilizzati, quali azioni possono essere avviate automaticamente e quando è necessaria l’approvazione umana.
La tracciabilità delle decisioni, la gestione dei privilegi, la separazione dei ruoli e i meccanismi di escalation diventano condizioni essenziali per far sì che la velocità non comprometta controllo e responsabilità.
AI e cybersecurity: l’autonomia è utile solo se resta governabile
Anche il quadro regolatorio spingein questa direzione. DORA, AI Act e gli altri requisiti applicabili non chiedono solo di introdurre controlli aggiuntivi, ma di rendere più solidi e dimostrabili processi, responsabilità, gestione delle terze parti e capacità di risposta.
Anche il quadro regolatorio spingein questa direzione. DORA, AI Act e gli altri requisiti applicabili non chiedono solo di introdurre controlli aggiuntivi, ma di rendere più solidi e dimostrabili processi, responsabilità, gestione delle terze parti e capacità di risposta.
Ma proprio la crescente attenzione regolatoria verso resilienza operativa, terze parti, dati e AI può offrire l’occasione per costruire un linguaggio condiviso tra cybersecurity, risk, compliance, IT e business.
In quest’ottica, la gestione dell’esposizione diventa una funzione trasversale, che consente di rendere leggibili le priorità, attribuire le responsabilità e documentare concretamente gli interventi effettuati.
Nel banking, la metrica decisiva per la cybersecurity non sarà quindi il numero di alert gestiti o di vulnerabilità chiuse, ma il tempo necessario per identificare le esposizioni più rilevanti, valutarne la sfruttabilità e intervenire.
La cyber resilience dipenderà sempre più dalla capacità di chiudere la finestra di esposizione prima che possa essere sfruttata; l’AI potrà contribuire ad accorciarla, accelerando analisi e interventi, purché il suo utilizzo garantisca tracciabilità delle decisioni, gestione degli accessi, visibilità sugli impatti e chiara attribuzione delle responsabilità.