Perché il ripristino è ora l’ultima linea di difesa

Fino al 2030, un'azienda su tre subirà almeno una violazione della sicurezza ogni anno, secondo Gartner®. 1 E l'IA sta rendendo gli attacchi più veloci di quanto i difensori riescano a gestire.

I modelli di IA di frontiera come Claude Mythos e GPT-Cyber di OpenAI sono ormai in grado di individuare vulnerabilità e produrre exploit funzionanti in autonomia, riducendo “la finestra tra patch ed exploit da settimane a minuti”.

Quando una violazione è questione di quando e non di se, la domanda più importante non è più “Possiamo tenere fuori gli attaccanti?” È “In quanto tempo riusciamo a ripartire?”

Le conclusioni di Gartner sulle minacce informatiche accelerate dall'IA

Nel report di Gartner The Claude Mythos Infrastructure Cybersecurity Threat Remediation Playbook (giugno 2026), secondo la nostra lettura, si sostiene che le tradizionali policy di gestione delle operazioni di rete, con lunghe finestre di patching manuale, siano ormai “del tutto obsolete”.

Gartner prevede inoltre che entro il 2030 meno del 20% delle organizzazioni adotterà NetOps con “automazione per impostazione predefinita” per mantenere la continuità operativa di fronte agli attacchi informatici.

La nostra opinione: queste patch di rete vengono distribuite automaticamente invece di attendere settimane per revisioni manuali. Le patch a basso rischio vengono distribuite subito, mentre quelle ad alto rischio ricevono una rapida approvazione umana. Questa previsione significa che le organizzazioni applicheranno le patch troppo lentamente per tenere il passo con gli exploit guidati dall'IA, rendendo il ripristino sempre più importante nella strategia di resilienza di un'azienda.

Ecco come interpretiamo le tre fasi che il playbook indica ai responsabili di infrastruttura e operazioni (I&O):

1. Eseguire scansioni e correzioni in modo proattivo. Passate da scansioni puntuali alla gestione continua dell'esposizione alle minacce (CTEM). Date priorità alle “esposizioni di primo livello”, come i sistemi esposti al pubblico e i sistemi legacy non patchabili. Gartner avverte che la sola scansione “sposta soltanto il collo di bottiglia” sulla validazione delle correzioni.
2. Rivedere il NetOps in ottica di “automazione per impostazione predefinita”. Le patch a basso rischio vengono distribuite automaticamente. Le patch ad alto rischio che interessano sistemi critici seguono l'“automazione per impostazione predefinita con intervento umano (HITL)”. Ogni rilascio automatizzato richiede “fallback automatico” e “rollback automatico” in caso di errore dell'aggiornamento.
3. Costruire una strategia di “defense-in-depth” a più livelli. Partite da un inventario completo degli asset. Aggiungete controlli di rete come la microsegmentazione e i principi Zero Trust. Soprattutto, sviluppate “capacità di ripristino altamente resilienti”.

Tutte e tre le fasi poggiano sulla stessa premessa: raggiungere un'esposizione pari a zero è impossibile e troppo costoso da perseguire. Secondo la nostra lettura, Gartner descrive questo percorso come uno sforzo pluriennale e non come una soluzione una tantum, perché i nuovi modelli di IA continueranno a trovare vulnerabilità più velocemente di quanto i team riescano a correggerle. L'obiettivo è una riduzione del rischio costante e pratica, con un piano di ripristino affidabile per gli attacchi che riescono comunque a passare.

Perché il ripristino è ora la vostra ultima linea di difesa

L'applicazione delle patch riduce le probabilità di una violazione, mentre il ripristino limita i danni quando questa si verifica. Servono entrambi per un solido piano di resilienza.

Per prepararsi a una violazione, Gartner raccomanda una strategia di backup e ripristino a più livelli, strutturata su tre livelli. Secondo noi prevede:

• Snapshot per ripristini immediati. Gli snapshot dello storage riportano i sistemi a un momento recente in pochi minuti. Tuttavia di solito risiedono sullo stesso sistema dei dati di produzione, quindi un attacco a quel sistema può eliminare anche loro.
• Backup immutabili locali per un ripristino rapido. Backup on-site che non possono essere modificati né eliminati, pronti per il ripristino quando si guasta un singolo sistema o un sito.
• Copie isolate off-site per gli scenari peggiori. Una copia separata, scollegata dall'ambiente di produzione, per i disastri che colpiscono l'intera organizzazione.

Secondo noi, Gartner consiglia inoltre di predisporre in anticipo un ambiente di ripristino isolato, insieme a runbook passo-passo che riportino online per primi i servizi più critici. I team dovrebbero anche tenere a disposizione immagini di sistema e configurazioni affidabili, per poter ricostruire completamente l'infrastruttura compromessa.

In breve, un solido piano di cyber resilience dà per scontata la violazione e progetta la ripartenza.

La trappola del backup: il ripristino fallisce se gli attaccanti raggiungono i vostri dati di backup

I criminali sanno che i backup sono la vostra via d'uscita durante un attacco. Per questo prendono di mira per prima l'infrastruttura di backup: eliminano i punti di ripristino, cifrano i repository o usano credenziali di amministratore rubate per cancellare tutto. L'IA accelera questa catena di attacco.

Ecco perché, a nostro avviso, Gartner specifica backup immutabili e non semplicemente backup dei vostri dati. Un backup che un attaccante può modificare o eliminare non è un piano di ripristino.

