Le aziende svizzere non sono preparate agli attacchi informatici basati sull’IA

Il 74% delle aziende svizzere non dispone di una strategia esplicita per contrastare gli attacchi informatici basati sull’IA. È quanto emerge dall’ultimo monitoraggio SwissVR, che mette in luce una chiara debolezza nelle difese delle imprese del Paese, mentre i gruppi criminali ricorrono sempre più spesso all’intelligenza artificiale nelle loro attività.

Lo studio, pubblicato il 16 settembre 2026, evidenzia il divario tra la rapidità dei cambiamenti tecnologici e il modo in cui le aziende gestiscono i rischi. L’intelligenza artificiale può ampliare la portata e accelerare le attività criminali, mentre molte imprese non dispongono ancora di una procedura documentata specificamente contro gli attacchi assistiti dall’IA.

Il rischio riguarda l’intera economia svizzera. Le aziende dipendono da sistemi digitali per i pagamenti, la logistica, la produzione, i dati dei clienti e le comunicazioni. Un’interruzione di uno di questi sistemi può ripercuotersi rapidamente su fornitori, collaboratori e clienti, anche quando la violazione iniziale riguarda un solo account compromesso.

Il monitoraggio SwissVR individua carenze anche al di là della prevenzione. Il 55% delle aziende non dispone di un piano di emergenza per ripristinare i processi informatici essenziali, oppure ha un piano che non è stato testato. Un documento di risposta mai sperimentato può lasciare il personale nell’incertezza su chi debba prendere le decisioni, quali sistemi vadano ripristinati per primi e quando occorra chiedere aiuto esterno.

Solo il 18% delle piccole imprese si ritiene preparato, contro il 40% delle grandi aziende. La differenza evidenzia le difficoltà specifiche delle PMI svizzere, che spesso dispongono di team informatici più ridotti, budget limitati per la sicurezza e minore capacità di organizzare esercitazioni ripetute.

Le dimensioni non determinano se un’azienda sarà presa di mira. Una PMI può detenere informazioni preziose sui clienti, essere collegata a un grande fornitore o offrire un servizio che un’altra impresa non può sostituire facilmente. I suoi sistemi possono inoltre fornire ai criminali una via d’accesso a una rete commerciale più ampia.

I risultati di SwissVR non indicano un’unica vulnerabilità tecnica comune a tutte le piccole aziende. Mostrano però che il livello di preparazione è disomogeneo. Per una PMI, il primo passo pratico consiste nell’individuare i processi più importanti e i sistemi che li sostengono. I responsabili devono disporre di un elenco aggiornato degli account critici, dei fornitori, degli archivi di dati e dei contatti per il ripristino.

Le aziende dovrebbero inoltre limitare gli accessi non necessari, richiedere un’autenticazione forte, aggiornare i software e separare i backup dai sistemi che proteggono. Queste misure non eliminano i rischi, ma offrono all’impresa più possibilità di reazione se un aggressore compromette un account, interrompe le attività o esige una decisione rapida.

Solo un membro del consiglio di amministrazione su due viene informato regolarmente sugli incidenti di cibersicurezza. Questo dato pone la governance al centro del problema della preparazione. Le decisioni in materia di cibersicurezza competono con le priorità legate agli investimenti, al personale e alla crescita, ma un consiglio di amministrazione non può valutare i rischi operativi senza ricevere informazioni regolari e chiare.

I membri del consiglio non devono gestire i firewall né indagare su ogni allarme. Devono però sapere quali servizi aziendali sono più esposti, quanto tempo serve per ripristinarli, chi ha l’autorità di intervenire durante un incidente e se le esercitazioni precedenti hanno fatto emergere problemi ancora irrisolti.

La direzione dovrebbe fornire al consiglio, a intervalli regolari, un quadro conciso dei rischi. Dovrebbe includere gli incidenti significativi e gli eventi sfiorati, la situazione dei fornitori critici, le vulnerabilità irrisolte, le prestazioni dei backup e i risultati dei test di ripristino. I rapporti dovrebbero distinguere tra le politiche che esistono sulla carta e i controlli che hanno funzionato in situazioni di pressione.

Il consiglio deve inoltre confermare chi dirige la risposta. Possono avere un ruolo i responsabili degli affari legali, della comunicazione, dell’informatica, delle risorse umane e delle attività operative. Regole chiare per l’escalation possono evitare ritardi in caso di guasto dei sistemi o di possibile esposizione di informazioni sensibili. I risultati di SwissVR mostrano perché questa supervisione non può essere relegata a un punto occasionale all’ordine del giorno.

Il 55% delle aziende non dispone di un percorso di ripristino testato per tornare a operare con i sistemi informatici essenziali. Questa lacuna può trasformare un incidente di sicurezza in una lunga interruzione delle attività. La pianificazione del ripristino deve andare oltre i backup dei dati: dovrebbe spiegare come lavorerà il personale, come si comunicherà con i clienti, come si verificheranno le transazioni e come si ripristineranno i servizi prioritari se i sistemi abituali non saranno disponibili.

Un piano credibile parte dall’inventario dei processi essenziali e delle loro dipendenze. Le aziende dovrebbero definire le priorità di ripristino, i tempi di inattività accettabili e le competenze decisionali. Dovrebbero testare i backup, verificare che le procedure di ripristino funzionino e coinvolgere i collaboratori e i fornitori necessari durante un’interruzione.

Le esercitazioni dovrebbero includere complicazioni realistiche, come un account amministratore compromesso, comunicazioni interne inaffidabili o dubbi sull’attendibilità dei dati. Dopo ogni test, la direzione dovrebbe registrare le criticità, assegnare i responsabili e fissare scadenze per gli interventi correttivi.

Le aziende svizzere hanno inoltre bisogno di una procedura chiara per segnalare gli incidenti. Il monitoraggio SwissVR ha rilevato che le informazioni fornite ai consigli di amministrazione sono disomogenee, e che la confusione interna può rallentare le decisioni tecniche e legali. Prima di un attacco, le imprese dovrebbero stabilire contatti affidabili per il supporto informatico, gli assicuratori, la consulenza legale e le autorità competenti. La preparazione non impedirà ogni intrusione, ma può ridurre il tempo che intercorre tra rilevamento, contenimento e ripristino.