“Il tema della cyber security oggi va oltre l’aspetto tecnico: è una priorità strategica che coinvolge direttamente la sopravvivenza e la competitività delle aziende”. In questo modo, durante l’evento CyberRes 2026 organizzato da Reportec, Andrea Veca, che nel 1994 ha fondato Achab (oggi evoluta in Elovade Italia) e figura storica del panorama della sicurezza IT italiana, ha invitato imprenditori e manager a superare definitivamente l’idea che gli attacchi informatici siano problemi confinati ai reparti IT.
L’incidente informatico come rischio d’impresa
“Un incidente IT è un problema di business, sia nelle cause sia nelle conseguenze”, ha affermato Veca. Un’analisi che parte da un principio semplice ma spesso trascurato: ogni organizzazione deve valutare il rischio cyber con lo stesso approccio utilizzato per qualsiasi altra minaccia operativa, considerando probabilità, costi e impatti reali sul proprio modello di business.
Per spiegare questo concetto, Veca utilizza esempi concreti. La resilienza non è un investimento standardizzato, ma deve essere calibrata sulla realtà dell’azienda. Come nel caso della foratura di uno pneumatico: chi si muove in città può cavarsela con un semplice ruotino, mentre chi attraversa ambienti ad alto rischio deve adottare misure molto più robuste.
Quanto costa davvero un attacco
Uno degli aspetti centrali della riflessione di Veca riguarda la difficoltà di quantificare correttamente il costo di un incidente di cyber sicurezza. Non si tratta soltanto di ripristinare sistemi o recuperare dati. Il danno può includere un fermo produttivo, la perdita di fatturato, i costi legali, le sanzioni normative, la gestione della comunicazione verso clienti e stakeholder, i danni reputazionali e persino la perdita di clienti nel medio-lungo termine. “Il costo reale di un incidente è molto più ampio di quanto molte aziende siano disposte ad ammettere”, ha sottolineato.
A questi elementi si aggiunge una componente spesso invisibile ma significativa: il costo umano. Stress, burnout e pressione decisionale possono lasciare segni profondi all’interno dei team e nei vertici aziendali.
Il problema dell’incomunicabilità
Secondo il pensiero di Veca, uno dei principali ostacoli alla costruzione di una vera resilienza aziendale è la mancanza di dialogo tra chi gestisce la tecnologia e chi prende decisioni strategiche.
Da una parte ci sono CIO, CISO, IT manager e fornitori specializzati, che comprendono il rischio tecnico. Dall’altra CEO, CFO e board, che controllano budget e strategie ma spesso non percepiscono pienamente la portata delle minacce cyber. “Queste due realtà non comunicano abbastanza – ha osservato Veca –. E senza comunicazione non si può fare vera gestione del rischio”.
La conseguenza è che la cyber security continua a essere percepita come costo anziché come leva di protezione del valore aziendale.
Parlare la lingua del management
Uno dei consigli più pragmatici offerti da Veca ai responsabili IT è cambiare approccio comunicativo. “Non parlate di firewall, patch o vulnerabilità. Parlate di numeri, di impatto economico, di continuità operativa”. Tradurre il rischio cyber in termini di business consente ai vertici aziendali di comprenderne meglio il valore e di prendere decisioni più consapevoli.
Secondo Veca, chi si occupa di sicurezza deve uscire da una posizione difensiva e assumere un ruolo più autorevole nei processi decisionali, chiedendo non solo budget ma anche delega operativa.
Dal rischio alla strategia
Il messaggio di fondo è che la resilienza informatica non può essere improvvisata nel momento della crisi. Deve essere progettata, discussa e aggiornata costantemente. Framework internazionali, modelli di risk assessment e analisi dei dati esistono già, ma il vero salto di qualità avviene quando l’azienda decide di integrarli nella propria governance.
“Meglio una valutazione imperfetta che nessuna valutazione”, ha precisato Veca, sottolineando come molte imprese restino paralizzate dalla ricerca di precisione assoluta invece di adottare strumenti concreti e immediati.
Una nuova cultura della sicurezza
L’approccio di Andrea Veca si distingue per il forte orientamento culturale. La cyber security non deve essere affrontata solo come difesa tecnica, ma come trasformazione manageriale.
Prepararsi prima dell’emergenza, costruire consapevolezza interna, favorire la collaborazione tra reparti e misurare il rischio in termini economici diventano così elementi essenziali. “L’obiettivo è costruire consapevolezza quando si può, non quando si deve”. In questa visione, la sicurezza informatica diventa parte integrante della strategia d’impresa e non più una semplice funzione di supporto.
Guardare oltre la tecnologia
In un’epoca in cui ransomware, interruzioni operative e crisi reputazionali possono compromettere seriamente la stabilità aziendale, Veca ha messo l’accento sul fatto che la resilienza non si costruisce soltanto con strumenti tecnologici, ma con una governance capace di integrare rischio, business e decisione strategica. “Per le aziende italiane – ha concluso Veca – la vera sfida non è soltanto difendersi dagli attacchi, ma imparare a considerare la cyber security come parte integrante della propria crescita”.