App e dati, al centro dell’azienda digitale
Un’impresa può investire in sistemi di protezione avanzati e, nello stesso tempo, non avere un quadro completo delle applicazioni che utilizza. È una contraddizione sempre più rilevante: gestionali, portali per clienti e agenti, applicazioni mobili, sistemi di produzione connessi e strumenti di intelligenza artificiale sono diventati parte dell’operatività quotidiana delle aziende ticinesi.
Attraverso queste applicazioni transitano informazioni sui clienti e sui collaboratori, offerte, progetti e, nel settore industriale, anche conoscenze tecniche e segreti di produzione. Quando aumenta il numero dei servizi utilizzati, cresce anche la superficie esposta agli attacchi. Non basta quindi proteggere l’accesso: occorre sapere quali dati vengono trattati, dove finiscono e chi può controllarli.
La sicurezza delle applicazioni e la sovranità digitale sono due aspetti dello stesso problema. Il primo riguarda la capacità di prevenire e individuare le debolezze tecniche; il secondo, la possibilità di mantenere il controllo sulle informazioni e sulle infrastrutture da cui dipende l’attività aziendale.
La sicurezza comincia dalla visibilità
Riservatezza, integrità e disponibilità restano i tre principi fondamentali della cybersicurezza. Il NIST Cybersecurity Framework li traduce in un processo continuo: governare, identificare, proteggere, rilevare, rispondere e ripristinare. È un modello utile anche per le imprese più piccole, perché ricorda che la sicurezza non coincide con l’acquisto di un singolo prodotto.
Un punto merita particolare attenzione: prima di valutare i rischi bisogna conoscere i sistemi in uso. Spesso l’inventario include server, postazioni e apparati di rete, ma trascura applicazioni, plugin, integrazioni e servizi cloud adottati dai diversi reparti. È proprio in questa zona meno visibile che possono accumularsi permessi eccessivi, componenti non aggiornati e flussi di dati non documentati.
L’AI cambia il lavoro di chi attacca
L’intelligenza artificiale sta modificando anche alcune attività dei criminali informatici. Le scansioni automatiche delle vulnerabilità esistevano già prima dell’AI; la novità è la possibilità di elaborare più rapidamente grandi quantità di risultati, produrre messaggi di phishing convincenti e adattare contenuti fraudolenti al contesto della vittima. La sintesi vocale e i deepfake possono inoltre facilitare tentativi di impersonificazione di dirigenti o fornitori.
Questo non significa che ogni attacco sia sofisticato. Al contrario, credenziali compromesse, configurazioni deboli e vulnerabilità note continuano a offrire opportunità concrete. Per le aziende, aggiornamenti tempestivi, autenticazione forte e controllo delle applicazioni rimangono misure essenziali.
Perché il manifatturiero deve prestare attenzione
Secondo i dati riportati nell’IBM X-Force Threat Intelligence Index 2026, il manifatturiero risulta per il quinto anno consecutivo il settore più rappresentato tra gli incidenti analizzati, con una quota del 27,7% nel 2025. Per lo stesso settore, lo sfruttamento di applicazioni esposte a Internet rappresenterebbe il 32% dei vettori iniziali rilevati, seguito dall’uso di account validi (16%). Queste percentuali descrivono il campione osservato dal rapporto, non la totalità degli attacchi avvenuti nel mondo.
Per il tessuto produttivo ticinese, il dato è significativo. Un’applicazione di manutenzione remota, un portale fornitori o un servizio collegato alla produzione possono diventare un punto di passaggio tra i sistemi informativi (IT) e quelli operativi (OT). Il rischio non riguarda soltanto la sottrazione di documenti: in determinate condizioni può incidere anche sulla continuità del lavoro.
Anche i rapporti dell’Ufficio federale della cibersicurezza (UFCS) richiamano l’attenzione su attacchi mirati e vulnerabilità già conosciute ma non corrette. Nel materiale citato per il secondo semestre 2025 figurano, tra le segnalazioni obbligatorie, hacking (20%), furto di credenziali (12%) e fughe di dati (10%). Prima della pubblicazione è opportuno ricontrollare le percentuali e il relativo perimetro statistico sui documenti originali.
Le applicazioni non sono contenitori isolati
Un’applicazione moderna raramente funziona da sola. Utilizza librerie, SDK, API e servizi di terze parti; può richiedere accesso a file, contatti, fotocamera o posizione; spesso comunica con infrastrutture esterne. Ciascuna di queste dipendenze può essere legittima, ma dovrebbe essere conosciuta e proporzionata alla funzione svolta.
Si consideri, ad esempio, un’app per la manutenzione degli impianti che scambia dati con un servizio esterno. Se il fornitore, la destinazione delle informazioni o le modalità di accesso non sono documentati, diventa difficile valutarne il rischio. Lo stesso vale per gli strumenti di AI utilizzati autonomamente dai collaboratori: inserire documenti aziendali in servizi non autorizzati può creare esposizioni che sfuggono ai controlli tradizionali. È il fenomeno spesso indicato come shadow AI.
Sovranità digitale: conta il controllo, non soltanto il luogo
Per un’azienda, sovranità digitale significa poter scegliere e verificare le tecnologie da cui dipende: sapere dove risiedono i dati, chi può accedervi, quali fornitori intervengono nel trattamento e come sia possibile migrare verso altre soluzioni.
