L’evoluzione delle minacce, l’esplosione delle superfici di attacco e la crescente pressione regolatoria impongono alle aziende un cambio di paradigma: non basta più chiedersi se si è sotto attacco, ma comprendere quanto si è realmente esposti e con quale rapidità si è in grado di reagire.
Al recente evento CyberRes 2026 di Milano, Salvatore Di Blasi, sales engineer di SentinelOne, ha descritto questo scenario come una trasformazione profonda del concetto stesso di sicurezza aziendale. “Oggi le organizzazioni dispongono di moltissimi strumenti di protezione, automazione e intelligence, ma quando il board chiede qual è la reale esposizione dell’azienda, la risposta spesso non è immediata – ha osservato Di Blasi –. Il vero nodo è trasformare segnali tecnici complessi in decisioni di governance rapide, efficaci e continuative”.
Gli obblighi imposte dalla compliance
La questione assume una rilevanza ancora maggiore alla luce delle nuove normative europee, come NIS2, DORA e AI Act, che impongono obblighi stringenti in termini di dimostrazione continua della postura di sicurezza, responsabilità diretta del management e capacità di notifica tempestiva. La sicurezza diventa così una funzione centrale del business, con implicazioni dirette sui vertici aziendali.
Secondo SentinelOne, per affrontare questo scenario è necessario adottare una prospettiva offensiva nella gestione della sicurezza: osservare l’infrastruttura con gli occhi di un attaccante. “La domanda corretta non è soltanto ‘siamo protetti?’, ma ‘se un attaccante entrasse oggi, cosa vedrebbe? Dove potrebbe arrivare e con quale sforzo?’ – spiega Di Blasi –. Solo così possiamo comprendere davvero il nostro livello di esposizione”.
Questa impostazione ridefinisce il concetto di posture management, che si estende oltre la protezione tradizionale dell’endpoint per includere asset non governati, dispositivi di terze parti, supply chain, contractor e identità digitali. L’obiettivo è creare una fotografia dinamica, costantemente aggiornata, dell’intero ecosistema aziendale.
“Non si tratta di coprire ogni singolo asset con un’unica tecnologia – precisa Di Blasi –. L’interoperabilità è fondamentale: la resilienza nasce dalla capacità di integrare dati, piattaforme e strumenti diversi in un’unica visione strategica”.
I tre pilastri della cyber resilienza
La cyber resilienza moderna si fonda infatti su tre pilastri: visibilità, automazione e capacità predittiva. In questo contesto, l’intelligenza artificiale assume un ruolo centrale, sia come strumento difensivo sia come elemento di rischio da governare.
Gli attaccanti utilizzano ormai sistematicamente modelli di AI per sviluppare malware polimorfico, accelerare la scoperta di vulnerabilità e aumentare la velocità di esecuzione delle campagne offensive. Questo scenario rende sempre meno efficace un approccio difensivo basato esclusivamente sugli indicatori tradizionali di compromissione.
“Tenere sotto controllo solo hash, IP o URL malevoli non è più sufficiente – sottolinea Di Blasi –. Oggi serve analizzare il comportamento, il contesto e le sequenze operative per identificare realmente una minaccia”.
SentinelOne ha costruito la propria architettura proprio su questo principio: analisi autonoma direttamente sull’endpoint, machine learning avanzato e valutazione comportamentale contestualizzata. L’obiettivo è ridurre il volume di alert, minimizzare i falsi positivi e fornire agli analisti una narrativa completa degli incidenti.
Agli analisti servono strumenti per agire rapidamente
Uno dei principali problemi affrontati oggi dai SOC moderni è infatti la cosiddetta alert fatigue: migliaia di segnalazioni giornaliere, molte delle quali prive di reale criticità, rallentano i processi decisionali e aumentano il rischio di trascurare eventi realmente pericolosi.
“Non è sufficiente produrre più telemetria – osserva Di Blasi –. Bisogna renderla utile. Ridurre cinque alert scollegati a un’unica storyline coerente significa dare agli analisti strumenti concreti per agire rapidamente”.
In quest’ottica, la piattaforma SentinelOne utilizza AI, Large language model e automazione per trasformare la gestione degli incidenti in un processo più rapido, contestualizzato e scalabile. Dalla detection alla remediation, l’obiettivo è consentire una risposta a velocità macchina, fondamentale soprattutto in scenari in cui il presidio umano è limitato o assente.
Particolarmente innovativa è la capacità di rollback automatico, che consente di riportare sistemi compromessi allo stato pre-infezione, eliminando persistenze, ripristinando dati e riducendo drasticamente i tempi di recupero operativo. Questo approccio si inserisce perfettamente nel concetto di resilienza, intesa non solo come prevenzione, ma come capacità di mantenere continuità anche dopo un attacco.
“La resilienza si misura nella velocità con cui si può contenere, ripulire e ripristinare – afferma Di Blasi –. Automatizzare questi processi significa trasformare la sicurezza in continuità di business”.
Le nuove sfide dell’AI agentica
Parallelamente, l’adozione crescente di AI agentica nei processi di sicurezza introduce nuove sfide. Delegare capacità decisionali a modelli autonomi richiede sistemi di governance robusti, trasparenza operativa e protezione contro manipolazioni, prompt injection e data poisoning.
Per questo motivo, SentinelOne insiste sulla necessità di mantenere sempre l’essere umano nel loop decisionale. “L’AI è un acceleratore straordinario, ma non può essere priva di controllo – evidenzia Di Blasi –. Servono guardrail chiari, trasparenza e protezione continua dei modelli stessi”.
In definitiva, la cyber resilienza secondo SentinelOne rappresenta una convergenza tra security operations, governance normativa, automazione intelligente e gestione proattiva del rischio. Le aziende non possono più limitarsi a costruire barriere difensive statiche, ma devono sviluppare ecosistemi adattivi, capaci di comprendere la propria esposizione, prevedere i percorsi di attacco e reagire con rapidità.
“La sicurezza del futuro – conclude Di Blasi – non sarà definita dalla sola capacità di bloccare una minaccia, ma dalla capacità di comprendere il rischio, anticiparlo e garantire continuità operativa in qualsiasi scenario”.
