Perché la domanda di servizi di Incident Response crescerà più rapidamente del previsto

Questo articolo fa parte di una serie a cura degli specialisti Sophos impegnati quotidianamente nelle attività di sicurezza, che condividono le competenze utilizzate per rafforzare il nostro servizio Managed Detection and Response (MDR), leader del settore, e proteggere i clienti dalle minacce in continua evoluzione nell’era dell’intelligenza artificiale.

Una previsione di crescita del 20% per i professionisti della cybersecurity può sembrare significativa. A mio avviso, però, sottostima ciò che accadrà nell’ambito dell’Incident Response.

Il Bureau of Labor Statistics statunitense prevede una crescita occupazionale del 21% per gli analisti della sicurezza informatica tra il 2025 e il 2035. La stima riguarda il settore della sicurezza informatica nel suo complesso, non specificamente l’Incident Response. Rappresenta comunque un utile termine di paragone.

Sulla base di ciò che osservo e sento dire nel settore, la domanda di servizi di Incident Response potrebbe crescere molto più rapidamente.

Partecipo a conferenze sulla sicurezza in cui i responsabili di altre aziende dichiarano apertamente di essere alla ricerca di analisti di Incident Response. Anche i nostri partner ci dicono di stare assumendo. Le società specializzate in DFIR (Digital Forensics and Incident Response) che conosciamo ci chiedono se possono ricorrere a Sophos per ricevere supporto aggiuntivo quando i loro team raggiungono la capacità massima.

Non si tratta di conversazioni isolate, ma di segnali ricorrenti provenienti da tutto l’ecosistema della sicurezza.

Tutti cercano di aumentare la propria capacità di risposta agli incidenti.

L’IA consente agli attaccanti di operare su scala più ampia

L’intelligenza artificiale ha cambiato ciò che gli aggressori possono realizzare con le risorse e il personale di cui già dispongono.

Gli attaccanti continuano a ricorrere a molte delle tecniche già note: sottraggono credenziali, sfruttano vulnerabilità, utilizzano l’ingegneria sociale, si muovono lateralmente nelle reti e prendono di mira i sistemi critici. Ciò che cambia è la velocità e la scala con cui riescono a farlo.

Il Sophos AI Security 2026 Report ha rilevato che l’IA sta comprimendo i tempi degli attacchi, anziché creare categorie di attacco completamente nuove. Consente sia agli attaccanti sia ai difensori di svolgere più rapidamente operazioni già conosciute.

Questa distinzione è importante.

Non dobbiamo aspettare che emerga un attaccante basato su un’IA completamente autonoma per riconoscere la gravità del problema legato alla capacità operativa. Se l’IA aiuta un aggressore a esaminare un numero maggiore di obiettivi, creare esche più convincenti, analizzare più codice o individuare più opportunità, la sua produttività è già aumentata.

Il 2026 Sophos Active Adversary Report descrive gli effetti di questa evoluzione in termini di maggiore velocità, volume e rumore nel panorama delle minacce, anche se gli attaccanti continuano a utilizzare molti degli stessi strumenti e delle stesse tecniche.

I cyber criminali hanno trovato il modo di ampliare le proprie operazioni. La maggior parte dei difensori, invece, non ci è ancora riuscita.

Le organizzazioni non riescono ad applicare le patch alla stessa velocità degli attaccanti

Questo fenomeno è particolarmente evidente nella gestione delle vulnerabilità.

Il consiglio di «applicare le patch più rapidamente» è corretto, ma non restituisce tutta la complessità operativa del problema. Un team di sicurezza non può semplicemente installare ogni aggiornamento non appena diventa disponibile.

Le organizzazioni devono sapere quali sistemi sono interessati, comprenderne la criticità per il business, testare le modifiche, coordinare le finestre di manutenzione, gestire le tecnologie legacy e verificare che le misure correttive abbiano funzionato. In alcuni ambienti, un aggiornamento eseguito troppo frettolosamente può provocare un’interruzione operativa significativa.

