Proteggi aziende e PA italiane dal cloud 2026 con ISO 27017
I principali rischi cloud del 2025 sono sette: phishing e attacchi basati su identità, ransomware con impatto sull’infrastruttura, errori di configurazione con segreti esposti, esposizione delle API, vulnerabilità nei workload AI, compromissioni della supply chain e dipendenza critica dal provider. Le due priorità operative immediate sono l’adozione di MFA resistente al phishing e la scansione continua dell’infrastruttura as code, mentre ENISA e lo standard ISO 27017 offrono i riferimenti più solidi per impostare i controlli.
In breve:
- La maggior parte degli attacchi cloud nel 2025 si basa su phishing e compromissione dell’identità, con il 60% degli incidenti rilevati dall’ENISA.
- Le vulnerabilità più frequenti riguardano configurazioni errate, segreti esposti e API non protette, che favoriscono violazioni e perdite di dati.
- La superficie di attacco cresce rapidamente e la priorità immediata è implementare MFA resistente al phishing e la scansione continua di infrastrutture as code.
- La gestione del rischio richiede un approccio strutturato basato sui controlli dello standard ISO 27017 e valutazioni periodiche di vulnerabilità e permessi.
- La maggior parte dei problemi deriva da fattori organizzativi e di governance, non da carenze tecnologiche, quindi bisogna rafforzare processi e monitoraggio.
Indice
- Quadro 2024-2025: perché questi rischi cloud sono diventati critici
- I rischi principali da monitorare nel 2026
- Le cause strutturali dietro questi rischi
- Checklist operativa: i controlli da implementare, mappati a ISO 27017
- Come SecurityHub.it struttura un assessment cloud
- Cosa ho imparato analizzando questi dati
- Riduci i rischi cloud con la certificazione ISO: i servizi Securityhub
- Fonti
Quadro 2024-2025: perché questi rischi cloud sono diventati critici
Il phishing resta il vettore d’ingresso dominante. Secondo ENISA Threat Landscape 2025, rappresenta circa il 60% dei casi analizzati tra il 1 luglio 2024 e il 30 giugno 2025, su un campione di 4.875 incidenti.
Un consiglio: se lavori in un ente pubblico o in un’azienda regolamentata, considera il dato ENISA come priorità di budget: la formazione anti-phishing costa meno di un incidente.
Sul lato infrastrutturale, il quadro non è migliore. L’Orca State of Cloud Security Report 2025 rileva che quasi un terzo degli asset cloud resta trascurato, con una media di 115 vulnerabilità per asset.
Le priorità percepite dai responsabili sicurezza confermano questa fotografia:
- Il 64% indica l’accesso non autorizzato come minaccia principale, secondo il report Trend Micro sul cloud 2025.
- Molti responsabili segnalano un aumento di phishing e social engineering rivolti specificamente agli ambienti cloud
- Il ransomware è considerato una preoccupazione primaria per la continuità operativa da una quota ampia dei responsabili sicurezza
Per aziende e PA italiane, questi numeri si traducono in una conclusione operativa: la superficie di attacco cresce più velocemente della capacità dei team di sorvegliarla, e l’identità digitale è diventata il vero perimetro da difendere.
I rischi principali da monitorare nel 2026
Ogni rischio elencato qui ha una manifestazione concreta, segnali osservabili nei log e un impatto specifico sul business. La sequenza segue un criterio di frequenza e gravità combinata.
Phishing e attacchi basati su identità. Il vishing (phishing telefonico) e i kit di phishing-as-a-service hanno abbassato la barriera d’ingresso per attaccanti anche poco esperti. Il segnale da monitorare è l’anomalia negli accessi: login da geolocalizzazioni insolite, tentativi multipli su account privilegiati, token di sessione riutilizzati. Una credenziale compromessa in un ambiente cloud multi-tenant può propagarsi rapidamente verso risorse condivise.
Compromissione dell’identità e abuso dei service account. Le identità macchina spesso hanno permessi più ampi di quanto servano e non ruotano mai le credenziali. Sessioni troppo lunghe, assenza di privileged access management (PAM) e MFA non attivo su account di servizio sono le tre lacune più comuni riscontrate negli audit.
Errori di configurazione e segreti esposti. Bucket di storage pubblici, repository con chiavi API in chiaro, template di infrastructure as code (IaC) copiati senza revisione: sono la causa più frequente di violazioni non rilevate. Il Tenable Cloud Security Risk Report 2025 descrive queste combinazioni come «trilogie tossiche»: una risorsa esposta pubblicamente, vulnerabile e con privilegi eccessivi nello stesso momento.
