In breve:
L’exposure management è l’evoluzione della gestione delle vulnerabilità: non elenca i problemi tecnici, ma individua quali combinazioni di esposizione, credenziali e privilegi creano un percorso realmente percorribile da un attaccante. Secondo il report The State of Cloud Security Risk 2026 di Wiz Threat Research, costruito su telemetria che copre oltre il 65% delle aziende Fortune 100, applicare il contesto al rischio elimina più del 50% delle segnalazioni considerate prioritarie. Le vulnerabilità di tipo Remote Code Execution pesano soltanto per il 9% delle condizioni osservate. Il rischio, quindi, non si conta. Si mappa. E la domanda utile non è quante vulnerabilità esistono, ma quali portano davvero ai dati e ai servizi critici.
Perché contare le vulnerabilità non misura il rischio
Per anni abbiamo misurato la sicurezza informatica contando vulnerabilità, alert e sistemi da aggiornare. Più segnalazioni emergevano, più pensavamo di conoscere il rischio. Ma conoscere tutto ciò che non va non significa necessariamente sapere dove intervenire prima, ed è esattamente il punto in cui la gestione vulnerabilità cloud tradizionale mostra il suo limite.
Il report The State of Cloud Security Risk 2026 di Wiz Threat Research evidenzia un cambio di prospettiva ormai indispensabile: il rischio più grave non nasce quasi mai da una vulnerabilità isolata. Si manifesta quando esposizione verso Internet, credenziali compromesse, privilegi elevati e accesso agli asset critici si combinano, creando un percorso realmente utilizzabile da un attaccante.
La distinzione è fondamentale, perché oggi il problema non è la mancanza di dati sulla sicurezza. È l’incapacità di trasformare una quantità enorme di segnalazioni in poche priorità operative, comprensibili anche al management.
Più alert non significa maggiore sicurezza
Gli ambienti cloud generano migliaia di segnalazioni: vulnerabilità, configurazioni non corrette, password deboli, credenziali esposte, autorizzazioni eccessive. Non tutte queste condizioni rappresentano però una reale opportunità per chi attacca.
Applicando un’analisi contestuale, Wiz Threat Research ha rilevato una riduzione superiore al 50% delle segnalazioni considerate prioritarie nelle principali categorie di rischio.
Nel dettaglio:
- le segnalazioni relative a credenziali deboli si riducono del 67%;
- quelle legate all’esposizione di segreti del 60%;
- gli accessi non autorizzati del 58%;
- le esposizioni a vulnerabilità RCE ad alta criticità del 53%.
Questo non significa ignorare metà dei problemi. Significa distinguere ciò che deve essere corretto da ciò che può produrre immediatamente un impatto sul business.
Il contesto cambia l'ordine delle priorità
Una vulnerabilità grave presente su un sistema isolato, non esposto e privo di accesso a dati sensibili può avere una priorità inferiore rispetto a una configurazione apparentemente meno critica che consente di raggiungere identità privilegiate, dati riservati o sistemi essenziali.
La sicurezza moderna non può più basarsi soltanto sulla gravità tecnica. Deve considerare il contesto.
L'intelligenza artificiale è già parte dell'infrastruttura
L’AI non è più un esperimento confinato a qualche laboratorio aziendale. È entrata nei processi di sviluppo, nelle piattaforme cloud, nelle applicazioni e nelle attività quotidiane delle persone.
Secondo i dati raccolti da Wiz Threat Research, almeno l’81% degli ambienti cloud osservati utilizza servizi AI gestiti, il 90% esegue software AI in modalità self-hosted, l’80% delle organizzazioni utilizza server MCP e il 71% impiega almeno un assistente AI per la programmazione
Che cosa introduce ogni nuovo servizio AI
Ogni servizio AI porta con sé risorse, account tecnici, API key, token, dataset, flussi di inferenza e collegamenti verso applicazioni e dati aziendali.
L’intelligenza artificiale, quindi, non crea necessariamente categorie di rischio completamente nuove. Amplifica però problemi che già conosciamo: permessi eccessivi, credenziali esposte, configurazioni errate, integrazioni poco controllate, relazioni di fiducia difficili da governare. È lo stesso meccanismo che abbiamo descritto parlando di shadow IT e shadow AI nell’articolo dedicato alla sicurezza cloud per le aziende, applicato però a strumenti molto più connessi ai dati.
La stessa tecnologia è disponibile a chi attacca
L’AI può accelerare la ricerca delle vulnerabilità, la ricognizione degli ambienti e la produzione di exploit. Il dato che misura questa accelerazione è netto: la finestra media fra la divulgazione di una vulnerabilità e il suo sfruttamento attivo è scesa da oltre due anni a 21,5 giorni.
Il tradizionale principio secondo cui si scopre la vulnerabilità e poi si pianifica l’aggiornamento rischia di non essere più sufficiente. Ventuno giorni non sono un margine di pianificazione trimestrale: sono il tempo di una singola finestra di manutenzione.