Ponete al vostro team tre domande:

• I nostri backup sono assolutamente immutabili o solo protetti da impostazioni che un amministratore potrebbe modificare?
• Sono isolati dalle credenziali che potrebbero essere compromesse in una violazione?
• Abbiamo testato quanto tempo serve per ripristinare i servizi critici, e non solo se i job di backup terminano correttamente?

Una checklist della strategia di backup e ripristino per i responsabili I&O

Gartner suggerisce di monitorare quattro indicatori di successo: la quota di patch a basso rischio approvate automaticamente, il tempo medio di correzione (MTTR), gli aggiornamenti di sicurezza completati senza downtime e il tempo che intercorre tra la comparsa di un'esposizione e la sua correzione. Abbinateli a questi passaggi incentrati sul ripristino:

1. Mappate i backup su tutti e tre i livelli. Verificate di disporre di snapshot, backup immutabili locali e di una copia isolata off-site.
2. Misurate il tempo di ripristino. Tenete traccia del tempo necessario per riportare online i servizi critici, non solo dei tassi di successo dei backup.
3. Testate regolarmente i ripristini. Eseguite esercitazioni di ripristino sui vostri runbook, così il piano funziona anche sotto pressione.
4. Separate il software di backup dallo storage di backup. La compromissione dell'uno non deve mai esporre l'altro.
5. Eliminate la complessità. Più è semplice gestire lo storage immutabile, meno è probabile che una configurazione errata lasci una falla.

Come Object First fornisce il livello di backup immutabile

Backup immutabili locali che si ripristinano rapidamente on-site: è esattamente ciò per cui è stato creato Object First Ootbi.

Ootbi è uno storage di backup sicuro, semplice e potente, progettato appositamente per Veeam:

• Assolutamente immutabile. I dati di backup non possono essere modificati né eliminati durante il periodo di conservazione e non c'è alcun accesso ad azioni distruttive, nemmeno con credenziali di amministratore rubate.
• Basato su Zero Trust Data Resilience (ZTDR). Ootbi segue il modello ZTDR sviluppato con Veeam, che separa il software di backup dallo storage di backup, così una singola compromissione non mette fuori uso entrambi.
• Ripristino locale rapido. Ootbi conserva i backup on-site per ripristini veloci e supporta Veeam Instant Recovery, aiutando i team a riportare online per primi i workload critici.
• Semplice da gestire. Ootbi si installa rapidamente e non richiede competenze di sicurezza, un vantaggio quando i team I&O sono già sotto pressione tra patching e automazione.

Ootbi non sostituisce il patching né la gestione dell'esposizione. Garantisce che, quando un attacco alla velocità dell'IA supera le vostre difese, i backup siano ancora lì e pronti per il ripristino.

Conclusione: rendete certo il ripristino

Le minacce informatiche basate sull'IA hanno reso le violazioni più probabili e più rapide nell'escalation. Non si può arrivare al rischio zero a colpi di patch. Ciò che potete fare è assicurarvi che il ripristino non sia mai in dubbio.

Iniziate con uno storage di backup immutabile che gli attaccanti non possono toccare. Richiedete una demo per scoprire come Object First vi aiuta a riprendervi rapidamente quando conta di più.

FAQ

Che cos'è Claude Mythos? Claude Mythos è una famiglia di modelli di IA di frontiera di Anthropic con capacità avanzate di cybersecurity. Anthropic ha presentato Claude Mythos Preview nell'aprile 2026 attraverso il Project Glasswing, che offre a un gruppo ristretto di grandi aziende tecnologiche e manutentori di software critico l'accesso al modello per individuare e correggere le vulnerabilità prima degli attaccanti. Anthropic riferisce che il modello ha scoperto migliaia di vulnerabilità zero-day ad alta gravità, tra cui falle in tutti i principali sistemi operativi e browser web. L'accesso resta limitato e non è disponibile al pubblico.

Che cos'è GPT-Cyber di OpenAI? GPT-Cyber indica la linea di modelli di OpenAI specializzati in cybersecurity, come GPT-5.5-Cyber e il più recente GPT-5.6-Cyber. OpenAI addestra questi modelli per attività di sicurezza avanzate, tra cui la ricerca di vulnerabilità zero-day e la convalida degli exploit, in modo che i difensori possano trovare e correggere le falle prima degli attaccanti. L'accesso è limitato a professionisti e organizzazioni della sicurezza approvati tramite il programma Daybreak di OpenAI, che richiede la verifica dell'identità e limita l'uso ad attività difensive autorizzate.

Cosa raccomanda Gartner per il ripristino dopo attacchi guidati dall'IA? Secondo la nostra interpretazione, Gartner raccomanda di combinare snapshot dello storage, backup immutabili locali e copie isolate off-site, supportati da un ambiente di ripristino isolato dedicato e da runbook che riportano online per primi i servizi critici.

Perché i backup immutabili sono importanti per il ripristino dopo un ransomware? Gli attaccanti spesso prendono di mira per primi i backup. I backup immutabili non possono essere modificati né eliminati, quindi i vostri dati di backup sopravvivono e contribuiscono a garantire il ripristino.

*Gartner, The Claude Mythos Infrastructure Cybersecurity Threat Remediation Playbook, 1° giugno 2026, Tim Zimmerman, Andrew Lerner, John Watts, Charlie Winckless, Dhivya Poole, Chuck Lawton