La sicurezza dei dati nell’era del cloud e dell’IA: cinque importanti campi d’azione
Cloud, SaaS e IA creano nuove opportunità per le aziende. Allo stesso tempo, i dati sensibili si distribuiscono in un numero sempre maggiore di sistemi, applicazioni e piattaforme. Pertanto, chi oggi vuole garantire la sicurezza dei dati non può limitarsi a proteggere i sistemi.
September 2026, Testo Andreas Heer 4 Min.
Un lunedì mattina in un edificio adibito a uffici in qualche parte della Svizzera. Il gruppo specialistico dedicato all’IA discute l’introduzione di nuove funzioni GenAI in Microsoft 365. Contemporaneamente, l’IT migra ulteriori carichi di lavoro nel cloud. I collaboratori lavorano con applicazioni SaaS, condividono documenti con i partner e salvano dati in ambienti diversi.
Una normale giornata di lavoro quindi. Cloud e IA sono onnipresenti e pongono la strategia di cibersicurezza aziendale di fronte a nuove sfide. Infatti, ormai da tempo la domanda fondamentale non è più se i sistemi siano sufficientemente protetti, bensì se sappiamo ancora dove si trovano i nostri dati sensibili, chi può accedervi e come vengono utilizzati.
La sicurezza dei dati è cambiata radicalmente. In passato l’obiettivo principale era proteggere server, reti e terminali dagli attacchi. Oggi i dati sensibili sono distribuiti tra Microsoft 365, Public Cloud, Private Cloud, applicazioni SaaS, servizi IA e sistemi on-premises. Per poter soddisfare i requisiti interni ed esterni in materia di protezione dei dati, le aziende devono garantire la trasparenza, il controllo e la tracciabilità dei loro dati.
La sicurezza dei dati diventa quindi un compito dirigenziale e di governance. Chi vuole usare il cloud e l’IA in modo sicuro deve considerare dati, accessi, governance e resilienza informatica come un tutt’uno.
L’attenzione si concentra in particolare su cinque campi d’azione.
1. Trasparenza: sapere dove si trovano i dati sensibili
Posso proteggere solo ciò che conosco. Si tratta di un principio semplice, ma sempre più difficile da mettere in pratica. I documenti vengono condivisi, salvati in locale, trasmessi a sistemi cloud o elaborati in diverse applicazioni. Il numero di luoghi di archiviazione è in costante aumento. Spesso anche la visione d’insieme diminuisce. Qui una piccola applicazione specialistica, lì una VM non disattivata per un test. Chi ha ancora tutto sotto controllo?
La domanda decisiva è quindi: le aziende sanno davvero dove vengono archiviati, trattati e condivisi i loro dati sensibili? E sanno chi può accedervi? «Secondo la mia esperienza, molte aziende hanno difficoltà a mantenere la trasparenza e il controllo sull’intero ciclo di vita dei dati. Una sfida è soprattutto quella di sapere quali dati necessitano di quale livello di protezione, chi può accedervi e dove si trovano i dati,» afferma Raffael Peluso, specialista di cibersicurezza presso Swisscom. «Spesso le difficoltà non risiedono nei sistemi centrali, ma nei sistemi periferici e nelle infrastrutture ibride.»
Ecco perché la Data Discovery, la classificazione dei dati e la trasparenza sui movimenti dei dati stanno acquistando sempre più importanza. Le aziende devono sapere quali dati devono essere protetti, dove si trovano e come vengono utilizzati. Solo in questo modo è possibile applicare efficacemente le disposizioni in materia di governance, le misure di Data Loss Prevention (DLP) o i requisiti in materia di audit.
La trasparenza non è quindi l’obiettivo della sicurezza dei dati. Ne è la premessa.
2. Cloud Security: collegare il controllo dei dati e dell’infrastruttura
Il cloud è da tempo una componente irrinunciabile dell’infrastruttura aziendale. Allo stesso tempo, il cloud sta cambiando radicalmente i requisiti in materia di sicurezza dei dati. Oggi i dati si trovano in ambienti ibridi e multi-cloud. Piattaforme, fornitori e responsabilità diverse rendono difficile una gestione uniforme delle direttive sulla sicurezza. A ciò si aggiungono nuovi concetti tecnologici come container o microservizi. «Negli ambienti ibridi e multi-cloud, l’elevata scalabilità, l’impiego di microservizi e la dinamica del cloud aumentano notevolmente la complessità,» afferma Peluso.
