L’EY Cyber Barometer 2025, lanciato per la seconda volta, ha analizzato più di 300 società italiane sottoposte a audit finanziario, confrontandole con le 100 imprese esaminate nel biennio precedente. Il risultato è chiaro: la supply chain rappresenta il punto più fragile della sicurezza informatica aziendale. Questo dato non è solo un'indicazione statistica, ma un avvertimento concreto per i dirigenti che devono garantire continuità operativa e rispetto dei tempi di consegna ai clienti.

Perché la supply chain è il tallone d’Achille della cyber‑security

Le catene di approvvigionamento moderne sono composte da centinaia di fornitori, ciascuno con proprie infrastrutture IT, politiche di sicurezza e livelli di maturità digitale. Quando un fornitore subisce un attacco ransomware o una violazione dei dati, l’effetto a catena può bloccare la produzione, interrompere le linee di distribuzione e compromettere la reputazione dell’intera azienda.

Un caso emblematico è quello di una nota casa automobilistica italiana che, nel 2023, ha dovuto fermare la linea di assemblaggio per tre giorni perché il suo fornitore di componenti elettronici è stato colpito da un attacco DDoS. Il costo diretto dell’interruzione è stato stimato in 12 milioni di euro, senza contare le perdite di fatturato future.

Esempi di vulnerabilità tipiche

    • Assenza di controlli di accesso: molti fornitori non implementano autenticazione a più fattori, lasciando porte aperte a intrusioni.
    • Patch management insufficiente: sistemi non aggiornati rappresentano un terreno fertile per exploit noti.
    • Assenza di piani di disaster recovery: la maggior parte delle PMI non dispone di procedure documentate per il ripristino rapido dei servizi.

Divari settoriali nella maturità cyber

L’indagine evidenzia differenze marcate tra i settori. Il comparto manifatturiero mostra un livello medio di maturità cyber pari al 45 % rispetto al benchmark europeo, mentre il settore dei servizi finanziari supera il 70 %. Le cause di questi divari includono: budget dedicati alla sicurezza, cultura della compliance e pressione competitiva.

Nel settore manifatturiero, la maggior parte delle imprese ha adottato solo controlli di base, come antivirus e firewall, ma manca l’adozione di soluzioni avanzate come l’analisi comportamentale del traffico o la segmentazione della rete. Al contrario, le banche italiane hanno investito significativamente in Security Operations Center (SOC) e in programmi di threat intelligence, riducendo il tempo medio di rilevamento degli incidenti da 48 a 12 ore.

Impatto economico delle vulnerabilità

Secondo il rapporto, il costo medio di un incidente cyber nella supply chain per le imprese italiane è di 1,8 milioni di euro, con una media di 35 giorni di interruzione dei processi critici. Inoltre, il 62 % delle aziende intervistate ha dichiarato di aver subito una perdita di clienti a seguito di un attacco che ha coinvolto un fornitore.

Azioni concrete per rafforzare la sicurezza della filiera

Per mitigare questi rischi, gli esperti consigliano di adottare un approccio a più livelli:

    • Valutazione preliminare dei fornitori: includere questionari di sicurezza, certificazioni ISO 27001 e test di penetrazione come requisito contrattuale.
    • Contratti di servizio con clausole di cyber‑resilience: prevedere penali per mancato rispetto dei SLA di ripristino e obblighi di notifica entro 24 ore.
    • Monitoraggio continuo: utilizzare soluzioni di threat detection basate su AI per rilevare anomalie nel traffico proveniente dalla rete dei fornitori.
    • Programmi di formazione congiunti: organizzare workshop periodici per allineare le policy di sicurezza tra azienda e fornitori.
    • Piani di risposta congiunti: definire processi di escalation condivisi per gestire incidenti che coinvolgono più attori della catena.

Un esempio virtuoso è rappresentato da un grande gruppo agroalimentare che, nel 2024, ha implementato un portale di gestione della sicurezza per i fornitori, integrando valutazioni di rischio automatiche e audit trimestrali. Dopo un anno, il numero di incidenti legati alla supply chain è diminuito del 48 %.

Il ruolo della direzione e della governance

La sicurezza della supply chain non può più essere delegata esclusivamente al dipartimento IT. È necessario inserire la cyber‑resilience nella governance aziendale, con responsabilità chiara a livello di C‑suite. Il consiglio di amministrazione dovrebbe ricevere report periodici sullo stato di salute della filiera, includendo metriche quali:

    • Percentuale di fornitori certificati ISO 27001.
    • Tempo medio di risposta a incidenti provenienti da terze parti.
    • Numero di audit completati rispetto al piano annuale.

Integrare queste metriche nei KPI aziendali garantisce che la sicurezza diventi una priorità strategica e non un semplice requisito operativo.

Conclusioni

L’EY Cyber Barometer 2025 ha messo in luce un problema cruciale: la vulnerabilità della supply chain è la principale minaccia per la continuità operativa delle imprese italiane. Colmare il divario di maturità tra settori, adottare pratiche di valutazione e monitoraggio dei fornitori e inserire la cyber‑resilience nella governance sono passi imprescindibili per proteggere il business. Ignorare questi segnali può tradursi in costi economici elevati, perdita di clienti e danni reputazionali difficili da riparare.