Chiude RSAC 2026, Conferenza globale sulla cybersecurity, lasciando l’impressione di un settore in piena rivoluzione, ancor prima che in espansione senza precedenti.
Oltre alle ormai consuete minacce tecnologiche, a farla da padrone durante l’evento è stato il panorama geopolitico. Una situazione carica di turbolenze che sta portando a nuovi equilibri nel contesto della sicurezza informatica mondiale.
A concludere la kermesse è stato un intervento di Becky Bracken, senior editor di Dark Reading, intervenuta durante l’ultima giornata di live streaming insieme al vicedirettore Jamison Cush e alla responsabile editoriale Sabrina Polin.
I rappresentanti del noto portale web, punto di riferimento internazionale nell’ambito della cybersecurity, hanno iniziato il loro discorso parlando di politica. Bracken ha sottolineato come, rispetto alle precedenti edizioni della conferenza, nel 2026 nessun rappresentante del governo federale americano fosse intervenuto al congresso.
L’appuntamento RSAC, fino a un anno fa, vedeva la presenza governativa come parte attiva in un dialogo bidirezionale. Secondo Bracken, la pesante assenza è dovuta alla adesione nel contesto organizzativo del RSAC di Jen Easterly, già direttrice della CISA sotto l’amministrazione Biden. In disaccordo a questa figura, il governo federale ha ritirato la sua partecipazione all’evento.
RSAC 2026: all’appuntamento manca il governo USA ma è presente l’UE
Per la senior editor, questa è stata un’occasione persa, anche in virtù del contesto in cui si trovano oggi gli Stati Uniti. Il paese è impegnato in uno scontro cibernetico senza eguali nella storia, con un massiccio impiego di tecnologie legate all’intelligenza artificiale.
A rendere ancora più evidente il distacco del governo USA, è stata l’adesione tutt’altro che scontata di rappresentanti europei. A colmare il vuoto lasciato da Washington ci ha pensato l’Unione Europea, con una delegazione più numerosa e più propositiva rispetto alle edizioni precedenti.
La partecipazione del vecchio continente, tra l’altro, è stata tutt’altro che passiva. Richard Horn, del National Cyber Security Centre del Regno Unito, che ha affrontato con decisione il tema del vibe coding (la generazione di codice tramite IA senza una supervisione tecnica). Lo stesso Horn ha lanciato un appello diretto al settore privato: la strada tracciata è senza dubbio quella giusta, ma oggi questa pratica nasconde ancora evidenti insidie. Lasciarsi andare a una cybersecurity approssimativa in nome della velocità di programmazione sarebbe un errore che si pagherebbe caro.
Bracken ha poi descritto la sua partecipazione del Brussels at the Bay, lo spazio istituzionale dell’Unione Europea alla conferenza, dove erano presenti regolatori direttamente coinvolti nella redazione del Cyber Resilience Act europeo, la legislazione sulla resilienza informatica prevista per entrare in vigore a dicembre 2027.
Il confronto con l’approccio americano era scontato già nelle premesse: mentre l’attuale amministrazione statunitense ha esplicitamente dichiarato che nessun dipartimento federale si occuperà specificamente di regolamentare l’IA, e che le normative a tema saranno ridotte al minimo indispensabile per favorire l’innovazione, l’UE sta invece procedendo in modo metodico, raccogliendo feedback dal settore privato e costruendo un impianto normativo strutturato.
I regolatori europei hanno citato il GDPR come precedente emblematico: nel 2018, quando fu introdotto, in molti predissero scenari catastrofici per l’innovazione tecnologica, ma con impatti effettivi minimi per i cittadini.
Nell’occasione del Brussels at the Bay, Bracken ha poi domandato ai rappresentanti europei se considerassero o meno gli Stati Uniti un partner affidabile sotto il punto di vista della cybersecurity.
Pur non sbilanciandosi, i relatori hanno lasciato intendere dubbi in merito, evitando un commento diretto, affermando in modo generico come il popolo americano sarà sempre amico dell’Europa. Di fatto, si parla di frasi diplomatiche che fotografano con precisione il clima di prudenza e attesa che pervade i rapporti transatlantici in questo momento.
Nuove prospettive per i CISO e il settore privato
Questo clima di attesa riguarda anche il settore privato, e in particolare i Chief Information Security Officer (CISO) che si trovano stretti tra pressioni crescenti e aspettative spesso contraddittorie.
Bracken ha descritto con vivacità il paradosso in cui si trovano oggi questi professionisti: dopo anni trascorsi a spiegare che la sicurezza informatica non è un costo, ma una riduzione del rischio per il business, finalmente questi avvertimenti vengono percepiti come concreti.
L’IA ha reso il lavoro dei CISO improvvisamente importante anche per i board aziendali, con una considerazione per queste figure professionali finora mai vista. Il problema è che, in molti casi, a questi professionisti vengono chiesti obiettivi quasi impossibili da rispettare.
I vertici aziendali intendono implementare l’IA per ridurre i costi e aumentare l’efficienza, e i CISO comprendono e condividono tale logica. Allo stesso tempo, gli esperti sanno anche che ogni nuova implementazione porta con sé nuovi vettori di rischio, e che il confine tra produttività ed esposizione eccessiva è molto sottile e spesso invisibile agli occhi di chi non è un tecnico.
Bracken ha citato un caso concreto raccontato da un CISO durante la conferenza: un dirigente dell’ufficio del Chief Financial Officer (CFO) aveva caricato su ChatGPT l’intera documentazione di profitti e perdite dell’azienda per generare un report veloce. In tale operato non vi era intenzione malevola, nessuna volontà di mettere a rischio l’organizzazione, solo la naturale tendenza a usare uno strumento potente nel modo più immediato possibile.
