Per anni la sicurezza di una rete telefonica ha funzionato come quella di un magazzino: un muro intorno, qualche porta controllata, la fiducia che chi sta dentro sia a posto. Quel modello si chiama difesa perimetrale, e secondo Gsma Intelligence, l’associazione mondiale degli operatori mobili, ha smesso di reggere.
Il motivo non è soltanto che gli attacchi sono aumentati. È che il magazzino non ha più un muro solo: le reti oggi girano su software distribuito nel cloud, dialogano con l’esterno tramite interfacce aperte e sono sempre più saldate ai sistemi gestionali di chi le possiede. Ogni pezzo aggiunto per renderle economiche e veloci da aggiornare ha aggiunto anche una porta.
Cosa è cambiato dentro le reti
Dieci anni fa un operatore che lanciava un servizio installava apparati fisici; oggi gli basta in buona parte rilasciare software. È il senso di cloud-native e container: pezzi di rete che non sono più scatole in un armadio, ma programmi accesi su hardware condiviso. Insieme sono arrivate le Api, i punti attraverso cui sistemi diversi si scambiano comandi, e l’open Ran, l’antenna assemblata con componenti di fornitori diversi anziché di uno solo.
Il risultato è flessibilità, più un effetto meno pubblicizzato: si è allargata la superficie d’attacco, l’insieme dei punti da cui si può tentare di entrare. Gsma Intelligence lo scrive senza attenuazioni nel proprio white paper dedicato all’architettura di sicurezza delle telecomunicazioni: domini un tempo separati oggi dipendono l’uno dall’altro, e una compromissione partita dai sistemi gestionali o dal cloud può camminare fino alle funzioni che tengono in piedi telefonate e traffico dati.
Cambia quindi l’obiettivo: non un muro invalicabile, ma un’infrastruttura che quando una parte cede impedisce al danno di propagarsi e tiene in piedi i servizi essenziali. Non conta più quanti prodotti di sicurezza si sono acquistati, ma quanto in fretta ci si accorge di un’anomalia.
Sicurezza incorporata, non aggiunta dopo
Il primo pilastro indicato dalla Gsma ha un nome poco amichevole, native security, e un significato semplice: i controlli non si appiccicano alla rete già in funzione, si mettono dentro i componenti mentre vengono progettati e prodotti. È la differenza tra montare una serratura su una porta esistente e ordinare la porta già blindata.
Prima ancora viene però un inventario. Non tutti i pezzi di una rete pesano uguale: alcuni, se saltano, fermano il servizio. Capire quali sono e proteggerli in proporzione distingue una difesa progettata da una difesa comprata.
L’effetto collaterale tocca i fornitori: se la sicurezza si costruisce a monte, i requisiti si spostano su chi produce i componenti, e il rischio di terza parte smette di essere una clausola contrattuale. L’Europa si muove nella stessa direzione. Un toolbox comunitario per la sicurezza della catena di fornitura Ict è stato adottato a febbraio 2026 dal gruppo di cooperazione Nis; il mese prima la Commissione aveva messo sul tavolo una revisione del Cybersecurity Act, con criteri uniformi per i rischi delle forniture critiche.
Più livelli, e due centri di controllo
Poi c’è quella che gli addetti chiamano difesa in profondità, e nasce da una constatazione banale: un livello solo, prima o poi, si aggira. I controlli vanno quindi distribuiti su più domini insieme — dispositivi, connessioni, operations, applicazioni, trasporto Ip e core, il cuore che smista tutto il traffico.
Il passaggio più controintuitivo riguarda la telemetria, i dati che l’infrastruttura produce su sé stessa mentre lavora: la rete non è solo l’oggetto da difendere, è anche la fonte principale di segnali per capire che qualcosa non va. Da qui l’ipotesi di due centri di sorveglianza distinti ma coordinati, i Soc: uno per l’ambiente informatico, uno per le tecnologie di comunicazione. Specializzati, perché i due mondi restano diversi anche quando convergono, ma obbligati a parlarsi in fretta.
L’AI lavora per entrambe le squadre
L’intelligenza artificiale rende tutto questo urgente, e in modo scomodo: serve identicamente a chi difende e a chi attacca. Un operatore la usa per correlare enormi quantità di eventi e automatizzare parte del lavoro dei Soc; chi attacca la usa per abbassare la propria soglia d’ingresso e allargare la scala delle campagne.
La conseguenza pratica è meno ovvia dello slogan: se la rete diventa sempre più automatica e la si difende a mano, si apre un divario fra la velocità dell’infrastruttura e quella di chi la protegge. L’AI da sola non lo colma: senza inventario degli asset, segmentazione e competenze, accelera processi che restano fragili. Il carico intanto si misura: l’Enisa Threat Landscape 2025 poggia sull’analisi di 4.875 incidenti raccolti fra luglio 2024 e giugno 2025, oltre tredici episodi al giorno sull’infrastruttura digitale europea.
C’è poi un effetto sull’organizzazione. Audit, tempi di segnalazione, sicurezza fin dalla progettazione e controllo sui fornitori non si esauriscono in un reparto tecnico: a chi appartiene un rischio, chi ha l’autorità per assumerselo, chi deve muoversi quando succede qualcosa sono scelte che si prendono ai piani alti, non in sala macchine. È lì che la cybersecurity smette di essere una voce di spesa e diventa un capitolo dell’architettura. Il versante degli obblighi di legge è trattato a parte, nell’articolo su come AI Act e Nis2 ridisegnano le regole della sicurezza informatica.
Difendersi bene può diventare un mestiere
Resta una conseguenza commerciale. Sopra queste reti girano ormai la finanza, l’industria, le imprese di ogni dimensione e i servizi della pubblica amministrazione: quanto più il mondo ci si appoggia, tanto più le difese costruite in casa dagli operatori acquistano valore anche all’esterno. Entro il 2030 il giro d’affari mondiale della cybersecurity potrebbe toccare i 289 miliardi di dollari, secondo le stime della Gsma, che indica agli operatori la possibilità di offrire protezione come servizio continuativo: dalle aziende alla PA, fino a chi gestisce una rete 5G privata. Un punto di partenza favorevole c’è, ma non è una rendita: occorrono specialisti, piattaforme replicabili e la forza di reggere il confronto con gli hyperscaler. È uno dei fronti del tentativo degli operatori di andare oltre la vendita della sola connessione.
Il punto che resta
Il vincolo si ripete altrove: fra i freni del mercato edge computing compaiono proprio i rischi di sicurezza e la scarsità di competenze, mentre sui cavi sottomarini la protezione dipende dal fatto che le coordinate esatte circolino fra proprietari, autorità e naviganti. Terreni diversi, lo stesso spostamento: la sicurezza è diventata un problema di informazioni che arrivano nel posto giusto in tempo utile.
Il messaggio della Gsma, quindi, non è che servono strumenti nuovi: è che cloud, AI, interfacce aperte e convergenza tecnologica hanno cancellato la possibilità di tenere separate la rete e la sua sicurezza. Per chi quelle reti le usa tutti i giorni la traduzione è una sola: conterà sempre meno l’altezza del muro, sempre di più come è progettato l’edificio.
Lascia un commento