Il 78% del rischio sfruttabile nasce dall'esposizione e dall'accesso
Uno dei dati più interessanti del report riguarda la distribuzione delle condizioni di rischio ad alta o critica severità:
- il 33% è riconducibile alla divulgazione di informazioni;
- il 23% all’esposizione di credenziali e segreti;
- il 22% ad accessi non autorizzati;
- soltanto il 9% a vulnerabilità di tipo Remote Code Execution.
Complessivamente, il 78% del rischio sfruttabile osservato si concentra quindi nell’esposizione di informazioni, credenziali e percorsi di accesso.
Le patch restano necessarie, ma non bastano
È un dato che mette in discussione uno dei modelli più diffusi nelle organizzazioni: concentrare la maggior parte delle energie sull’applicazione delle patch, mentre identità, permessi e configurazioni vengono gestiti come temi separati.
Anche l’analisi degli incidenti reali conferma questa lettura. Lo sfruttamento delle vulnerabilità rappresenta il 40% degli accessi iniziali documentati, ma credenziali esposte e configurazioni errate raggiungono insieme la stessa percentuale. Il quadro europeo descritto da ENISA nel Threat Landscape va nella stessa direzione.
Per un attaccante, utilizzare una password già disponibile o sfruttare un servizio configurato male è spesso più semplice, più economico e più veloce che sviluppare un exploit sofisticato.
L'esposizione apre la porta, i privilegi determinano il danno
Essere esposti non significa necessariamente essere compromessi. E una compromissione non produce sempre lo stesso impatto. La domanda decisiva è un’altra: che cosa può raggiungere un attaccante dopo essere entrato?
Il 30% degli ambienti analizzati presenta almeno una macchina ad alto impatto esposta esternamente. Nel 19% dei casi è stato rilevato software esposto collegato a identità IAM in grado di accedere ad asset interni sensibili.
È qui che il rischio diventa concreto.
I percorsi di attacco nascono dalle relazioni di fiducia
Un server esposto, associato a un’identità privilegiata e collegato a dati critici, non rappresenta più una semplice vulnerabilità tecnica. Diventa un potenziale percorso verso il cuore dell’organizzazione.
Le architetture cloud e ibride sono costruite su relazioni di fiducia: account di servizio, ruoli IAM, pipeline automatizzate, API, sistemi SaaS, collegamenti tra ambienti differenti. Se una di queste relazioni viene compromessa, l’attaccante può utilizzarla per muoversi lateralmente, aumentare i propri privilegi e ampliare il raggio d’azione.
Per questo non basta sapere dove si trova la porta d’ingresso. Occorre conoscere l’intero percorso e il possibile punto di arrivo.
Dal vulnerability management all'exposure management
Dal punto di vista di un CEO la conclusione è molto concreta: non possiamo chiedere alle strutture IT e Security di risolvere tutto contemporaneamente. Le risorse sono limitate, il tempo è limitato, le competenze specialistiche sono difficili da reperire. La priorità deve quindi essere assegnata agli interventi che producono la maggiore riduzione del rischio aziendale.
Il passaggio dall’approccio tradizionale a un modello più evoluto si riassume in questo confronto.
| Vulnerability management | Exposure management | |
|---|---|---|
| Unità di misura | La singola vulnerabilità | Il percorso di attacco |
| Domanda guida | Quanto è grave questa vulnerabilità? | Dove può arrivare chi la sfrutta? |
| Criterio di priorità | Severità tecnica | Esposizione reale, privilegi, valore dell'asset |
| Innesco dell'analisi | Pubblicazione del bollettino | Modifica di configurazione, identità o esposizione |
| Output | Elenco di elementi da correggere | Poche priorità con impatto dichiarato |
| Metrica di successo | Patch applicate | Percorsi verso asset critici interrotti |
| Limite principale | Il volume rende impossibile scegliere | Richiede una mappa aggiornata di asset e identità |
È il modello che Gartner descrive come Continuous Threat Exposure Management: continuo, contestuale, orientato all’impatto.
I cinque criteri per stabilire le priorità
Un modello efficace di prioritizzazione vulnerabilità dovrebbe valutare almeno cinque elementi.
- Esposizione effettiva verso Internet. Non se il sistema è teoricamente raggiungibile, ma se lo è davvero, in questo momento, dalla rete pubblica.
- Presenza di una vulnerabilità realmente sfruttabile. Esiste un exploit noto e funzionante, oppure si tratta di una condizione teorica?
- Privilegi associati all’asset o all’identità coinvolta. Un’identità con permessi amministrativi cambia la scala del problema.
- Possibilità di raggiungere dati e sistemi critici. È il criterio che trasforma un elenco in una mappa.
- Impatto operativo derivante dalla compromissione. Quali processi si fermerebbero, e per quanto tempo.
L’obiettivo è passare dalla gestione di elenchi di vulnerabilità alla comprensione dei percorsi di attacco cloud.
L'AI può diventare anche il vantaggio del difensore
L’intelligenza artificiale aumenta la velocità degli attaccanti, ma può migliorare anche la capacità di difesa. Può correlare vulnerabilità, configurazioni, identità, privilegi e relazioni tra sistemi. Può aiutare a ridurre il rumore, evidenziare le combinazioni più pericolose e rendere comprensibili scenari che, analizzati manualmente, richiederebbero tempi incompatibili con la velocità attuale delle minacce.
