Questo quanto emerge da The State of Hybrid and Multi-Cloud Security Policy Management, rapporto della Cloud Security Alliance (CSA) pubblicato ad agosto 2026. Lo studio, completato lo scorso mese di maggio, ha preso in esame 515 professionisti IT e della sicurezza.
Il report che ne è risultato ha evidenziato come, degli errori nelle policy, possono provocare interruzioni di applicazioni importanti, ritardi nei rilasci e problemi durante i controlli di conformità.
L’inefficacia delle regole di sicurezza può avere effetti disastrosi sulle aziende
Il dato più significativo riguarda le interruzioni dei servizi.
Il 65% delle organizzazioni intervistate ha dichiarato di aver subito almeno un blocco di un’applicazione importante negli ultimi 12 mesi a causa di una policy di sicurezza configurata in modo errato, mentre il 46% ha riferito due o più episodi dello stesso tipo e nel medesimo periodo.
Alla base del problema c’è soprattutto la gestione manuale delle regole.
Il 48% dei partecipanti descrive le modifiche alle policy come in parte o completamente manuali. Solo il 9% delle aziende ha invece integrato in modo completo la gestione nei processi utilizzati per sviluppare e distribuire le applicazioni.
Questa frammentazione rende tutto molto più complicato, con altri dati che rafforzano questa idea di confusione.
Il 92% dei professionisti contattati afferma di avere difficoltà nel costruire una visione unica e accurata delle policy. Il 25% degli intervistati ha segnalato un audit fallito o un rilievo negli ultimi 12 mesi.
Quando si verifica un problema, soltanto il 48% riesce a porvi rimedio entro tre giorni.
AI e cloud amplificano le criticità
Hillary Baron, Assistant Vice President for Research della CSA, ha spiegato che quello che in passato era soprattutto una criticità di configurazione della rete è diventato un problema legato alla connessione tra le diverse applicazioni.
La prassi più tradizionale, basata sulla gestione di regole per ogni singolo dispositivo, difficilmente si sposa con ambienti distribuiti.
Nel report, CSA rileva che il 53% delle applicazioni importanti per il business viene ospitato più frequentemente in ambienti con più fornitori cloud, mentre il 46% si trova nel cloud privato, il 36% in ambienti ibridi e il 29% in servizi pubblici.
Alcuni studi pubblicati nel 2026 mostrano che il problema si sta ampliando anche per effetto dell’Intelligenza Artificiale.
Un rapporto di Check Point Software Technologies, basato su 1.042 professionisti in IT e cybersecurity, rileva che il 70% delle organizzazioni adotta sistemi di AI generativa in produzione e il 64% ha già introdotto agenti AI nei sistemi operativi.
Il 77% ha modificato la propria strategia di sicurezza in risposta all’AI, ma soltanto il 26% dichiara di avere un’architettura capace di applicare concretamente questi controlli.
Inoltre, il 54% ha segnalato almeno un incidente di sicurezza legato all’AI.
Un’altra indagine della Cloud Security Alliance, pubblicata nell’aprile 2026, porta il tema della visibilità ancora più avanti. L’82% delle aziende intervistate ha dichiarato di avere agenti AI non conosciuti o non ufficialmente registrati all’interno dei propri ambienti IT.
Il 65% ha inoltre subito almeno un incidente collegato agli agenti AI negli ultimi 12 mesi.
Tra le conseguenze indicate figurano esposizione di dati nel 61% dei casi, interruzioni operative nel 43% e perdite finanziarie nel 35%.
Anche la diffusione del cloud conferma la crescente complessità.
Secondo il Flexera 2026 State of the Cloud Report, il 73% delle organizzazioni utilizza oggi un ambiente cloud ibrido, combinando sistemi cloud pubblici e privati.
Per ridurre il rischio, la CSA indica come priorità una gestione centralizzata delle policy, abbinata a un’attenta valutazione preventiva delle possibili conseguenze prima di applicare modifiche.
L’analisi del rischio prima di cambiare una regola è stata indicata dal 32% degli intervistati come la capacità che migliorerebbe in modo più concreto la gestione della sicurezza.
Il problema, quindi, non riguarda soltanto il numero di strumenti utilizzati, ma la capacità di governare regole che devono funzionare in contemporanea tra cloud pubblici, cloud privati e altri sistemi dalle aziende.
