Difesa in profondità: perché un solo strato di sicurezza non basta più

Quando un attacco informatico va a segno, il problema non è solo "ripristinare i sistemi". Secondo l'ultimo "Cost of a Data Breach Report" di IBM, il costo medio globale di una violazione dati ha sfiorato i 4,9 milioni di dollari, con una crescita di circa il 10% in un solo anno. Un incidente oggi può rallentare la produzione, bloccare i servizi ai clienti, generare contenziosi e mettere in discussione la credibilità dell'azienda sul mercato.

In questo contesto, la difesa in profondità non è una formula teorica da manuale di sicurezza, ma il modo più concreto per accettare una verità scomoda: prima o poi qualcosa fallirà. La differenza sta nel fatto che, se abbiamo più livelli di protezione, l'errore di uno strato non diventa automaticamente un disastro per l'intera organizzazione.

L'idea chiave, in una frase

La difesa in profondità significa progettare più livelli indipendenti e complementari di sicurezza – su persone, processi, tecnologie e dati – in modo che ogni fase di un attacco debba superare ostacoli diversi, riducendo la probabilità che una singola falla diventi una crisi aziendale.

Perché "un solo controllo" non basta più

Negli ultimi anni la dinamica degli attacchi è cambiata. Non parliamo più solo di virus allegati alle email, ma di campagne strutturate che combinano furto di credenziali, phishing mirato, sfruttamento di vulnerabilità e movimento laterale all'interno delle reti aziendali.

Il "Data Breach Investigations Report" di Verizon mostra da tempo come l'uso di credenziali rubate e il phishing siano tra i vettori di attacco più ricorrenti nelle violazioni reali, con il furto di credenziali che compare in circa un terzo dei casi analizzati nell'ultimo decennio. In altre parole: spesso l'attaccante non deve "bucare" la tecnologia, gli basta farsi passare per un utente legittimo.

Questo spiega perché il vecchio modello "ho un firewall, un antivirus e una VPN, quindi sono al sicuro" non regge più. È un po' come chiudere a chiave la porta d'ingresso, ma lasciare aperti garage, finestre e accessi di servizio: un singolo punto debole può vanificare tutto il resto.

Cos'è davvero la difesa in profondità

Nel dibattito quotidiano, "defense in depth" viene spesso tradotto come "mettiamo più prodotti di sicurezza". In realtà il concetto è più vicino all'architettura di un castello medievale che a un catalogo di soluzioni.

Un castello non si difendeva con un solo muro. C'erano fossato, mura esterne, camminamenti, torri, cortine interne, portoni rinforzati, guardie. Ogni livello aveva un ruolo specifico: rallentare l'assalto, disperdere le forze nemiche, guadagnare tempo per reagire.

In azienda, la logica è la stessa. I livelli non sono solo "firewall ed endpoint", ma includono:

• come gestiamo identità e privilegi (chi può fare cosa, da dove e con quali verifiche);
• come segmentiamo la rete, evitando un grande ambiente "piatto" dove chi entra può muoversi ovunque;
• come proteggiamo e classifichiamo i dati critici;
• come monitoriamo ciò che accade, correlando segnali deboli;
• come siamo pronti a rispondere, con backup isolati e piani di crisi.

L'obiettivo non è costruire una muraglia impenetrabile, ma creare attrito in ogni fase del possibile attacco: all'ingresso, nel movimento interno, nell'accesso ai dati, nel tentativo di esfiltrarli o cifrarli.

Lo stesso attacco, due esiti molto diversi

Immaginiamo una scena che, purtroppo, è tutt'altro che teorica.

In una PMI, un dipendente riceve una mail che sembra arrivare dal fornitore abituale. Chiede di aprire un allegato "urgente" per verificare una fattura. L'utente clicca, l'allegato contiene un malware che si installa in silenzio e inizia a cercare credenziali salvate sul PC.

In un'azienda senza vera difesa in profondità, questo è spesso l'inizio della fine. L'endpoint è poco monitorato, la rete è tutta nello stesso "calderone", molti utenti hanno più privilegi del necessario. Nel giro di poche ore l'attaccante si muove da un sistema all'altro, individua i server più interessanti, disattiva qualche controllo di sicurezza e lancia un ransomware che cifra non solo i file, ma anche i backup collegati in rete. Produzione ferma, clienti bloccati, board riunito in emergenza.

Ora immaginiamo la stessa scena in un contesto progettato con difesa in profondità.

La mail di phishing magari passa i primi controlli, ma il dipendente ha ricevuto una formazione di base e qualche sospetto gli viene. Se comunque clicca, l'endpoint è dotato di un sistema di rilevamento comportamentale che nota il tentativo del malware di scaricare codice aggiuntivo e blocca il processo. Anche se l'attaccante riuscisse comunque a impiantare qualcosa, la rete è segmentata: da quella postazione non vede i sistemi più critici.

Nel frattempo, i log vengono raccolti in modo centralizzato e correlati: accessi insoliti, tentativi di elevare i privilegi, comunicazioni verso indirizzi sospetti fanno scattare un alert. Il team sicurezza interviene, isola il dispositivo, avvia le procedure. I dati più sensibili sono cifrati e protetti da controlli di accesso granulari, i backup sono conservati anche in modalità immutabile o offline. Il risultato non è "zero impatto", ma un incidente circoscritto, gestibile, che non paralizza il business.

Stesso vettore iniziale, due conseguenze completamente diverse.

