Le minacce informatiche più immediate non arrivano necessariamente da vulnerabilità sconosciute o tecniche d’attacco inedite. Spesso si annidano nei problemi che le imprese hanno già individuato, ma non sono riuscite a correggere. L’analisi di oltre 800 mila asset IT restituisce un quadro netto: un asset su tre è privo di almeno un controllo di sicurezza critico, mentre una parte consistente dell’infrastruttura aziendale rimane fuori dai processi ordinari di protezione.
Quasi un asset su cinque, pari al 19%, utilizza software o hardware arrivato a fine vita, quindi non più supportato con aggiornamenti di sicurezza. Un ulteriore 17% non è coperto dagli strumenti tradizionali di vulnerability management. La superficie d’attacco non si limita dunque ad ampliarsi: diventa frammentata, difficile da ricostruire e distribuita tra infrastrutture locali, servizi cloud, applicazioni SaaS, dispositivi remoti e integrazioni con soggetti terzi.
In questo scenario, gli attaccanti non devono sempre sviluppare nuove capacità. Le dieci vulnerabilità sfruttate più frequentemente nei recenti casi di incident response disponevano già di correzioni pubblicate dai rispettivi fornitori, spesso da mesi. Il problema si sposta così dalla disponibilità delle patch alla loro effettiva applicazione. Le organizzazioni sanno identificare molte falle, ma incontrano maggiori difficoltà nel definire le priorità, intervenire sui sistemi interessati e verificare che la correzione sia stata completata.
La stessa dinamica riguarda gli strumenti utilizzati ogni giorno per collegarsi alle reti aziendali. Il 65% degli incidenti ha coinvolto l’abuso di servizi di accesso remoto come VPN, RDP e piattaforme di gestione a distanza. Si tratta di componenti centrali dell’IT moderno, non di tecnologie marginali. Il rischio si accumula quindi nello spazio operativo tra ciò che l’organizzazione conosce, ciò che decide di correggere e ciò che riesce concretamente a mettere in sicurezza.
Alla base di queste lacune emerge un problema di visibilità degli asset. Ogni livello dell’infrastruttura tende a essere amministrato con strumenti e inventari differenti, senza che nessuno restituisca una vista completa. Alcuni dispositivi restano esclusi dai cicli di aggiornamento, altri non dispongono di protezione endpoint e interi sistemi non vengono sottoposti a scansione. Un inventario incompleto può così trasformare risorse ancora operative in asset virtualmente invisibili ai responsabili della sicurezza.
La tecnologia legacy rende il quadro ancora più complesso. In settori come sanità, manifattura e servizi finanziari, i sistemi end-of-life possono essere incorporati in processi critici e risultare difficili da sostituire. Continuano però a esporre vulnerabilità note senza ricevere nuove correzioni. In alcuni casi, sistemi considerati dismessi risultano ancora attivi: una discrepanza che genera punti ciechi persistenti e indebolisce l’attendibilità delle informazioni presentate ai vertici aziendali.
Anche affidarsi a un solo sistema di record può produrre una percezione distorta. In un caso, un’azienda riteneva di avere una copertura completa della protezione endpoint; un’analisi indipendente ha invece rilevato dispositivi del tutto assenti dal sistema. Per le imprese britanniche ed europee, inventari inaccurati complicano inoltre la capacità di dimostrare controlli efficaci e verificabili richiesta da quadri come NIS2, il Digital Operational Resilience Act e il previsto Cyber Security and Resilience Bill britannico.
La risposta passa da un approccio più ampio del semplice censimento e punteggio delle vulnerabilità. L’exposure management combina scoperta continua degli asset, dati provenienti da più sistemi e contesto operativo per stabilire quali rischi affrontare prima, verificando poi l’avvenuta correzione. Le organizzazioni con pratiche più mature registrano riduzioni superiori al 40% in categorie di rischio come controlli mancanti e asset a fine vita. La sicurezza torna così a misurarsi sulla capacità di gestire sistematicamente ciò che è già noto.