Misurare la robustezza di un sistema informatico significa andare oltre la semplice prevenzione delle intrusioni. RISC, acronimo di Reti, Informatica, Sistemi di fiducia, indica un approccio di ricerca che combina sicurezza software, sicurezza hardware e modelli di fiducia per valutare la capacità di un sistema di funzionare anche in condizioni degradate. L’obiettivo cambia: non si tratta più soltanto di bloccare un attacco, ma di quantificare quanto un sistema sia in grado di resistere, riprendersi e adattarsi dopo un incidente.
Dipendenze digitali e superficie di attacco: cosa non misurano gli audit tradizionali
Le metodologie di audit tradizionali valutano la sicurezza di un perimetro definito: server, postazioni di lavoro, firewall. RISC amplia questa prospettiva integrando le dipendenze tra reti, servizi e fornitori come variabile di resilienza. Un sistema può essere configurato alla perfezione al proprio interno e restare vulnerabile a causa di un fornitore terzo o di un’API non adeguatamente isolata.
Nel suo Threat Landscape 2026, basato sull’analisi degli incidenti osservati nel 2025, l’ENISA sottolinea che queste dipendenze digitali ampliano la superficie di attacco e rendono più complesse sia la prevenzione sia la mitigazione degli incidenti. L’approccio RISC integra proprio questa dimensione, modellando le interazioni tra componenti distribuiti, mentre un audit occasionale restituisce soltanto un’istantanea statica.
Operatori specializzati documentano queste problematiche e propongono percorsi di supporto; i dettagli dei loro servizi sono disponibili su https://www.risc.lu/, che copre diversi ambiti della sicurezza e della resilienza informatica.
Sicurezza software, hardware e fiducia: confronto tra i tre ambiti di RISC
L’originalità di RISC sta nell’affrontare simultaneamente tre livelli che la maggior parte dei framework tratta separatamente. La tabella seguente confronta questi ambiti sulla base di criteri operativi.
| Ambito RISC | Perimetro coperto | Tipo di minaccia presa di mira | Esempio di meccanismo |
|---|---|---|---|
| Sicurezza software | Codice applicativo, librerie, aggiornamenti | Vulnerabilità non corrette, attacchi di injection | Analisi statica del codice, fuzzing automatizzato |
| Sicurezza hardware | Processori, firmware, canali laterali | Attacchi fisici, sfruttamento della microarchitettura | Enclave sicure, verifica dell’integrità del boot |
| Sistemi di fiducia | Protocolli distribuiti, catene di certificazione | Compromissione di un nodo, falsificazione dell’identità | Algoritmi di consenso tolleranti ai guasti bizantini |
Un sistema che considera soltanto il livello software resta esposto agli attacchi tramite canali laterali sull’hardware. Al contrario, un hardware sicuro perde la propria utilità se il software che lo gestisce presenta vulnerabilità note. La resilienza nasce dalla convergenza dei tre livelli, non dall’eccellenza di uno solo.
Resilienza informatica di fronte alle vulnerabilità datate: il ruolo della ricerca RISC
Una parte degli incidenti recenti sfrutta vulnerabilità documentate da anni. I gruppi di ricerca che adottano l’approccio RISC, come quelli del LAAS-CNRS, lavorano alla modellazione dei sistemi critici e all’analisi della propagazione dei guasti nelle architetture distribuite.
Le loro attività riguardano in particolare:
- La virtualizzazione e la softwarizzazione delle reti, che introducono nuove superfici di attacco a ogni livello di astrazione aggiunto
- L’intelligenza artificiale applicata al rilevamento delle anomalie, con l’esigenza di contenere il consumo di risorse per evitare che il meccanismo di difesa diventi a sua volta una fonte di complessità
- Gli algoritmi distribuiti tolleranti ai guasti, che consentono a un sistema di continuare a funzionare anche quando uno o più componenti sono compromessi
È quest’ultimo aspetto a distinguere la resilienza dalla semplice sicurezza. Un sistema resiliente non impedisce ogni compromissione: ne limita la propagazione e mantiene un servizio degradato, ma funzionante.
Quadro normativo NIS 2 e preparazione RISC in Francia
Il contesto normativo europeo spinge le organizzazioni a formalizzare il proprio approccio alla resilienza. In Francia, l’ANSSI ha messo a disposizione il Référentiel Cyber France (ReCyF) come strumento per prepararsi alla direttiva NIS 2. Secondo Certi-Trust, nel novembre 2026 il documento è ancora un testo di lavoro suscettibile di modifiche prima dell’adozione definitiva.
La trasposizione legislativa della NIS 2 nell’ordinamento francese non è ancora stata completata. All’Assemblea nazionale è stato presentato un disegno di legge sulla resilienza, ma i tempi della sua effettiva approvazione restano da confermare. Per le organizzazioni che intendono anticipare questi obblighi, l’approccio RISC offre un quadro strutturato: comprende già gli ambiti della gestione dei rischi, della protezione dei dati e dell’analisi delle vulnerabilità richiesti dalla NIS 2.
Divario tra preparazione tecnica e conformità normativa
La difficoltà sta nel divario tra la maturità tecnica di un’organizzazione e i requisiti formali del futuro quadro normativo. Un’azienda può disporre di strumenti di rilevamento efficaci senza aver documentato le procedure per notificare gli incidenti entro i termini previsti dalla direttiva.
RISC aiuta a colmare questo divario strutturando la risposta agli incidenti in quattro fasi misurabili: anticipazione, resistenza, ripristino, adattamento. Ogni fase è accompagnata da indicatori verificabili, facilitando la dimostrazione della conformità alle autorità di regolamentazione.
Limiti attuali e prospettive di sviluppo di RISC
L’approccio RISC non risolve ogni problema. La modellazione delle dipendenze tra fornitori si scontra con la scarsa trasparenza: la maggior parte dei provider cloud non pubblica i dettagli delle proprie catene di subfornitura. Senza questa visibilità, anche un modello di fiducia sofisticato resta parziale.
L’integrazione dell’IA nei meccanismi di difesa pone un’altra sfida. I modelli di rilevamento delle anomalie generano falsi positivi che sovraccaricano i team di sicurezza. L’efficienza nell’uso delle risorse degli algoritmi diventa un criterio di affidabilità, non soltanto di efficienza energetica.
La convergenza tra ricerca accademica ed esigenze operative delle aziende sta avanzando, ma resta lenta. Le ricerche del LAAS-CNRS sui sistemi critici producono solidi risultati teorici, il cui trasferimento in strumenti industriali richiede diversi anni. Il divario tra un prototipo di laboratorio e un prodotto pronto per l’impiego in produzione resta il principale ostacolo alla diffusione di RISC come standard di resilienza.