Ma l’AI non sostituisce la governance. Non può decidere autonomamente quali processi siano vitali per l’azienda, quali dati abbiano maggiore valore o quale interruzione sia accettabile. Tecnologia, competenze e conoscenza del business devono lavorare insieme.
La sicurezza deve diventare una decisione aziendale
Il messaggio finale del report è semplice: il numero delle segnalazioni non coincide con il livello di rischio.
Come imprese dobbiamo smettere di valutare la sicurezza sulla base di quante vulnerabilità abbiamo trovato o di quante patch abbiamo installato. Dobbiamo misurare quanti percorsi reali verso gli asset critici abbiamo identificato, interrotto e mantenuto sotto controllo.
In AD Consulting riteniamo che la cybersecurity debba evolvere proprio in questa direzione: dall’accumulo di strumenti alla loro integrazione, dalla produzione di alert alla definizione delle priorità, dalla reazione tecnica alla gestione consapevole del rischio.
Questo percorso richiede competenze che attraversano infrastruttura, identità, dati e governance. Il servizio di Vulnerability Management di AD Consulting affianca le aziende dalla scansione continua alla prioritizzazione basata sul contesto, mentre il monitoraggio del SOC, Security Operation Center, intercetta i percorsi di attacco mentre si formano.
La domanda da portare nei consigli di amministrazione non è più soltanto: “Quante vulnerabilità abbiamo?”
La domanda corretta è: “Quali di queste vulnerabilità possono davvero compromettere i nostri dati, i nostri servizi e la continuità dell’azienda?”
È da questa risposta che deve iniziare ogni strategia di sicurezza.
Vuoi sapere quali esposizioni della tua infrastruttura portano davvero agli asset critici?
Scopri il servizio di Vulnerability Management di AD Consulting.
FAQ: domande frequenti
Che cos'è l'exposure management?
L’exposure management è l’insieme delle pratiche che valutano il rischio informatico non sulla singola vulnerabilità, ma sul percorso che un attaccante può realmente percorrere combinando esposizione verso Internet, credenziali compromesse, privilegi elevati e accesso ad asset critici. L’obiettivo è ridurre un volume ingestibile di segnalazioni a poche priorità con un impatto dichiarato sul business.
Qual è la differenza tra vulnerability management ed exposure management?
Il vulnerability management misura la gravità tecnica della singola vulnerabilità e produce un elenco di elementi da correggere. L’exposure management aggiunge il contesto, cioè dove si trova l’asset, a che cosa è collegato e quali privilegi comporta, e produce un numero ristretto di percorsi da interrompere. Il primo risponde alla domanda “quanto è grave”, il secondo alla domanda “dove può arrivare”.
Perché il numero di vulnerabilità non misura il livello di rischio?
Perché la gravità tecnica prescinde dal contesto. Applicando criteri di esposizione reale e di accesso ai dati, oltre metà delle segnalazioni classificate come prioritarie risulta non sfruttabile nella pratica. Allo stesso tempo, condizioni di severità inferiore possono aprire percorsi diretti verso identità privilegiate e dati riservati.
Quanto tempo passa tra la scoperta di una vulnerabilità e il primo attacco?
Secondo The State of Cloud Security Risk 2026 di Wiz Threat Research, la finestra media tra divulgazione e sfruttamento attivo è scesa da oltre due anni a 21,5 giorni. È un margine troppo stretto per cicli di patching pianificati su base trimestrale.
L'intelligenza artificiale aumenta o riduce il rischio cloud?
Entrambe le cose. Amplifica rischi già noti come permessi eccessivi, credenziali esposte e integrazioni non governate, e accelera la ricognizione di chi attacca. Allo stesso tempo permette a chi difende di correlare segnali eterogenei e far emergere le combinazioni pericolose. Il fattore decisivo resta la governance, perché l’AI non può stabilire quali processi siano vitali per l’azienda.
Fonti e riferimenti
- Wiz Threat Research, The State of Cloud Security Risk 2026, 26 agosto 2026. Telemetria su oltre il 65% delle aziende Fortune 100. Riduzione superiore al 50% delle segnalazioni prioritarie con analisi contestuale, RCE al 9% delle condizioni osservate, 30% degli ambienti con macchine ad alto impatto esposte esternamente, finestra tra divulgazione e sfruttamento a 21,5 giorni.
- ENISA, Threat Landscape. Quadro europeo delle minacce informatiche e dei principali vettori di accesso iniziale.
- Gartner, framework Continuous Threat Exposure Management (CTEM). Modello di riferimento per la gestione continua dell’esposizione al rischio.
- NIST, Cybersecurity Framework e SP 800-210, linee guida sul controllo degli accessi nei sistemi cloud.
- Clusit, Rapporto sulla sicurezza ICT in Italia. Contesto nazionale su incidenti e tecniche di attacco.