Approfondimenti
L’importanza strategica della sicurezza informatica
|
|
Global Equity Observer
|
• |
marzo 27, 2026
|
L’importanza strategica della sicurezza informatica
|
marzo 27, 2026
|
L’importanza strategica della sicurezza informatica
L’importanza strategica della sicurezza informatica |
|
| Pricing info as of |
|---|
| Pricing info as of |
|---|
BDC Pricing Table Component
Un attacco informatico può cancellare in poche settimane un anno di profitti operativi, rendendo la sicurezza informatica una necessità difensiva.
Con il proseguire della digitalizzazione, l’accelerazione dell’intelligenza artificiale (AI) e il perdurare delle tensioni geopolitiche, la frequenza, la sofisticazione e le conseguenze finanziarie degli attacchi informatici continuano ad aumentare. Oggi sono esposte aziende di tutti i settori, non solo quelle tradizionalmente considerate ad alto rischio. Per gli investitori di lungo periodo, l’interrogativo non è se esista o meno un rischio informatico, ma se le società siano preparate a gestirlo.
Nel 2025 abbiamo applicato il nostro framework proprietario di valutazione della sicurezza informatica ad alcune società in portafoglio che riteniamo relativamente esposte al rischio cyber, con l’obiettivo di valutare questo rischio potenzialmente rilevante sotto il profilo finanziario a livello aziendale.
Il panorama delle minacce
Si stima che nel 2025 i reati informatici abbiano comportato costi pari a USD 10.500 miliardi, superando gli investimenti in sicurezza informatica di quasi 50 volte. 1 L’agenzia di credito Equifax offre un esempio efficace della crescente frequenza degli attacchi: nel 2024 ha risposto a oltre 15 milioni di minacce informatiche, pari a quasi 175 tentativi ostili al secondo e con un aumento del 25% rispetto al 2023.2 Gli incidenti di alto profilo continuano a evidenziare l’entità dei potenziali danni. Nel Regno Unito, nel 2025 gli attacchi ransomware hanno interrotto le operazioni di grandi aziende, contribuendo a centinaia di milioni di perdite in termini di profitti mancati e costi di ripristino.
Molti dirigenti riconoscono che la preparazione per far fronte a tali eventi presenti ancora lacune. Un’indagine condotta tra i Chief Information Security Officer3 indica che la maggioranza si aspetta un attacco di rilievo nei prossimi 12 mesi. Ciò nonostante, una percentuale significativa di costoro non si sente adeguatamente preparata a rispondere.
La diffusione capillare della digitalizzazione fa sì che oggi ogni azienda sia, di fatto, un’azienda basata sui dati. Di conseguenza, si è ampliata la dimensione della superficie di attacco delle aziende – ossia il numero di potenziali punti di accesso attraverso i quali un soggetto non autorizzato può entrare in un sistema ed estrarre dati. Ulteriori fattori che possono ampliare la superficie di attacco di un’azienda includono:
- Un abbondante ricorso all’automazione e all’Internet of Things (IoT)4
- Una maggiore dipendenza dalle infrastrutture cloud e ibride
- Una sempre maggiore dipendenza da fornitori terzi
- La maggiore complessità delle filiere produttive globali
- L’ampliamento e la maggiore dispersione degli organici
- Attività di M&A5 in corso
L’errore umano resta una delle principali cause di violazioni riuscite, ma le vulnerabilità della catena di fornitura stanno diventando altrettanto rilevanti. In particolare per le aziende che crescono attraverso acquisizioni, un’integrazione inadeguata della due diligence in materia di sicurezza informatica può introdurre rischi nascosti.
