In breve:
Perché la sicurezza cloud è diventata il problema numero uno delle aziende
La sicurezza cloud per le aziende è passata da tema tecnico a priorità di consiglio di amministrazione, e i numeri spiegano perché. Il Red Hat State of Cloud-Native Security Report 2026, condotto su 600 professionisti a livello globale, indica che il 97% delle organizzazioni ha vissuto almeno un incidente cloud-native nell’ultimo anno. Gli attacchi non sono più un’eccezione: sono una componente strutturale delle architetture distribuite.
Lo stesso report segnala un secondo dato rilevante: il 96% degli intervistati esprime preoccupazione per gli effetti dell’AI generativa negli ambienti cloud, dall’esposizione di dati sensibili all’uso incontrollato di strumenti non autorizzati. Il problema più citato non è tecnologico, ma l’assenza di policy strutturate.
Sul fronte italiano il quadro è più articolato. L’Osservatorio Cybersecurity di Exprivia ha rilevato nel primo trimestre 2026 1.043 attacchi e 129 incidenti: 413 attacchi in più rispetto allo stesso periodo del 2025, ma 88 incidenti in meno. La pressione cresce, eppure la capacità di intercettare le minacce sta migliorando — un effetto che i ricercatori attribuiscono agli investimenti in sicurezza e all’adeguamento a NIS2 e DORA.
Il modello di responsabilità condivisa: dove finisce il provider e inizia l’azienda
La convinzione che “il cloud è sicuro perché lo gestisce il provider” è l’origine della maggior parte degli incidenti. Nel modello di responsabilità condivisa, il fornitore garantisce la sicurezza dell’infrastruttura sottostante — data center, hardware, virtualizzazione, rete fisica. Tutto ciò che l’azienda mette dentro quell’infrastruttura resta responsabilità dell’azienda.
La ripartizione cambia in modo significativo a seconda del modello di servizio adottato, e questa è la ragione per cui molte organizzazioni si trovano scoperte senza rendersene conto: passando da IaaS a SaaS il perimetro di responsabilità del cliente si riduce, ma non scompare mai.
| Ambito | IaaS | PaaS | SaaS |
|---|---|---|---|
| Data center e hardware | Provider | Provider | Provider |
| Virtualizzazione e rete fisica | Provider | Provider | Provider |
| Sistema operativo | Cliente | Provider | Provider |
| Runtime e middleware | Cliente | Provider | Provider |
| Applicazioni | Cliente | Cliente | Provider |
| Configurazioni | Cliente | Cliente | Cliente |
| Identità e accessi | Cliente | Cliente | Cliente |
| Dati | Cliente | Cliente | Cliente |
Le ultime tre righe sono sempre del cliente, in ogni modello. Configurazioni, identità e dati non vengono mai delegati al provider — ed è esattamente dove si concentrano gli incidenti.
I rischi reali: dove si rompono davvero gli ambienti cloud
Configurazioni errate
Storage bucket esposti pubblicamente, database senza autenticazione, porte di gestione raggiungibili da internet, log disattivati per risparmiare. La misconfiguration è la causa più frequente di esposizione dei dati e nasce quasi sempre da fretta operativa, non da incompetenza: un ambiente creato “provvisoriamente” che resta in produzione per anni.
Identità con privilegi eccessivi
L’identità è il nuovo perimetro. Account di servizio con permessi amministrativi, utenze condivise senza tracciabilità, credenziali hard-coded nel codice, accessi di ex dipendenti mai revocati. Il principio del privilegio minimo è semplice da enunciare e sistematicamente disatteso, perché restringere i permessi richiede di sapere esattamente chi fa cosa — informazione che spesso manca.
API non protette
Le API sono il tessuto connettivo degli ambienti cloud moderni e una delle superfici di attacco che cresce più rapidamente. Autenticazione assente o debole, autorizzazioni troppo permissive, mancanza di rate limiting e assenza di inventario delle API esposte sono problemi ricorrenti anche in organizzazioni tecnicamente mature.
Complessità multi-cloud e visibilità frammentata
La maggior parte delle aziende opera oggi su architetture ibride che combinano cloud pubblico, applicazioni SaaS, sistemi on-premise e workload cloud-native. Ogni piattaforma ha le proprie console, metriche e logiche di sicurezza. Un workload mal configurato, un’identità con troppi privilegi e un archivio dati esposto possono sembrare problemi separati: insieme costituiscono un percorso di attacco completo.
È uno degli aspetti che abbiamo affrontato passando in rassegna il tema del governo dell’infrastruttura nell’articolo da cloud-first a cloud-smart: la nuova strategia per le aziende: senza governance, la complessità diventa essa stessa un rischio di sicurezza.
Shadow IT e shadow AI
Strumenti adottati autonomamente dai team senza passare dall’IT: un servizio SaaS attivato con carta aziendale, un assistente AI collegato a dati riservati, un ambiente di test creato in un account personale. Non compaiono in nessun inventario e quindi non vengono né monitorati né protetti.
Le misure che fanno davvero la differenza
1. Identity and Access Management rigoroso
Autenticazione multi-fattore ovunque, senza eccezioni per gli account amministrativi — che sono proprio quelli più spesso esclusi “per comodità”. Accanto all’MFA: controllo degli accessi basato sui ruoli, revisione periodica dei permessi, eliminazione delle utenze condivise e rotazione delle credenziali di servizio.
