La sicurezza informatica non si gioca più solo su firewall, antivirus e reti aziendali. Oggi una parte crescente del rischio nasce da come le persone lavorano ogni giorno: usano strumenti cloud, accedono da remoto, sperimentano servizi di AI e prendono decisioni rapide per essere produttive. Per un’azienda questo significa che la cybersecurity non può limitarsi alla tecnologia: deve ridurre l’attrito tra protezione e operatività.
Perché il perimetro tradizionale non basta più
Per anni la difesa informatica è stata costruita attorno a un’idea semplice: proteggere l’infrastruttura. Si interveniva sui punti più esposti con firewall più evoluti, sistemi di protezione degli endpoint, autenticazione multifattore, strumenti di rilevamento e risposta alle minacce e piattaforme di monitoraggio sempre più sofisticate.
Questi investimenti restano indispensabili. Il problema è che non sono più sufficienti da soli.
Il motivo è cambiato il contesto di lavoro. Applicazioni cloud, servizi SaaS, smart working, collaborazione digitale e AI generativa hanno trasformato il modo in cui dipendenti e collaboratori operano. Molte attività che un tempo avvenivano dentro un perimetro aziendale chiaro oggi passano attraverso strumenti esterni, accessi remoti, dispositivi condivisi tra vita privata e lavoro e flussi di dati che nascono fuori dai sistemi tradizionalmente governati dall’IT.
In questo scenario, il nuovo “confine” della sicurezza non è solo dove si trovano i server o da quale rete ci si collega. È il comportamento quotidiano delle persone.
Il rischio nasce dalle abitudini, non solo dagli errori
Un punto importante emerso dall’analisi pubblicata il 1° settembre 2026 su Agenda Digitale è che non ha più senso considerare i dipendenti semplicemente come l’anello debole. Nella maggior parte dei casi non stanno cercando di violare una regola o di esporsi a un rischio consapevolmente. Stanno cercando di lavorare in modo più rapido, più semplice e più fluido.
È qui che la questione diventa concreta per qualunque impresa.
Se uno strumento di AI consente di completare un’attività in pochi minuti, verrà provato anche prima che l’azienda abbia definito una policy. Se dover ricordare molte credenziali complica il lavoro, la tendenza al riutilizzo delle password riemergerà. Se una procedura di accesso remoto è percepita come lenta o macchinosa, qualcuno cercherà una scorciatoia.
Il punto, quindi, non è solo “formare meglio gli utenti”. Il punto è progettare sicurezza che non intralci il lavoro reale.
I numeri che mostrano il cambio di scenario
La fonte cita una ricerca internazionale che fotografa con chiarezza questo passaggio. I dati riportati sono significativi:
- il 64% dei dipendenti dichiara di usare strumenti di intelligenza artificiale non autorizzati per attività lavorative;
- il 76% riutilizza le stesse password su più account;
- il 70% lavora collegandosi a reti Wi‑Fi pubbliche;
- metà degli intervistati accede alle risorse aziendali senza VPN;
- più della metà usa il dispositivo aziendale anche per attività personali.
Letti uno per uno, questi numeri sembrano l’ennesimo elenco di cattive pratiche. Osservati insieme, raccontano qualcosa di più importante: il comportamento operativo delle persone evolve più velocemente di policy, processi e controlli aziendali.
Non è un fenomeno del tutto nuovo. In passato si è parlato di Shadow IT e poi di adozione spontanea del cloud. Oggi la stessa dinamica si ripresenta con l’AI generativa, spesso indicata come Shadow AI: strumenti adottati prima ancora che l’organizzazione abbia deciso come governarli.
Dalla sicurezza “centrata sull’infrastruttura” a quella “centrata sulle persone”
Dire che la sicurezza deve diventare human-centric non significa scaricare la responsabilità sui dipendenti. Significa l’opposto: riconoscere che le persone lavorano sotto pressione, devono rispettare tempi stretti e scelgono quasi sempre la strada più pratica.
Per questo una strategia moderna di cybersecurity deve partire da tre domande molto concrete:
- Dove i processi di sicurezza rallentano davvero il lavoro?
- Quali strumenti vengono già usati informalmente dai team?
- In quali attività il rischio nasce da comportamenti prevedibili, non da negligenza?
Questo approccio cambia anche il ruolo dell’IT. Non basta vietare o bloccare. Serve costruire regole applicabili, strumenti semplici da usare e controlli proporzionati al rischio reale.
Per esempio, una policy sull’uso dell’AI che si limita a proibire tutto tende a essere ignorata. Una policy che distingue casi d’uso ammessi, dati non caricabili, strumenti autorizzati e responsabilità dei reparti ha molte più probabilità di funzionare.
Dove si aprono oggi le falle più comuni
In una PMI o in uno studio professionale il rischio non si manifesta quasi mai con scenari hollywoodiani. Più spesso nasce da comportamenti ordinari che si accumulano nel tempo.
Tra i casi più frequenti ci sono:
- condivisione di documenti aziendali su piattaforme non approvate;
- utilizzo di chatbot o strumenti di AI per rielaborare testi, offerte, contratti o dati interni;
- accessi a caselle email e applicativi da dispositivi personali non gestiti;
- password deboli o riutilizzate;
- connessioni da reti domestiche o pubbliche senza adeguate protezioni;
- uso promiscuo dei PC aziendali per attività lavorative e personali.