L’ubicazione dei server è importante, ma non basta. Un servizio ospitato in Svizzera può coinvolgere società estere, subfornitori o amministratori con accesso ai sistemi. La valutazione deve quindi considerare anche la struttura del fornitore, i backup, la gestione delle chiavi crittografiche e le normative potenzialmente applicabili, comprese quelle che possono prevedere richieste di accesso ai dati da parte delle autorità straniere.
L’AI rende queste verifiche particolarmente attuali. Documenti, codice sorgente, trascrizioni e informazioni commerciali possono essere elaborati da modelli e infrastrutture gestiti da terzi. Preferire servizi ospitati e gestiti in Svizzera può ridurre alcune dipendenze e facilitare determinate verifiche, ma non garantisce da solo la conformità alla Legge federale sulla protezione dei dati (LPD). La sovranità si costruisce con scelte tecniche, contrattuali e organizzative verificabili, non con una semplice indicazione geografica.
Non si tratta di escludere le soluzioni internazionali. Si tratta di poterle adottare consapevolmente, conoscendo le condizioni alle quali si affidano dati e processi critici.
Da dove iniziare
- Mappare applicazioni e servizi AI. Includere software interni, applicazioni mobili, plugin, integrazioni e strumenti introdotti dai collaboratori.
- Verificare i flussi di dati. Identificare permessi, componenti esterni, destinazioni, fornitori e modalità di conservazione delle informazioni.
- Ridurre l’esposizione. Correggere le vulnerabilità note, aggiornare i componenti, rivedere le configurazioni e proteggere gli accessi.
- Definire regole per l’AI. Stabilire quali strumenti siano ammessi e quali categorie di informazioni non possano essere condivise.
- Valutare la trasparenza dei fornitori. Considerare hosting, gestione operativa, subfornitori, giurisdizioni e possibilità di migrazione.
A queste attività va affiancata la formazione. Iniziative presenti sul territorio, come quelle promosse da ATED, possono aiutare le imprese a sviluppare competenze pratiche per un impiego dell’AI più consapevole e sicuro.
Per chi sviluppa software, la sicurezza inizia prima del rilascio
Le software house e i team di sviluppo interni hanno una responsabilità ulteriore: ogni applicazione distribuita entra nella superficie d’attacco del cliente. La protezione dei dati fin dalla progettazione e per impostazione predefinita, prevista dalla LPD, richiede scelte concrete durante tutto il ciclo di vita del software.
Occorre conoscere le dipendenze, anche attraverso una Software Bill of Materials (SBOM) quando appropriato, limitare i permessi, documentare i flussi verso servizi esterni e sottoporre le applicazioni a verifiche ripetute. Un controllo effettuato una sola volta non è sufficiente: ogni nuova versione, libreria o integrazione può modificare il profilo di rischio. Anche gli strumenti usati per analizzare codice e applicazioni devono essere valutati sotto il profilo della riservatezza.
Un esempio dal territorio: AppScanner
È in questo contesto che si inserisce AppScanner, sviluppato da Advanced CGS Group SA. La piattaforma nasce per supportare l’analisi di sicurezza delle applicazioni e per aiutare i team tecnici a individuare debolezze che, considerate singolarmente, potrebbero non descrivere l’intero rischio.
Il suo approccio agentico basato sull’intelligenza artificiale mira a correlare vulnerabilità e anomalie nel contesto dell’applicazione, ricostruendo possibili percorsi di attacco. L’obiettivo non è produrre soltanto un elenco di segnalazioni, ma fornire evidenze e indicazioni che consentano agli specialisti di verificare gli scenari individuati e stabilire le priorità di intervento.
Secondo le informazioni fornite da Advanced CGS Group SA, l’analisi avviene su infrastruttura cloud in Svizzera con il supporto di intelligenza artificiale svizzera, così da rispondere anche a esigenze di controllo sulla localizzazione e sul trattamento delle informazioni esaminate. La società segnala inoltre che AppScanner ha ottenuto il riconoscimento «swiss digital services + AI» nell’ambito dell’iniziativa swiss made software. I dettagli del riconoscimento e delle caratteristiche operative sono consultabili attraverso i riferimenti ufficiali.
Una scelta di responsabilità
Per le aziende ticinesi, rafforzare la cybersicurezza non significa necessariamente moltiplicare gli strumenti. Significa prima di tutto conoscere le applicazioni su cui si basa il lavoro quotidiano, verificare come trattano i dati e mantenere la capacità di intervenire quando cambiano i rischi o i fornitori. In questo senso, sicurezza e sovranità digitale convergono: entrambe richiedono visibilità, responsabilità e controllo.
Fonti e riferimenti da verificare prima della pubblicazione
- IBM, X-Force Threat Intelligence Index 2026 (dati sul manifatturiero e sui vettori di attacco)
- Ufficio federale della cibersicurezza (UFCS), rapporto semestrale relativo al secondo semestre 2025
- NIST, Cybersecurity Framework 2.0
- Legge federale svizzera sulla protezione dei dati (LPD)
- swiss made software, requisiti dei marchi swiss digital services e «+ AI»
- AppScanner: appscanner.ai