Tecnologie rivoluzionarie di nuova generazione
L’intelligenza artificiale sta ridefinendo la sicurezza informatica. Da un lato, l’intelligenza artificiale generativa (GenAI) abbassa la soglia di accesso per gli attaccanti. Le campagne di phishing diventano più convincenti, la scansione delle vulnerabilità può essere automatizzata su larga scala e le attività malevole possono essere eseguite con maggiore rapidità e sofisticazione. D’altro canto, però, le difese basate sull’IA possono ridurre in modo significativo il tempo necessario per individuare e contrastare le minacce. Secondo alcune ricerche, le aziende che utilizzano l’IA per rafforzare le misure di sicurezza informatica sostengono mediamente costi inferiori in caso di violazione e mostrano una maggiore rapidità nel contenimento degli incidenti.6 Tuttavia, a nostro avviso, è fondamentale considerare anche i requisiti di sicurezza aggiuntivi associati agli strumenti di IA, poiché la ricerca individua proprio nelle vulnerabilità legate all’IA il rischio informatico in più rapida crescita nel 2025.7
Il quantum computing rappresenta una minaccia più lontana nel tempo, ma potenzialmente trasformativa. La prospettiva di attacchi di tipo “harvest now, decrypt later”, che prevedono la sottrazione di dati crittografati da decrittografare in un secondo momento, introduce un rischio per i dati sensibili destinati a essere conservati a lungo, come gli archivi finanziari, la proprietà intellettuale e le informazioni sanitarie. Tuttavia, le contromisure sono già in fase di sviluppo. Nel 2024 il National Institute of Standards and Technology (NIST) degli Stati Uniti ha pubblicato i primi standard di crittografia post‑quantistica (Post‑Quantum Cryptography, PQC), e le agenzie statunitensi per la cybersicurezza stanno già sollecitando le organizzazioni ad avviare iniziative di preparazione all’era quantistica. Considerato che, nell’ambito della crittografia, le transizioni hanno storicamente richiesto molti anni, riteniamo prudente prepararsi con anticipo alla crittografia post‑quantistica, in particolare per le società che detengono dati sensibili di lunga durata.
Modello proprietario per la valutazione della sicurezza informatica
Per valutare la sicurezza informatica in modo strutturato e comparabile, abbiamo sviluppato un modello di valutazione proprietario. Il modello tiene conto di indicatori positivi e negativi su sei pilastri:
1. Governance: a nostro avviso, le best practice includono una supervisione della sicurezza informatica a livello di consiglio di amministrazione, la presenza di amministratori con competenze specifiche e una chiara definizione delle responsabilità. A nostro avviso, la sicurezza deve essere integrata nella gestione dei rischi aziendali, non trattata come una funzione IT isolata.
2. Risorse, formazione e cultura: la tecnologia da sola non è sufficiente. In linea con il nostro modello, un approccio maturo dovrebbe prevedere team specialistici, simulazioni di phishing – con attività di formazione aggiuntiva per i dipendenti che non superano i test – e una cultura aziendale basata sulla consapevolezza dei principi della sicurezza informatica.
3. Rischio legato a terze parti e a operazioni di M&A: all’interno del nostro framework, ci concentriamo sull’evidenza di un ecosistema resiliente, che includa la due diligence sulla catena di fornitura, adeguate tutele contrattuali e l’integrazione dell’analisi della sicurezza informatica nelle decisioni di acquisizione.
4. Processi e controlli: tra gli indicatori positivi rientrano l’allineamento a framework riconosciuti, nonché la presenza di controlli quali la gestione delle identità e degli accessi, i sistemi di rilevamento e risposta sugli endpoint, e la gestione delle minacce e delle vulnerabilità. Sono elementi positivi anche le difese basate sull’IA, la sensibilizzazione e la pianificazione in vista dell’adozione della crittografia post-quantistica.
5. Preparazione alla risposta: la rapidità delle misure di contenimento spesso determina la portata delle ripercussioni finanziarie. Il nostro framework valuta inoltre se le aziende effettuino test regolari dei piani di risposta agli incidenti, simulazioni a livello di top management e attività di pianificazione degli scenari.
6. Certificazione esterna: Valutiamo inoltre la presenza di verifiche indipendenti, certificazioni (come ISO 270018), coperture assicurative per sinistri in ambito informatico e un’informativa quantitativa trasparente.