Quando la sicurezza (mal progettata) diventa un costo enorme

Il dato medio di quasi 4,9 milioni di dollari per violazione riportato da IBM non riguarda solo grandi multinazionali. Dentro questa cifra ci sono giorni o settimane di fermo, ore di straordinari dei team IT, consulenze d'emergenza, penali contrattuali, opportunità commerciali perse, possibile impatto regolatorio e, non di rado, un danno duraturo all'immagine.

Un altro elemento interessante arriva da uno studio recente di Panaseer: molte grandi aziende utilizzano in media oltre 60 strumenti diversi di sicurezza e decine di dashboard, ma una parte significativa dei CISO teme comunque di essere ritenuta responsabile quando si verifica una "mega violazione", spesso legata al fallimento simultaneo di più controlli. È il sintomo di un problema strutturale: accumulare tecnologie senza una vera strategia di difesa in profondità crea complessità, ma non vera resilienza.

Difesa in profondità non è "comprare più prodotti"

Il fraintendimento più comune è pensare che basti aggiungere un ulteriore strumento: un nuovo antivirus, un nuovo firewall, una nuova soluzione "next-gen" per sentirsi più protetti.

La difesa in profondità, invece, ragiona al contrario: prima si disegna l'architettura, poi si scelgono gli strumenti. Prima si stabilisce quali sono le "corone" da proteggere (dati, servizi critici, processi chiave), come devono essere segmentate, quali controlli devono vigilare su ciascun livello, quali segnali vanno raccolti e come si risponde a un incidente.

Solo dopo si valuta con quali tecnologie implementare questi controlli, cercando un equilibrio fra diversificazione (per evitare un singolo punto di fallimento) e governabilità (troppi strumenti disallineati creano più problemi di quelli che risolvono).

Se segmentiamo la rete, limitiamo i privilegi, applichiamo l'autenticazione a più fattori in modo coerente, centralizziamo e analizziamo i log più importanti, testiamo periodicamente backup e piano di risposta, stiamo facendo difesa in profondità anche senza avere l'ultimo prodotto di moda.

Da dove iniziare: un approccio pragmatico

Per molte organizzazioni, soprattutto PMI, la domanda vera è: da dove si parte, in concreto?

Il primo passo è spesso meno tecnico di quanto sembri: mappare ciò che conta davvero. Significa capire quali applicazioni sono essenziali per erogare i servizi, dove sono i dati che non possiamo permetterci di perdere, quali dipartimenti sarebbero più esposti in caso di blocco. Senza questa fotografia, è impossibile costruire "cerchi" di protezione intorno agli asset più critici.

Il secondo passo è accettare la logica dei livelli: non esiste una sola barriera che protegge tutto, ma più strati – dal perimetro di rete al cloud, dagli endpoint alle identità, fino ai dati. Ogni strato deve avere almeno un controllo di prevenzione (per ridurre la probabilità che l'attacco vada a buon fine), uno di rilevamento (per accorgersene in tempi accettabili) e uno di risposta (per contenere e ripristinare).

Il terzo passo riguarda persone e processi. Le linee guida europee, come quelle di ENISA per l'attuazione della direttiva NIS2, insistono molto su misure organizzative e procedurali oltre che tecniche: responsabilità chiare, gestione dei fornitori, formazione continua, piani di risposta agli incidenti documentati e testati. Senza questi elementi, anche la migliore tecnologia resta un'auto di lusso senza pilota.

Infine, la difesa in profondità richiede esercizio. Simulare incidenti, verificare se gli alert arrivano davvero a chi deve gestirli, controllare se i backup sono ripristinabili, rivedere periodicamente le configurazioni dopo cambi importanti nel business. È un lavoro di manutenzione continua, non un progetto che si chiude una volta per tutte.

Dalla sicurezza "a muro" alla resilienza continua

La cybersecurity aziendale sta passando da un modello difensivo statico – costruire muri e sperare che reggano – a un modello dinamico, centrato sulla resilienza: la capacità di assorbire un impatto, continuare a funzionare e ripristinare rapidamente i servizi essenziali.

La difesa in profondità è la traduzione operativa di questa visione. Significa accettare che il rischio zero non esiste, ma rifiutare l'idea che ogni incidente debba per forza trasformarsi in una crisi sistemica. Significa investire in un'architettura equilibrata di controlli, nel monitoraggio intelligente, nella preparazione delle persone e nella chiarezza dei processi.

Per molte imprese, soprattutto di piccole e medie dimensioni, il punto di partenza non è "comprare altro", ma progettare meglio ciò che già c'è, riordinare i livelli di difesa, colmare i vuoti più pericolosi e cominciare a trattare la sicurezza non come un costo tecnico, ma come un pezzo della continuità del business.

Se pensi che questo tema possa impattare anche la tua realtà, parlane con noi. In Alterabit aiutiamo le aziende a passare dalla sicurezza "a muro" a una vera difesa in profondità: partiamo da una valutazione concreta del rischio, mettiamo in ordine ciò che già hai, progettiamo insieme i livelli di protezione più critici e definiamo un piano di evoluzione sostenibile, allineato al tuo business e alle normative (NIS2 inclusa).

Alterabit

Fonti

• IBM – Cost of a Data Breach Report 2024: il costo medio globale di una violazione è salito a 4,88 milioni di dollari (+10%). Report PDF
• Verizon – Data Breach Investigations Report 2024 (DBIR): credenziali rubate e phishing tra i vettori principali di violazione. Report completo
• Panaseer – Studio 2025: i CISO usano in media 61 strumenti di sicurezza e il 65% teme di essere incolpato in caso di mega-violazione. Articolo TechRadar
• ENISA – NIS2 Technical Implementation Guidance (giugno 2025): linee guida per implementare le misure di gestione del rischio previste dalla NIS2. Documento ENISA