Zero Trust per la protezione dei dati: la spina dorsale della cybersecurity moderna
Un tempo la protezione dei dati era appannaggio di ospedali, banche e di chi aveva una particolare devozione per il Quarto Emendamento della Costituzione degli Stati Uniti. Era qualcosa che sapevamo di volere, ma che concettualmente pensavamo non avrebbe riguardato la maggior parte delle persone.
La nostra dipendenza da Internet per quasi ogni aspetto della vita quotidiana ha cambiato tutto. Nel 2026, privacy dei dati e cybersecurity sono profondamente intrecciate. Proteggere le informazioni sensibili non significa solo fermare gli hacker: significa dimostrare la conformità normativa, garantire un uso responsabile dei dati, mantenere la fiducia in un’era di AI agentica, regolamentazioni frammentate e rischi quantistici, proteggere la proprietà intellettuale e i dati aziendali riservati, oltre ad assicurare responsabilità in tempo reale.
Per avere una visione concreta di ciò che accade realmente “sul campo”, il punto di partenza è il centro di ricerca e le analisi sulle minacce disponibili nel WatchGuard Cybersecurity Hub.
Questo articolo analizza le moderne problematiche di privacy che stanno plasmando la cybersecurity, le sfide emergenti e il modo in cui un approccio Zero Trust fornisce una base tecnica solida per affrontarle.
Le principali sfide moderne di privacy nella cybersecurity
1) AI agentica e provenienza dei dati
L’intelligenza artificiale è destinata a restare. Anche se non tutti i tentativi di implementare chatbot basati su AI hanno avuto successo, negli ultimi anni hanno dimostrato un valore e un’utilità concreti e continueranno a migliorare. La prossima evoluzione è rappresentata dall’AI agentica: agenti di intelligenza artificiale che eseguono compiti in autonomia, spesso richiedendo accesso in tempo reale a dati sensibili. Se compromessi, possono esfiltrare enormi quantità di dati o abusare dei permessi concessi.
Il settore ha già un termine per descrivere gran parte di questo problema: excessive agency, ovvero la concessione di autonomia senza adeguate barriere di sicurezza. L’OWASP Top 10 per le applicazioni LLM lo evidenzia in modo esplicito.
Un esempio semplice: il “Confused Deputy” nel mondo reale
Un utente chiede a un agente: “Trova modi per risparmiare sui viaggi”. Una richiesta apparentemente innocua. Tuttavia, l’agente ha accessi molto ampi e può visualizzare anche bonus salariali dei dirigenti e accordi legali riservati archiviati nella stessa directory.
Un dipendente curioso o malintenzionato chiede allora all’agente: “Riassumi le spese più elevate nella cartella Executive”.
Il dipendente non ha accesso a quella cartella. L’agente sì. L’agente diventa così il “deputato” che aggira involontariamente le restrizioni dell’utente e divulga informazioni sensibili.
Non si tratta di una nuova modalità di fallimento: è un problema classico di sicurezza che continua a riemergere nelle architetture moderne. Il riferimento storico è il lavoro originale di Norm Hardy, The Confused Deputy (or why capabilities might have been invented).
Le organizzazioni che intendono implementare un’AI realmente utilizzabile stanno ora dando priorità alla provenienza dei dati: sapere da dove provengono i dati, chi li ha utilizzati, se sono stati modificati e se erano appropriati per lo scopo previsto. Per un approccio concreto alla gestione del rischio dell’AI senza sensazionalismi, il NIST AI Risk Management Framework rappresenta una solida base di riferimento.
Indicazione pratica: trattare gli agenti come identità. Definirne l’ambito, registrarne le attività, limitarne l’accesso ai dati. Rendere reale il principio del privilegio minimo anche per le macchine, non solo per gli esseri umani.
2) Frammentazione normativa e affaticamento da enforcement
Chiunque abbia avuto a che fare con il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’UE sa bene che, sebbene sia stata la prima normativa sulla privacy dei dati ad avere un’ampia applicazione, non è stata certo l’ultima.
Oltre 20 Stati degli USA hanno introdotto leggi sulla privacy e l’EU AI Act è ora pienamente applicabile. Il periodo di “right to cure”, che concedeva alle aziende il tempo di rimediare a una violazione prima di ricevere una sanzione, non esiste più: oggi le violazioni comportano multe immediate. Questo genera una corsa frenetica alla conformità e il timore della cosiddetta “compliance collision”, ovvero il momento in cui un’azienda si rende conto che rispettare una normativa può significare violarne un’altra.