Esposizione delle API. Il rate limiting assente, gap di autenticazione e vulnerabilità nella logica di business (non solo tecniche) rendono le API un bersaglio privilegiato. Un endpoint che non verifica correttamente l’autorizzazione a livello di oggetto può esporre dati di migliaia di clienti senza generare alcun alert tradizionale.
Vulnerabilità nei workload AI. L’integrazione di modelli di intelligenza artificiale nel cloud introduce superfici nuove: dataset di addestramento con dati sensibili non anonimizzati, endpoint di inferenza senza controlli di accesso adeguati, e vulnerabilità nelle librerie che alimentano i modelli. È un’area dove i controlli tradizionali di sicurezza applicativa spesso non sono ancora stati adattati.
Ransomware e supply chain. L’attacco raramente entra direttamente nell’infrastruttura cloud target: passa più spesso da un fornitore terzo, una libreria compromessa o un pacchetto software cloud native con una dipendenza infetta. L’impatto sulla continuità operativa è quello che il 74% dei responsabili sicurezza cita come priorità assoluta.
Kubernetes e ambienti containerizzati non aggiornati. Cluster con versioni obsolete, service account con privilegi cluster-admin non necessari e pod senza policy di rete restrittive sono un bersaglio ricorrente. La natura effimera dei container rende più difficile anche la semplice tracciabilità forense dopo un incidente.
Dipendenza critica dal provider cloud. La mancanza di un piano di disaster recovery testato, l’assenza di clausole di diritto d’audit nel contratto e l’incertezza su una exit strategy realistica trasformano un problema tecnico in un rischio contrattuale e strategico.
Le cause strutturali dietro questi rischi
I rischi elencati non nascono per caso: hanno radici organizzative più che tecniche. La complessità multi-cloud è la prima causa: quando un’azienda gestisce policy diverse su provider diversi, il drift tra le configurazioni si accumula silenziosamente. Una regola di sicurezza applicata su un provider spesso non si riflette automaticamente sugli altri.
Il tool sprawl aggrava il problema. Team di sicurezza che ricevono migliaia di alert al giorno da dashboard non integrate finiscono per ignorare segnali reali: è l’alert fatigue, e nella pratica riduce drasticamente la capacità di prioritizzazione.
Un altro nodo critico è il silo tra team security e team DevOps. Quando la sicurezza non è integrata come policy-as-code nella pipeline CI/CD, i controlli arrivano troppo tardi, dopo che il codice è già in produzione.
- Molte organizzazioni, incluse istituzioni finanziarie regolamentate, non dispongono ancora di valutazioni dettagliate del rischio cloud, come segnala ENISA.
- L’assenza di clausole contrattuali con il cloud service provider (diritto di audit, SLA misurabili, piano di uscita) lascia scoperto un intero livello di rischio che nessun controllo tecnico può compensare.
La complessità multi-cloud sta superando la capacità operativa dei team tradizionali. La soluzione non è aggiungere altri strumenti, ma integrare governance, DevOps e sicurezza in un unico processo, come sottolinea Thales nelle sue analisi sulla sicurezza cloud.
Checklist operativa: i controlli da implementare, mappati a ISO 27017
Trasformare questi rischi in azioni concrete richiede un ordine di priorità chiaro. Ecco la sequenza che consigliamo di seguire.
Attivare MFA resistente al phishing su tutti gli account, in particolare quelli con privilegi elevati e i service account. Le chiavi hardware o i passkey riducono drasticamente il rischio rispetto agli SMS.
Introdurre il privileged access management (PAM) con rotazione automatica dei segreti e sessioni con scadenza breve, eliminando gli accessi permanenti “always on”.
Automatizzare la scansione dell’infrastruttura as code prima del deployment, non dopo. Un template IaC corretto a monte previene la stessa misconfigurazione su decine di ambienti contemporaneamente.
Integrare security gate nella pipeline CI/CD attraverso policy-as-code, così che un deployment non conforme venga bloccato automaticamente prima di raggiungere la produzione.
Centralizzare la telemetria in un’unica piattaforma di osservabilità per ridurre il tool sprawl e permettere una prioritizzazione reale degli alert, anziché una gestione manuale caso per caso.
Automatizzare i playbook di contenimento per le minacce più frequenti: l’automazione selettiva riduce sensibilmente il tempo di reazione e la probabilità che un percorso di attacco si propaghi, come emerge dal report Trend Micro.