Eppure quell’azione ha rappresentato una falla concreta nella gestione delle informazioni aziendali riservate. I CISO si trovano così a dover fare una vera e propria “opera di evangelizzazione” continua, anticipando i comportamenti rischiosi prima che accadano, cercando di inserirsi nei processi decisionali prima che le scelte siano già state fatte dai superiori.
Il SANS Institute, nell’edizione 2026 del suo report annuale sui cinque vettori di attacco più pericolosi, ha indicato come tutti fossero correlati all’IA. Bracken ha specificato che non si tratta di una categoria omogenea: ciascuno di questi vettori presenta caratteristiche proprie, sfide specifiche e potenziali danni di vario tipo. Questo significa che i team di sicurezza non si trovano ad affrontare un unico problema amplificato dall’IA, ma una serie di criticità simultanee, ognuna delle quali richiede contromosse diverse.
Applicazione attuale dell’IA e nuove minacce da affrontare
Sul fronte dell’IA applicata alla difesa, Bracken ha tracciato una distinzione importante tra ciò che questa tecnologia rivoluzionaria promette per il futuro e ciò che fa oggi. L’ambito in cui i risultati sembrano più concreti e misurabili è quello dell’automazione.
Parliamo di automatizzare il rilevamento delle minacce e la risposta agli attacchi, portare la capacità difensiva alla velocità della macchina. Questo è necessario perché gli avversari stanno già usando l’IA per le proprie campagne malevole, generando ondate massicce di azioni offensive in modo continuo. Proprio per questo motivo, le strategie preventive non possono essere tarate su ritmi di ragionamenti e azioni umane.
Ma è sul versante offensivo che Bracken ha lanciato l’allarme più preoccupante. Se oggi i cybercriminali usano prevalentemente l’IA per perfezionare le campagne di social engineering (phishing personalizzato con messaggi convincenti generati in scala industriale) il passo successivo è già visibile all’orizzonte.
Esistono già casi documentati di malware adattivo, ovvero codice malevolo in grado di modificare sé stesso in tempo reale: quando incontra un blocco o viene rilevato da un sistema di difesa, si riconfigura in modo autonomo per trovare un percorso alternativo.
Un malware che, di fatto, “pensa” e si trasforma mentre opera all’interno di un sistema è una minaccia di un ordine di grandezza impensabile rispetto a tutto ciò che i team di sicurezza hanno dovuto affrontare finora, e Bracken ha sottolineato come la ricerca per contrastarlo sia già intensa, anche se ancora nelle fasi iniziali.
RSAC 2027: di cosa si parlerà?
Guardando all’anno che verrà, Becky Bracken ha indicato alcune tendenze che a suo avviso diventeranno centrali entro la prossima edizione di RSAC.
La prima è l’integrazione sempre più profonda tra operazioni cibernetiche e conflitti armati convenzionali. I droni, i sistemi d’arma controllati digitalmente, le infrastrutture militari connesse: tutto questo richiederà livelli di protezione informatica che oggi sono ancora in fase di definizione, e che prima o poi coinvolgeranno anche il settore privato in misura crescente.
La seconda tendenza riguarda il quantum computing. Bracken ha usato toni di urgenza, sottolineando che l’arrivo di questa tecnologia è probabilmente più vicino di quanto molte organizzazioni si rendano conto.
Prepararsi significa fare un audit completo di tutti i sistemi di cifratura in uso, aggiornarli agli standard post-quantistici e definire politiche chiare per gestire la transizione. Il problema, ha osservato Bracken con una punta di amarezza, è che il quantum computing non ha la stessa capacità dell’IA di catturare l’immaginazione del grande pubblico o di generare entusiasmo nei consigli di amministrazione.
Ciò potrebbe portare a rischi in termini di tempistiche e contromosse. L’esperta ha stimato che, quando il quantum diventerà operativamente rilevante, circa il 60% delle organizzazioni si troverà impreparato.
Sul piano istituzionale americano, Bracken ha accennato all’annuncio, avvenuto a margine della conferenza, della creazione del Bureau of Emerging Threats all’interno del Dipartimento di Stato. Questa nuova struttura si occuperà delle implicazioni politiche delle minacce cibernetiche (una funzione che acquista senso particolare nel contesto del conflitto con l’Iran) ma la sua nascita solleva domande su come verranno redistribuite le competenze tra i vari enti federali.
La CISA, dopo aver subito tagli drammatici da parte del DOGE che ne hanno dimezzato l’organico e allontanato tecnici esperti dal loro consueto contesto operativo, starebbe ora per avviare un processo di nuove assunzioni di oltre 330 persone. Ma la divisione dei ruoli tra CISA, NSA e il nuovo Bureau of Emerging Threats rimane poco chiara, e questa incertezza è stata percepita come uno dei grandi assenti della conferenza.
Il quadro che emerge da RSAC 2026 è quello di un settore che non si è fatto prendere dal panico, ma che sta navigando con attenzione in acque a dir poco mosse. Bracken ha voluto chiudere il suo intervento con una nota che bilancia lucidità e fiducia: la comunità della cybersecurity ha già attraversato momenti di crisi profonda, si è adattata, ha trovato soluzioni, ha convinto consigli di amministrazione scettici e governi distratti. Lo farà ancora. Le persone che lavorano in questo settore, ha detto, sono tra le più brillanti in circolazione, e questa è, alla fine, la ragione più solida per non cedere all’allarmismo.