Nel 2025, Omni-Channel Logistics, un’azienda di spedizioni e logistica di medie dimensioni con sedi nel Maryland, in Texas e in Germania, si è trovata ad affrontare una grave crisi normativa. Il responsabile legale ha identificato tre scadenze simultanee che il loro stack di sicurezza legacy non era in grado di gestire:
- Maryland Online Data Privacy Act (entrata in vigore: ottobre 2025): divieto totale di vendita dei dati sensibili, inclusa la geolocalizzazione precisa.
- Texas TRAIGA (1° gennaio 2026): requisiti stringenti di trasparenza quando un agente AI interagisce con un cliente.
- EU AI Act (implementazione graduale): valutazioni obbligatorie dell’impatto sui diritti fondamentali per ogni sistema AI ad alto rischio.
Il team IT è stato costretto a rivedere l’uso di VPN e firewall tradizionali, che non erano in grado di distinguere tra un residente del Maryland e uno del Texas.
Per tentare la conformità, hanno provato manualmente a:
- segmentare i database per Stato (operazione estremamente costosa);
- disattivare completamente il nuovo Help-Bot AI in Europa (frenando la crescita);
- controllare ogni rete Wi-Fi domestica dei dipendenti, poiché le autorità del Maryland stavano intensificando i controlli sulla raccolta accidentale dei dati.
Nessuna di queste soluzioni riusciva a soddisfare i requisiti normativi senza penalizzare ricavi e sviluppo.
3) “Harvest now, decrypt later” (rischio quantistico)
Il quantum computing, basato sull’uso dei qubit anziché dei bit binari, promette di superare i limiti attuali della potenza di calcolo, con un impatto diretto sulla crittografia. Finora, il principale ostacolo alla violazione dei dati cifrati era la potenza computazionale necessaria.
In termini semplici: se la crittografia tradizionale è un rompicapo matematico che richiederebbe trilioni di anni a un computer classico, un computer quantistico è come una “chiave universale” che prova tutte le soluzioni contemporaneamente, trasformando le casseforti digitali di oggi in serrature fragilissime. Non è fantascienza: il quantum computing è vicino alla maturità commerciale e gli attori malevoli ne sono perfettamente consapevoli. Gli attacchi di tipo “harvest now, decrypt later” consistono nel rubare oggi dati cifrati, con l’obiettivo di decifrarli in futuro, dopo il cosiddetto Q-Day.
Per contrastare questo rischio, ricercatori e vendor stanno accelerando l’adozione della Post-Quantum Cryptography (PQC) come tecnologia chiave per la protezione della privacy a lungo termine.
4) Privacy dei minori e verità tecnica
Tra il 2023 e l’inizio del 2026, la privacy dei minori è passata dall’essere un semplice adempimento legale a un requisito fondamentale di privacy by design. L’attenzione non è più solo sull’ottenere l’email di un genitore, ma sul ripensare il modo in cui le applicazioni vengono progettate, fornendo protezioni esplicite anche per i ragazzi tra i 13 e i 17 anni. I regolatori richiedono ora impostazioni di privacy elevate di default e prove concrete che l’applicazione del consenso sia reale, non semplice “teatro della privacy”.
Indicazione pratica: considerare i minori come un gruppo di utenti ad alto rischio, con policy obbligatorie e verificabili, non come una semplice opzione di configurazione che nessuno controlla.
5) Responsabilità basata sulle evidenze
In passato la conformità era verificata tramite controlli annuali basati su checklist. I responsabili IT potevano superare l’audit e poi ripristinare configurazioni meno sicure. Oggi la conformità non si basa più su checklist, ma su visibilità in tempo reale e registri automatizzati. Le Privacy-Enhancing Technologies (PETs), come i dati sintetici e la differential privacy, consentono di analizzare tendenze senza accedere ai dati personali individuali.
Parallelamente, la cybersecurity si è spostata verso un modello Zero Trust, in cui la privacy è tutelata verificando identità e contesto di ogni singola richiesta, anziché proteggere solo il perimetro della rete.