Il problema non è solo tecnico. È organizzativo. Ogni comportamento di questo tipo crea nuove copie dei dati, nuovi punti di accesso, nuove dipendenze da servizi esterni e una minore tracciabilità.
Quando poi si verifica un incidente, ricostruire cosa è successo diventa molto più difficile.
Cosa significa per la tua azienda
Per una PMI italiana il messaggio è chiaro: non serve inseguire ogni moda della sicurezza, ma mettere ordine nei comportamenti reali dell’azienda.
Ecco le priorità più utili in pratica.
1. Mappa come si lavora davvero
Prima delle policy, osserva i flussi reali. Quali strumenti usano i commerciali? Come condividono file amministrazione e consulenti? I collaboratori usano già servizi di AI? Da quali dispositivi accedono?
Se la fotografia iniziale è incompleta, qualsiasi regola rischia di restare sulla carta.
2. Riduci l’attrito nei processi critici
Se una misura di sicurezza è troppo scomoda, verrà aggirata. Conviene quindi semplificare accessi, condivisione documentale, autenticazione e lavoro da remoto. In molti casi è più efficace offrire uno strumento aziendale comodo e ben configurato che proibire soluzioni esterne senza alternative.
Un buon presidio di sicurezza informatica oggi deve bilanciare protezione e usabilità.
3. Definisci regole chiare sull’AI
Non basta dire “non usare strumenti non autorizzati”. Serve spiegare:
- quali servizi sono ammessi;
- quali dati non devono mai essere caricati;
- chi approva nuovi strumenti;
- come gestire contenuti generati dall’AI;
- quali controlli si applicano ai reparti più esposti.
L’obiettivo non è frenare l’innovazione, ma evitare che velocità e improvvisazione espongano dati, clienti e know-how.
4. Metti in sicurezza identità e dispositivi
Password riutilizzate, accessi non gestiti e dispositivi promiscui sono ancora tra i problemi più comuni. Qui servono disciplina e metodo: gestione centralizzata dei PC, aggiornamenti, controllo degli accessi, separazione tra uso aziendale e personale dove possibile.
Per molte aziende è utile rafforzare il governo delle postazioni con servizi di desktop IT management, soprattutto quando i team lavorano in parte fuori sede.
5. Prepara la continuità operativa
Anche con policy migliori, l’incidente può accadere. Per questo backup verificati, ripristino testato e procedure di reazione restano essenziali. Se una persona carica dati dove non dovrebbe, apre un allegato malevolo o espone credenziali, la capacità di recupero fa la differenza tra disservizio e crisi.
Una strategia di remote backup diventa particolarmente importante quando file e processi sono distribuiti tra cloud, PC e sedi diverse.
6. Aggiorna formazione e responsabilità
La formazione non deve limitarsi al phishing generico. Deve riflettere i comportamenti reali: uso dell’AI, condivisione file, lavoro da remoto, gestione dei dati su mobile, reti Wi‑Fi pubbliche, credenziali e accessi ai servizi SaaS.
Più che corsi occasionali, funzionano micro-regole operative, esempi concreti e responsabilità chiare per reparto.
La vera sfida: governare il lavoro ibrido e diffuso
Il perimetro aziendale classico è già stato superato da tempo. Oggi il passo ulteriore è riconoscere che anche il confine tra vita privata e lavoro è molto meno netto di prima. Lo stesso dispositivo può essere usato per lavorare, comunicare, gestire attività personali, accedere a servizi finanziari, usare strumenti di AI e condividere file.
Per le aziende questo significa che la sicurezza non può più basarsi solo sull’idea di “interno” ed “esterno”. Deve basarsi su identità, contesto, autorizzazioni, tracciabilità e comportamenti osservabili.
In altre parole: meno fiducia implicita, più governo concreto.
Non è una questione di sfiducia verso i dipendenti
C’è un rischio culturale da evitare. Se il tema viene presentato come “il problema sono le persone”, si crea distanza tra IT e business. Se invece viene affrontato come “dobbiamo rendere sicuro il lavoro reale”, allora sicurezza e produttività smettono di essere avversarie.
Questo vale soprattutto nelle PMI, dove processi e abitudini nascono spesso in modo informale. Qui la cybersecurity funziona quando entra nelle attività quotidiane senza appesantirle inutilmente.
Il messaggio finale è semplice: il comportamento umano è ormai un parametro operativo della sicurezza. Trattarlo come tale permette di prevenire più rischi di quanto possano fare, da sole, nuove tecnologie aggiunte a posteriori.
Domande frequenti
La formazione del personale basta a risolvere il problema?
No. È utile, ma da sola non basta. Se strumenti e processi restano scomodi, le persone continueranno a cercare scorciatoie.
Vietare l’AI in azienda è una soluzione realistica?
Di solito no. È più efficace definire strumenti autorizzati, limiti d’uso e dati che non devono mai essere condivisi.
Qual è il primo passo per una PMI?
Capire come i collaboratori lavorano davvero: strumenti usati, accessi, condivisioni, dispositivi e attività da remoto. Solo da lì nascono regole efficaci.