Sicurezza infrastrutture critiche: preparazione 2026

Introduzione

Le organizzazioni che gestiscono infrastrutture critiche stanno affrontando un tipo diverso di rischio cyber nel 2026. Secondo Microsoft Threat Intelligence, gli attaccanti non si concentrano più solo sul furto di dati o su interruzioni di breve durata: stanno invece stabilendo accessi persistenti da utilizzare in seguito per ottenere il massimo impatto operativo.

Questo è rilevante per i responsabili della sicurezza e gli amministratori IT, perché identità, servizi cloud e accesso remoto collegano ora i sistemi IT tradizionali con la operational technology (OT). Una singola debolezza in questa catena può causare reali interruzioni dei servizi.

Cosa c’è di nuovo nell’ultima valutazione di Microsoft

Microsoft evidenzia cinque realtà principali che stanno modellando la resilienza delle infrastrutture critiche nel 2026:

• L’identità è ora il principale vettore di attacco. Oltre il 97% degli attacchi basati sull’identità prende di mira l’autenticazione basata su password, spesso tramite password spray e tentativi di brute force.
• Gli ambienti ibridi e cloud ampliano la portata degli attaccanti. Microsoft segnala che gli incidenti cloud e hybrid sono aumentati del 26% all’inizio del 2025, con asset esposti sul web e servizi remoti esposti che restano punti di ingresso comuni.
• Il preposizionamento da parte degli stati nazione è in corso. Campagne come Volt Typhoon mostrano come i threat actor utilizzino credenziali valide e tecniche living-off-the-land per mantenere un accesso silenzioso e di lungo periodo.
• Le misconfigurations continuano a favorire le compromissioni. Account privilegiati inattivi, VPN esposte, identità di contractor obsolete e tenant cloud configurati in modo errato continuano a consentire l’accesso iniziale.
• L’interruzione operativa è l’obiettivo finale. Gli attaccanti prendono sempre più di mira i sistemi che influenzano disponibilità, processi fisici e servizi critici, non solo i dati sensibili.

Perché è importante per gli amministratori

Per gli amministratori delle infrastrutture critiche, l’articolo ribadisce che la preparazione alla cybersecurity è ora una questione di resilienza operativa. I sistemi di identità rappresentano il livello di controllo tra cloud, IT e OT, quindi autenticazione debole e percorsi di accesso eccessivamente esposti possono avere conseguenze sproporzionate.

Microsoft richiama inoltre l’attenzione su una crescente spinta normativa negli Stati Uniti, in Europa, Giappone e Canada. Questo significa che le organizzazioni devono andare oltre la semplice consapevolezza e passare a una preparazione verificata, con controlli misurabili, esercitazioni pratiche e piani di risposta testati.

Prossimi passi consigliati

I team di sicurezza dovrebbero dare priorità ad alcune azioni immediate:

1. Ridurre il rischio legato all’identità abbandonando, dove possibile, gli accessi dipendenti da password e rivedendo gli account privilegiati.
2. Verificare l’esposizione dell’accesso remoto incluse VPN, sistemi esposti sul web e account dei contractor.
3. Rivedere le configurazioni cloud e hybrid per identificare deviazioni, permessi eccessivi e asset non gestiti.
4. Rafforzare la visibilità tra IT e OT in modo da rilevare più facilmente attività sospette che utilizzano strumenti legittimi.
5. Testare la resilienza operativa tramite esercitazioni tabletop, validazione della incident response e formazione specifica per settore.

Il messaggio centrale di Microsoft è semplice: le organizzazioni che gestiscono infrastrutture critiche dovrebbero presumere di essere già nel mirino e concentrarsi da subito su una preparazione continua, non rimandarla.