Nel 2025, Sprinklr gestiva enormi volumi di dati di social media e clienti su migliaia di applicazioni SaaS. Grazie al monitoraggio in tempo reale (tramite AppOmni), è passata da un approccio reattivo — in cui servivano settimane per individuare errori di configurazione — a uno di remediation immediata. Il sistema ha bloccato automaticamente un tentativo non autorizzato di modifica di un’impostazione di condivisione globale su un database sensibile, evitando l’esposizione di milioni di record al pubblico Internet.
Dalla teoria all’applicazione: la spina dorsale Zero Trust in azione
Il Pacchetto WatchGuard Zero Trust, introdotto nel dicembre 2025, rappresenta una risposta tecnica diretta al panorama unificato di sicurezza e privacy del 2026. È progettato per integrare identità (AuthPoint), endpoint (EPDR) e accesso sicuro (FireCloud Total Access) in un unico piano di controllo cloud-managed, consentendo l’applicazione e la verifica delle policy nei punti in cui la privacy è più vulnerabile: utenti, dispositivi e percorsi di accesso.
1) AI agentica e provenienza dei dati: il principio del “deny by default”
Gli agenti AI autonomi possono creare falle richiedendo accessi troppo ampi e operando alla velocità delle macchine.
Zero-Trust Application Service di WatchGuard EPDR considera i processi sconosciuti come non attendibili finché non vengono classificati, mentre le modalità di hardening degli endpoint (incluso il Lock Mode) impediscono l’esecuzione di software non autorizzato o sospetto.
In pratica, se un agente AI tenta di eseguire uno script o un binario non autorizzato per il data scraping, l’approccio deny-by-default di EPDR ne blocca l’esecuzione fino alla validazione. La provenienza dei dati diventa così un vincolo tecnico applicato in tempo reale, non una semplice policy sulla carta.
2) Frammentazione normativa: centralizzare la “verità tecnica”
Con l’aumento della pressione normativa, le aziende devono dimostrare in modo coerente e difendibile l’applicazione delle regole di privacy.
Le Zero Trust Policies in WatchGuard Cloud centralizzano policy e condizioni, consentendo controlli basati sull’identità applicabili in modo uniforme su servizi come AuthPoint e FireCloud.
Questo riduce l’affaticamento da enforcement: invece di gestire regole scollegate su VPN, endpoint e accesso cloud, le policy sono allineate in un unico modello con un unico audit trail, esattamente ciò che i regolatori richiedono.
3) “Harvest now, decrypt later”: superare il modello VPN vulnerabile
In uno scenario di rischio quantistico, il problema principale non è un singolo algoritmo, ma la sovraesposizione: tunnel ampi, fiducia piatta e accessi più estesi del necessario.
FireCloud Total Access riduce la dipendenza dalle VPN legacy offrendo Zero Trust Network Access (ZTNA) e Secure Web Gateway (SWG) in un modello di accesso cloud-managed.
Il passaggio strategico è da tunnel persistenti a sessioni basate su identità verificate, riducendo drasticamente l’impatto di eventuali intercettazioni.
4) Privacy dei minori: privilegio minimo applicato di default
Le normative richiedono impostazioni di privacy elevate per minori e gruppi sensibili. Tecnicamente, ciò significa applicare il principio del privilegio minimo tramite policy, non affidarsi alla buona volontà.
Con FireCloud Total Access, le organizzazioni possono applicare controlli SWG e ZTNA rigorosi per gruppi specifici (ad esempio studenti), basati su identità e policy.
5) Responsabilità basata sulle evidenze: il ciclo di feedback XDR
Nel 2026 la conformità richiede visibilità e prove in tempo reale.
Il pacchetto si integra con ThreatSync, il layer XDR di WatchGuard, correlando segnali tra diversi domini. L’esposizione delle credenziali viene inoltre gestita tramite il Dark Web Credential Monitoring di AuthPoint.
Questo è il ciclo di responsabilità che interessa agli auditor: non solo l’allarme, ma la capacità di dimostrare cosa è successo dopo, con timestamp e contesto delle policy.
Conclusione
Zero Trust non è più solo un modello di sicurezza: è un framework di governance della privacy. Nel 2026, le organizzazioni che non integrano sicurezza e privacy rischiano non solo violazioni, ma anche sanzioni normative e danni reputazionali. È il momento di verificare le policy di accesso e adottare ZTNA per garantire conformità e fiducia.