2. Cifratura dei dati a riposo e in transito
La cifratura è ormai disponibile nativamente su tutte le piattaforme, ma va attivata e configurata correttamente. Per i dati più sensibili vale la pena valutare modelli di gestione delle chiavi che mantengano il controllo in azienda, e affiancare tecniche di data masking negli ambienti non di produzione, dove le copie dei dati reali sono spesso il vero punto debole.
3. Backup indipendenti e disaster recovery testato
Un backup che vive nello stesso ambiente che deve proteggere non è un backup. Ransomware ed errori umani possono compromettere anche le copie, se raggiungibili con le stesse credenziali. Servono backup isolati, versioning, politiche di retention e — soprattutto — test di ripristino periodici. Un piano di disaster recovery mai testato è un documento, non una garanzia.
Questi aspetti rientrano nei servizi di Data Protection di AD Consulting, che coprono backup enterprise, disaster recovery e business continuity per ambienti ibridi.
4. Monitoraggio continuo e detection
Logging centralizzato, correlazione degli eventi, rilevamento delle anomalie comportamentali. Senza monitoraggio attivo, il tempo medio di scoperta di una compromissione si misura in settimane. Per le organizzazioni che non dispongono di un team di sicurezza interno, il modello di SOC as a Service garantisce copertura 24/7 e incident response senza dover costruire una struttura dedicata.
5. Postura di sicurezza verificata con continuità
Gli strumenti di cloud security posture management analizzano in modo automatico le configurazioni rispetto alle best practice e ai requisiti normativi, segnalando le derive. Accanto a questi, penetration test e vulnerability assessment periodici verificano la tenuta reale dell’ambiente, non solo la sua conformità formale.
6. Governance e compliance integrate
NIS2, DORA e GDPR impongono requisiti specifici su residenza dei dati, gestione dei fornitori e capacità di rilevare e notificare gli incidenti. Progettare la sicurezza cloud tenendo conto di questi vincoli fin dall’inizio evita rilavorazioni costose: un tema che abbiamo approfondito nella guida NIS2: guida pratica alla compliance per le aziende italiane.
Il ruolo del system integrator nella sicurezza cloud
Proteggere un’infrastruttura cloud richiede competenze che attraversano architettura, sicurezza, identità, dati e compliance normativa. Poche organizzazioni hanno tutte queste specializzazioni internamente, ed è il motivo per cui la sicurezza cloud viene spesso affrontata a pezzi, con risultati disomogenei.
AD Consulting accompagna le aziende con i servizi di Private, Hybrid & Multi Cloud, dalla progettazione dell’architettura all’hardening delle configurazioni, dalla gestione delle identità al monitoraggio continuo, integrando sicurezza e governance nella gestione ordinaria dell’infrastruttura.
Il cloud non è né sicuro né insicuro: lo diventa in base a come viene configurato e governato.
Vuoi approfondire?
Scopri i servizi di Private, Hybrid & Multi Cloud di AD Consulting.
FAQ: domande frequenti
Cos’è il modello di responsabilità condivisa nel cloud?
È il principio secondo cui la sicurezza in cloud è ripartita tra provider e cliente. Il provider protegge l’infrastruttura fisica, la virtualizzazione e la rete; il cliente resta sempre responsabile di dati, configurazioni, identità e accessi, indipendentemente dal modello di servizio adottato.
Il cloud è più sicuro dell’on-premise?
I grandi provider cloud dispongono di misure di sicurezza infrastrutturale difficilmente replicabili da una singola azienda. Il rischio si sposta però sulla configurazione e sulla gestione degli accessi, che restano responsabilità del cliente. Un ambiente cloud mal configurato può essere meno sicuro di un on-premise ben gestito.
Quali sono le principali cause di incidenti in cloud?
Le cause più frequenti sono le configurazioni errate (storage esposto, servizi accessibili pubblicamente), le identità con privilegi eccessivi, le API non adeguatamente protette e la mancanza di visibilità su ambienti multi-cloud e strumenti adottati senza autorizzazione.
Come si mette in sicurezza un ambiente multi-cloud?
Servono visibilità consolidata su tutte le piattaforme, gestione centralizzata delle identità, policy di sicurezza uniformi, logging aggregato e strumenti di cloud security posture management che verifichino in continuo le configurazioni rispetto agli standard adottati.
La sicurezza cloud è sufficiente per la compliance NIS2?
Le misure tecniche di sicurezza cloud coprono una parte importante dei requisiti NIS2 relativi alla gestione del rischio e al rilevamento degli incidenti, ma non sono sufficienti da sole. La compliance richiede anche governance, policy formalizzate, gestione della supply chain e formazione del personale.
Fonti e riferimenti
- Red Hat — State of Cloud-Native Security Report 2026, basato su 600 interviste globali: 97% delle organizzazioni con almeno un incidente cloud-native nell’ultimo anno.
- Osservatorio Cybersecurity Exprivia — Threat Intelligence Report Q1 2026: 1.043 attacchi, 129 incidenti e 35 violazioni privacy in Italia.
- ENISA — Threat Landscape e linee guida sulla sicurezza dei servizi cloud.
- NIST — Cybersecurity Framework e SP 800-210 sulle linee guida per il controllo degli accessi nei sistemi cloud.
- Direttiva (UE) 2022/2555 (NIS2) e Regolamento (UE) 2022/2554 (DORA) — Requisiti su gestione del rischio ICT e notifica degli incidenti.