Nuovo report CLUSIT ottobre 2026: quali sono i dati da misurare per reagire più velocemente a un incidente cyber?

In questo articolo

Il Rapporto CLUSIT di ottobre 2026 mostra che, mentre aumentano gli incidenti gravi, per le aziende diventa decisivo ridurre il tempo tra il primo segnale e il contenimento dell’incidente.

Per chi gestisce la sicurezza informatica in azienda vuol dire misurare quali asset sono davvero visibili, quanto restano aperte le vulnerabilità, chi possiede privilegi critici, quali sistemi inviano log utili e quanto tempo occorre per rilevare, isolare e ripristinare.

Sono infatti i dati a guidare le decisioni perché senza parametri e numeri misurabili anche gli strumenti di sicurezza più evoluti rischiano di intervenire troppo tardi.

Nel primo semestre del 2026 il Rapporto CLUSIT ha rilevato 4.911 incidenti cyber gravi a livello globale, il 71% in più rispetto allo stesso periodo del 2025. In Italia gli episodi noti sono 245, di cui circa l’82% è riconducibile al cybercrime mentre il manifatturiero risulta il settore più colpito, con il 18,4% degli incidenti nazionali.

Come leggere questi numeri? Sono dati che non comprendono ogni attacco avvenuto, il CLUSIT infatti analizza gli incidenti gravi resi pubblici o documentabili. Sono quindi da non considerare come una stima della probabilità che una singola azienda venga colpita.

Quando aumenta l’esposizione al rischio e si riduce il tempo disponibile per intervenire, la verifica dovrebbe partire da quattro domande:

• quali sistemi critici ed esposti sono realmente monitorati
• per quanto tempo le vulnerabilità rimangono senza interventi
• quanto passa tra il primo segnale, l’analisi e il contenimento
• quanto occorre per ripristinare i servizi prioritari

Le risposte formano la baseline necessaria per capire se l’azienda sta diventando più veloce nel rilevare e gestire gli incidenti oppure sta semplicemente accumulando nuovi strumenti.

Occorre partire da un cruscotto con decine di KPI? Certamente no, perché per costruire una baseline utile sono sufficienti pochi dati, purché vengano raccolti con criteri costanti, confrontati nel tempo e associati a soglie di intervento.

Nel caso uno o più dati non siano disponibili sarà necessario capire come affrontare questo punto cieco.

Una linea produttiva da milioni di euro può dipendere da un normale PC industriale, da una cartella di rete contenente le ricette di produzione o dal collegamento remoto utilizzato dal manutentore. E se uno di questi elementi fosse improvvisamente compromesso? L’impianto potrebbe fermarsi anche se il macchinario principale non fosse stato attaccato direttamente.

La criticità cyber di un asset non dipende quindi soltanto dal suo valore economico o dalla complessità tecnologica, ma dalle conseguenze della sua indisponibilità. Una domanda semplice può fare emergere dipendenze poco visibili: che cosa si fermerebbe se questo sistema non fosse disponibile per quattro ore?

La risposta aiuta a capire quali asset censire per primi, quali collegamenti monitorare e dove concentrare le attività di protezione e ripristino.

Una volta raccolti i dati, per intervenire saranno richiesti 3 elementi di base:
– un responsabile
– una scadenza
– un intervento verificabile

In base alla tipologia di attività, è possibile attivare il presidio corretto, come ad esempio:

• asset non censiti, configurazioni deboli o privilegi eccessivi: Cyber Audit e AD Security Assessment aiutano a individuare sistemi esposti, accessi critici e anomalie nelle configurazioni
• vulnerabilità che rimangono aperte troppo a lungo: il Vulnerability Assessment identifica e classifica le falle, mentre le attività di remediation supportano la loro correzione
• log mancanti o tempi di analisi elevati: BeeTech Managed Log Admin, ad esempio, centralizza e controlla eventi critici provenienti da Active Directory, Microsoft 365 e file server mentre un servizio MDR aggiunge monitoraggio e risposta gestita 24/7
• segnalazioni tardive da parte degli utenti: Security Awareness e simulazioni di phishing permettono di misurare comportamenti e tempi di reazione
• tempi di recupero non verificati: BeeTech Managed Backup controlla l’esito delle copie, ne verifica periodicamente l’integrità e supporta il ripristino di server e macchine virtuali

Anche se è possibile attivare ogni servizio contemporaneamente la priorità va assegnata al punto debole che allunga maggiormente i tempi di rilevamento, contenimento o ripristino.

Il PID Cyber Check 2025, analizzato nel Rapporto CLUSIT, ha coinvolto 2.873 imprese, in prevalenza micro e piccole. I risultati evidenziano in particolare tre criticità:

• il 39,9% delle imprese coinvolte non prevede programmi di formazione cyber. L’indice medio di rischio è pari a 60,4, contro il 32,2 delle imprese che affiancano alla formazione generale attività periodiche rivolte ai ruoli più critici
• il 32,9% utilizza ancora utenze condivise, con l’indice che passa da 60,4 a 40,2 nelle aziende che adottano esclusivamente account personali e ne monitorano l’utilizzo
• nel 22,7% delle imprese manca una policy per disattivare le credenziali del personale non più attivo. L’indice è 63,0, contro 45,7 quando la revoca è immediata.

L’indagine è volontaria, si basa su un’autovalutazione e non dimostra un rapporto automatico di causa ed effetto. Mostra però un’associazione ricorrente interessante perchè dove formazione, identità e accessi vengono gestiti come processi continuativi, il rischio rilevato è inferiore.

Per chi si occupa di sicurezza informatica in azienda, il passaggio decisivo consiste quindi nel verificare l’applicazione dei controlli, non soltanto la presenza formale di policy e strumenti.

Nel primo semestre del 2026 il manifatturiero è stato il settore più colpito in Italia, con 45 incidenti su 245, pari al 18,4% del campione nazionale. A livello globale rappresenta invece il 5,4% degli episodi osservati. Ancora più rilevante è la gravità, dal momento che il 98% degli incidenti manifatturieri italiani analizzati da CLUSIT è stato classificato con impatto High o Critical.

L’integrazione tra sistemi IT, impianti OT, accessi remoti e fornitori amplia la superficie da controllare. Un assessment condotto su 75 aziende italiane mostra alcuni punti deboli ricorrenti:

Il campione OT, pur non rappresentando l’intero sistema industriale italiano, evidenzia una criticità concreta ovvero che non è possibile stabilire priorità, monitorare anomalie o pianificare il ripristino se non si conoscono sistemi, collegamenti e processi produttivi dipendenti da ciascun asset.

BeeCyber offre un modello evoluto di cyber security “as-a-service”, pensato per le aziende che vogliono rafforzare la propria sicurezza senza appesantire il reparto IT interno. Attraverso un approccio integrato che combina tecnologie avanzate, competenze specialistiche e monitoraggio continuo, supportiamo le imprese nella difesa dei dati, nella conformità normativa e nella continuità operativa.