Pianificare verifiche periodiche: vulnerability management continuo, penetration test annuali e un audit specifico sui permessi dei service account.
Un consiglio: prima di comprare un nuovo strumento di sicurezza, verifica se il problema che vuoi risolvere è già coperto da un controllo ISO 27017 che semplicemente non hai ancora implementato correttamente.
Lo standard ISO 27017 è pensato esattamente per questo: definisce controlli specifici per il cloud, chiarisce la responsabilità condivisa tra cliente e provider, e fissa criteri di segregazione degli ambienti virtuali e di rilevamento degli usi non autorizzati. Mappare la checklist sopra a quei controlli trasforma un elenco di buone intenzioni in un sistema verificabile da un audit esterno.
Come SecurityHub.it struttura un assessment cloud
Un assessment cloud ben condotto segue fasi precise, non un controllo generico. Partiamo da un’analisi documentale e tecnica dell’ambiente esistente, seguita da un’intervista strutturata con i responsabili IT per mappare i gap rispetto ai controlli ISO 27017 e ISO 27001.
L’output tipico di questo lavoro comprende:
- una checklist di remediation prioritizzata per severità e impatto sul business;
- una bozza di policy IAM allineata ai principi di minimo privilegio;
- un piano di remediation con scadenze concrete e responsabilità assegnate.
Chi vuole un modello di riferimento operativo può consultare la nostra procedura di valutazione dei rischi cloud, oppure approfondire gli esempi di misure preventive ISO 27017 già applicati in contesti aziendali reali. Per chi cerca un punto di partenza più rapido, la guida passo passo alla certificazione ISO 27017 illustra i passaggi in ordine logico.
Cosa ho imparato analizzando questi dati
La convinzione più diffusa tra i responsabili IT è che i rischi cloud del 2025 siano principalmente tecnologici: nuovi malware, exploit più sofisticati, minacce zero-day. I dati raccontano una storia diversa. Il phishing, un vettore vecchio di vent’anni, resta il problema numero uno. Le configurazioni sbagliate, non gli attacchi avanzati, generano la maggior parte degli incidenti reali.
Questo significa che la conversazione sulla sicurezza cloud è sbilanciata verso lo strumento sbagliato. Le aziende comprano piattaforme di detection sempre più sofisticate mentre lasciano bucket di storage pubblici o service account senza rotazione delle credenziali. Non è un problema di tecnologia insufficiente: è un problema di processo e di governance che nessun software risolve da solo.
Chi legge questo articolo dovrebbe partire da una domanda scomoda: esiste oggi, nella mia organizzazione, una mappatura chiara tra i controlli che applichiamo e uno standard verificabile come ISO 27017? Se la risposta è incerta, è lì che va indirizzato il primo investimento del 2026, prima di qualsiasi nuovo strumento di monitoraggio.
— Valerio
Riduci i rischi cloud con la certificazione ISO: i servizi Securityhub
Conoscere i rischi non basta se non hai un percorso strutturato per affrontarli in modo verificabile da terzi. Securityhub accompagna aziende e pubbliche amministrazioni italiane verso la certificazione ISO 27001, ISO 27017 e ISO 27018, con analisi dei requisiti, preparazione della documentazione e audit interni su misura per ambienti cloud.
A differenza di un tool di monitoraggio che segnala il problema ma non lo risolve, il nostro lavoro produce un sistema di gestione della sicurezza delle informazioni (ISMS) documentato, verificabile e riconosciuto da un ente di certificazione esterno. Copriamo l’intero percorso: dalla mappatura iniziale dei gap fino al superamento dell’audit di certificazione, con formazione specifica per i team DevOps sull’integrazione di policy-as-code.
Se la tua organizzazione gestisce dati sensibili in ambienti cloud o multi-cloud, il primo passo concreto è verificare a che punto sei rispetto ai controlli richiesti dalla certificazione ISO 27017. Richiedi una valutazione iniziale con Securityhub per capire quali gap chiudere prima di affrontare un audit formale.
Fonti
I dati citati in questo articolo provengono da report e standard riconosciuti a livello internazionale, utili per chi vuole verificare le fonti o approfondire singoli aspetti.
- ENISA Threat Landscape 2025
- Orca State of Cloud Security Report 2025
- Trend Micro: Cloud report 2025
- Tenable Cloud Security Risk Report 2025
- ISO: Information security controls based on ISO/IEC 27002 for cloud services (ISO 27017)
Raccomandati