Nel 2025 abbiamo avviato un dialogo con 10 società presenti nei nostri portafogli che riteniamo essere maggiormente esposte al rischio di sicurezza informatica. Per quanto non sia mai possibile escludere un attacco informatico di entità rilevante, riteniamo che tali società stiano, nel complesso, gestendo il rischio in modo appropriato. Esempi di best practice includono:
- Implementazione di difese basate sull’intelligenza artificiale, che riducono in modo significativo i tempi medi di rilevamento e intervento in caso di incidente.
- Cessazione dei rapporti con i fornitori e persino rinuncia alle acquisizioni in presenza di standard di sicurezza inadeguati.
- Adozione di una strategia di dual sourcing per rafforzare la resilienza della catena di fornitura.
- Implementazione di controlli per limitare il “raggio di impatto” di un attacco, ad esempio tramite la segmentazione della rete e l’autenticazione a più fattori.
- Utilizzo di quanto appreso da incidenti precedenti, a dimostrazione di una cultura di miglioramento continuo.
- Ottenimento di certificazione indipendente sui controlli (ad esempio con la ISO 27001)
- Disclosure di metriche quantitative per migliorare la trasparenza nei confronti degli investitori.
- Test delle prestazioni in fase iniziale degli standard di crittografia post‑quantistica.
Implicazioni per gli investimenti: rischi e opportunità
L’accelerazione del contesto di rischio sta trainando una crescita strutturale della spesa in sicurezza informatica. Secondo alcune stime di settore, nel 2025 la spesa globale per la sicurezza informatica supererà USD 200 mld e continuerà a crescere a tassi a doppia cifra.9 Un sondaggio tra i CIO aziendali ha rivelato che il budget per la sicurezza informatica sta crescendo più rapidamente della spesa complessiva per il software.10
Un simile contesto genera sia rischi sia opportunità. Sotto il profilo dei rischi, le società che investono in modo insufficiente nella sicurezza informatica hanno maggiori probabilità di subire un attacco con impatti finanziari rilevanti. Sotto il profilo delle opportunità, i fornitori di servizi di sicurezza informatica operanti su ampia scala e le piattaforme integrate negli ecosistemi aziendali possono beneficiare di una crescita sostenuta della domanda.
All’interno dei nostri portafogli deteniamo società con una significativa esposizione alla sicurezza informatica, tra cui:
- Microsoft, che gestisce il più grande business di sicurezza informatica del mondo, per un valore stimato di USD 30 mld, che negli ultimi tre anni è più che raddoppiato.11
- Visa, che sta sfruttando le competenze maturate nell’ambito della sicurezza dei pagamenti e della prevenzione delle frodi per fornire alla clientela servizi di consulenza in materia di sicurezza informatica.
- Alphabet, che è pronta ad aumentare la propria esposizione alla sicurezza informatica attraverso l’acquisizione da USD 32 mld, attualmente in corso, di Wiz, una delle più importanti piattaforme di sicurezza cloud.
- Experian, le cui soluzioni di verifica dell’identità e prevenzione delle frodi hanno aiutato aziende in tutto il mondo a evitare perdite da frodi per un importo, secondo le stime, di USD 19 mld.12
Una magra consolazione
Nessun sistema di sicurezza informatica è in grado di garantire una protezione completa. Siamo tuttavia dell’avviso che stia diventando sempre più importante distinguere tra le società che sono preparate e quelle che non lo sono. La resilienza informatica costituisce al tempo stesso una necessità difensiva e un possibile vantaggio competitivo. Le società che integrano una governance solida, investono in misure difensive avanzate e sanno adattarsi in modo proattivo al cambiamento tecnologico sono, a nostro avviso, meglio posizionate per proteggere le proprie attività operative e il valore per gli azionisti.
|
Executive Director
International Equity Team
|
 |
Greg Heywood
Vice President
Team International Equity |