Sicurezza del software: un concetto sistemico

Lucio Machetti, CIO di Terranova, ha evidenziato come la sicurezza non possa più limitarsi alla qualità del codice. Oggi le applicazioni vivono in ambienti complessi — on-premise, cloud, ibridi — che coinvolgono infrastrutture, fornitori, sistemi legacy e strumenti di controllo.

L’approccio adottato da Terranova integra il principio del Security by Design già nella fase di analisi, con l’impiego di framework come OWASP Top 10, NIST e GDPR, e l’uso costante di strumenti di testing statico (SAST) e dinamico (DAST). Una strategia che punta alla prevenzione prima ancora della cura.

IA generativa: più che un assistente allo sviluppo

L’uso di strumenti come GitHub Copilot o soluzioni basate su Large Language Models (LLM) non serve solo a velocizzare la scrittura del codice. Queste tecnologie suggeriscono in tempo reale librerie aggiornate, implementazioni conformi agli standard di sicurezza, soluzioni per l’autenticazione e pattern sicuri per la gestione delle credenziali. Inoltre, sono in grado di generare dati sintetici per i test, evitando l’uso improprio di dati reali.

Il risultato? Ambienti di sviluppo più sicuri, team più produttivi e un’accelerazione misurabile del ciclo DevSecOps.

T-Frame: il framework condiviso che standardizza la sicurezza

Un punto di forza presentato da Terranova è T-Frame, un framework interno utilizzato per tutti i nuovi sviluppi. Questa base tecnologica incorpora:

• Autenticazione multi-fattore;
• Single sign-on;
• Telemetria;
• Cifratura e offuscamento del codice;
• Controlli specifici per scenari critici, come quelli del metering gas.

Con T-Frame, è possibile rilevare attività anomale in tempo reale, approvare comandi tramite whitelist e sistemi multi-livello e attivare misure difensive immediate in caso di comportamenti sospetti.

Le API: il punto cieco della sicurezza moderna

Mattia Dalla Piazza, CEO di Equixly, ha posto l’attenzione sul rischio sempre più diffuso legato alle API. Secondo Gartner, i data breach tramite API sono 10 volte più frequenti rispetto ad altri canali. Il testing manuale è spesso insufficiente, limitato solo alle applicazioni “core”.

La risposta? Una piattaforma di DAST automatizzato con IA, capace di comprendere la logica business delle API, generare test in tempo reale e offrire feedback immediati agli sviluppatori. Questo approccio elimina la frizione tra sviluppo e sicurezza e consente una reale integrazione del paradigma security by design.

Cyber threat intelligence e SOC: serve un nuovo modello

Marco Fattorelli, Head of Innovation di HWG Sababa, ha descritto la nuova generazione di SOC (Security Operation Center): centri intelligenti capaci di correlare eventi, rilevare frodi vocali basate su imitazioni di voce, attacchi costruiti su dati social e exploit su LLM.

La strategia proposta integra machine learning, User Behavior Analytics, e Dynamic Prioritization per valutare in tempo reale l’impatto di una vulnerabilità. L’obiettivo è ridurre falsi positivi, evitare escalation inutili e rendere più efficace il lavoro degli analisti.

Human in the Loop: l’anomalia come punto di forza

Luca Miotto, AI Engineer di HPA, ha chiuso la tavola rotonda parlando di anomaly detection. In ambienti dinamici, come le reti OT delle utility, non si possono predeterminare tutte le minacce. Serve un’analisi comportamentale continua e adattiva.

Tuttavia, l’IA non può essere lasciata da sola: è necessario un modello Human in the Loop, in cui la decisione finale spetta all’operatore, garantendo sicurezza senza perdere controllo.

L’IA generativa può diventare la leva strategica per un’innovazione sicura, se integrata con governance, policy e consapevolezza. La tavola rotonda ha dimostrato che il vero vantaggio competitivo non è solo tecnologico, ma culturale: costruire una cybersecurity sostenibile richiede strumenti, ma anche metodo, collaborazione e formazione.