Questa complessità è terreno fertile per gli errori, sottolinea lo specialista di cibersicurezza: «Molti incidenti di sicurezza non derivano da attacchi avanzati, ma da errori di configurazione o da diritti di accesso troppo estesi. A ciò si aggiungono i rischi legati a responsabilità non chiare, dipendenza dai fornitori di servizi cloud e questioni relative alla sovranità dei dati. Soprattutto in Svizzera, le aziende devono inoltre soddisfare i requisiti normativi e di conformità in modo dimostrabile per tutte le piattaforme.»
La questione della sicurezza dei dati va al di là delle misure tecniche di protezione. Include anche la sovranità digitale di un’azienda. Lo Swisscom Cybersecurity Threat Radar 2026 annovera la sovranità digitale tra i principali sviluppi in materia di sicurezza. Infatti, chi non sa dove vengono elaborati i dati, chi vi può accedere e a quali condizioni quadro legali sono soggetti i fornitori di servizi cloud, nel lungo termine rischia di perdere il controllo.
Pertanto, la Cloud Security non può essere considerata separatamente come un tema infrastrutturale. È parte integrante della moderna sicurezza dei dati. Le aziende hanno bisogno di trasparenza sui carichi di lavoro sul cloud, di direttive sulla sicurezza coerenti e di una chiara comprensione di quali dati vengono trattati e dove. Cloud Governance, Cloud Security Assessment e tecnologie come CSPM (Cloud Security Posture Management) e CWPP (Cloud Workload Protection Platform) aiutano a recuperare questo controllo.
3. Governance dell’IA: favorire l’innovazione, evitare la perdita di dati
Al momento le aziende sono interessate soprattutto al tema dell’intelligenza artificiale. I vantaggi sono evidenti: soprattutto l’intelligenza artificiale generativa (GenAI) aumenta la produttività, accelera i processi e crea nuove opportunità di innovazione. Allo stesso tempo insorgono nuovi rischi per la sicurezza dei dati. I collaboratori utilizzano i servizi di IA, caricano documenti o inseriscono informazioni nei prompt. A ciò si aggiungono funzioni IA che vengono sempre più integrate direttamente nelle applicazioni aziendali.
L’IA non rappresenta quindi la sfida di per sé, ma rende più visibili i problemi esistenti e li intensifica. La sicurezza dei dati era già un compito di governance prima dell’avvento della GenAI. L’IA funge tuttavia da acceleratore, poiché i dati vengono elaborati, trasmessi e utilizzati più velocemente e su larga scala.
«La governance dell’IA riveste un ruolo centrale per le aziende svizzere,» afferma Peluso. «Crea le linee guida necessarie per un impiego sicuro, trasparente e responsabile dell’IA.» Una governance dell’IA efficace aiuta le aziende a ridurre le violazioni della protezione dei dati, le decisioni errate e l’utilizzo incontrollato dei dati. Allo stesso tempo, crea fiducia. «La governance dell’IA aiuta a realizzare i vantaggi commerciali dell’IA in modo sostenibile e controllato e ad aumentare le innovazioni e l’efficienza,» aggiunge Peluso.
Anche l’attuale Cybersecurity Threat Radar dimostra che questi rischi non sono teorici. In questo contesto, l’«Insecure AI» figura tra le sfide più importanti per le aziende. I sistemi di IA non sicuri possono rivelare dati confidenziali, creare nuove aree di attacco e causare rischi normativi. Per questo trasparenza, responsabilità chiare e governance efficace dell’IA diventano ancora più importanti.Per CIO e CISO ciò significa che l’uso dell’IA non dovrebbe essere né bloccato né consentito in modo incontrollato. Un approccio efficace prevede regole chiare, responsabilità e meccanismi di controllo. La sicurezza dei dati diventa così un enabler dell’innovazione e non un rallentamento.
4. Conformità: tracciabilità anziché reattivo esercizio obbligatorio
I requisiti normativi aumentano. Le leggi sulla protezione dei dati, le disposizioni specifiche del settore e le direttive interne di governance richiedono sempre più spesso alle aziende di dimostrare come gestiscono i dati sensibili.
Ma la conformità non inizia dall’audit, bensì dalla trasparenza, sottolinea Peluso: «La trasparenza è il presupposto per tutto, in particolare anche per la tracciabilità. Si può dimostrare solo ciò che è stato fatto in modo trasparente.»
Molte aziende considerano ancora la conformità come un esercizio obbligatorio. Al contrario, le organizzazioni di successo la considerano il risultato di una buona sicurezza dei dati. O, per usare le parole di Peluso: «La trasparenza e la tracciabilità costituiscono la base per una governance efficace nonché per gli audit e la conformità normativa. Senza questa trasparenza è difficile soddisfare i requisiti in materia di protezione dei dati, sicurezza dell’informazione o governance dell’IA.» L’effetto positivo va oltre i confini aziendali: «La tracciabilità e i processi documentati creano fiducia in clienti, partner, autorità di vigilanza e auditor,» sottolinea Peluso.
5. Resilienza informatica: proteggere l’attività aziendale a livello di dati
La resilienza informatica è spesso associata alla capacità di riconoscere e reagire agli attacchi informatici. Tuttavia, questo non basta. La resilienza inizia molto prima. Inizia chiedendosi quali dati sono critici per l’attività aziendale, dove si trovano, chi vi può accedere e come vengono protetti i «gioielli della corona». In questo modo, la sicurezza dei dati protegge non solo le informazioni, ma anche la capacità di agire dell’azienda.
«Oggi i dati rappresentano una delle risorse aziendali più importanti e, allo stesso tempo, uno dei bersagli preferiti degli attacchi informatici. Ecco perché la sicurezza dei dati è fondamentale per la resilienza informatica di un’azienda: senza la sicurezza dei dati non esiste una vera e propria resilienza informatica,» afferma Peluso.
Migliori sono la trasparenza, il controllo e la protezione dei dati in un’azienda, maggiore è la sua resistenza agli attacchi informatici e ai guasti ai processi operativi. In questo contesto, diverse discipline interagiscono tra loro: Data Loss Prevention, Security Operations Center (SOC), Threat Detection and Response (TDR), Extended Detection and Response (XDR), soluzioni CASB e Security Awareness contribuiscono insieme a riconoscere tempestivamente il rischio e a limitare le conseguenze degli incidenti.
Tuttavia, le tecnologie da sole non bastano. Decisiva è l’interazione tra trasparenza, governance e sicurezza operativa. Infatti, la resilienza informatica nasce dove le aziende sanno sempre quali dati sono essenziali per la loro attività e come possono proteggerli.
Gestire insieme dati, cloud e IA
La sicurezza dei dati si trasforma da disciplina tecnica a compito dirigenziale strategico. Le piattaforme cloud, le applicazioni SaaS e l’IA creano nuove opportunità per l’innovazione e la produttività. Allo stesso tempo, aumentano i requisiti in termini di trasparenza, controllo e governance.
I cinque campi d’azione sono strettamente correlati:
- Creare trasparenza
- Controllare gli ambienti cloud
- Gestire responsabilmente l’IA
- Rendere tracciabile la conformità
- Rafforzare la resilienza informatica
Raffael Peluso riassume bene questa evoluzione: «La trasparenza è il punto di partenza e la resilienza informatica l’obiettivo. Senza trasparenza su dati, sistemi, diritti di accesso e loro utilizzo, la sicurezza duratura dei dati è praticamente impossibile.»
Alle aziende che sono già sulla buona strada in termini di trasparenza, Peluso consiglia di proseguire con coerenza: «L’attenzione dovrebbe essere rivolta all’attuazione e all’applicazione coerenti di misure di sicurezza e governance. Le aziende devono garantire che i dati sensibili siano accessibili solo alle persone autorizzate, che gli errori di configurazione siano ridotti al minimo e che le direttive sulla sicurezza siano applicate in modo uniforme in tutti gli ambienti Hybrid Cloud e IA.»
Il compito principale di CIO, CISO e responsabili IT non è quindi quello di proteggere singole tecnologie. La sfida consiste nel considerare dati, cloud, IA e governance come un sistema interconnesso. «In questo contesto, automatizzazione, monitoraggio continuo e governance dell’IA stanno diventando sempre più importanti. Riducono i rischi e rafforzano la resilienza a lungo termine dell’organizzazione di fronte alle minacce informatiche,» sottolinea Peluso.
In altre parole, chi mantiene il controllo dei propri dati crea le basi per la sicurezza, la conformità e la capacità operativa digitale a lungo termine.