L’IA sta accelerando l’individuazione delle vulnerabilità e riducendo il tempo che intercorre tra la divulgazione e lo sfruttamento. Questo aumenta la pressione sui team di sicurezza, già impegnati a gestire ambienti complessi con risorse limitate.

Molte organizzazioni semplicemente non dispongono di personale sufficiente per aggiornare tutti i sistemi con la rapidità richiesta dall’attuale scenario delle minacce.

Ciò non significa necessariamente che abbiano un programma di sicurezza inadeguato. Significa che la capacità operativa disponibile non è cresciuta allo stesso ritmo del problema da affrontare.

Il divario tra la velocità degli attaccanti e la capacità di risposta dei difensori si sta ampliando.

La sfida va oltre l’applicazione delle patch

L’aggiornamento dei sistemi è solo una parte del problema.

L’analisi di 661 incidenti condotta per il 2026 Sophos Active Adversary Report ha rilevato che il 67% delle intrusioni è iniziato con credenziali compromesse o altre tecniche legate all’identità. Gli attaccanti hanno raggiunto Active Directory in una media di tre ore e 24 minuti.

Il margine per intervenire tempestivamente è quindi estremamente ridotto.

Le organizzazioni devono aggiornare i sistemi vulnerabili, rafforzare i controlli sulle identità, conservare i dati di telemetria necessari, monitorare i comportamenti sospetti e garantire una copertura anche al di fuori del normale orario lavorativo. Devono inoltre disporre di un piano collaudato per gestire le situazioni in cui questi controlli non funzionano.

Prima o poi, quasi tutte le organizzazioni avranno bisogno di aiuto per rispondere a quattro domande fondamentali:

• Che cosa è successo?

• Fin dove è riuscito ad arrivare l’attaccante?

• Che cosa dobbiamo contenere?

• Quali sono i prossimi passi?

Per rispondere servono professionisti esperti di Incident Response.

La tecnologia aiuta, ma l’esperienza continua a essere fondamentale

L’IA e l’automazione renderanno i team di Incident Response più produttivi.

Potranno aiutare gli specialisti a raccogliere prove, correlare informazioni, sintetizzare le attività, individuare schemi ricorrenti e concentrare l’attenzione sugli aspetti più importanti. Dobbiamo sfruttare queste capacità.

Ma un incidente di sicurezza grave non è semplicemente un’indagine tecnica.

Richiede capacità di giudizio. Gli specialisti devono prendere decisioni sulla base di informazioni incomplete, coordinandosi con i team di sicurezza e IT, gli uffici legali, le compagnie assicurative, i vertici aziendali e, talvolta, le autorità di regolamentazione o le forze dell’ordine.

Devono inoltre comunicare con chiarezza anche sotto pressione. Devono distinguere ciò che è noto da ciò che è soltanto ipotizzato, spiegare i rischi per il business e aiutare i responsabili aziendali a prendere decisioni che possono avere conseguenze operative significative.

La tecnologia può supportare questo lavoro, ma non elimina la necessità di persone esperte.

E queste competenze richiedono tempo per essere sviluppate.

Una crescita del 20% potrebbe non essere sufficiente

Nessuno può prevedere con esattezza quanti professionisti di Incident Response saranno necessari al settore.

Tuttavia, i piani di sviluppo delle risorse umane dovrebbero tenere conto dei segnali che già osserviamo.

I fornitori di servizi di sicurezza stanno assumendo. I partner stanno ampliando i propri team. Le società specializzate in DFIR cercano capacità aggiuntive per gestire i picchi di attività. Le organizzazioni devono affrontare tempi di attacco sempre più brevi, mentre faticano ad aggiornare e proteggere ambienti sempre più complessi.

Nel frattempo, l’IA consente agli aggressori di ottenere risultati maggiori con le risorse di cui già dispongono.

Nel complesso, ritengo che questi indicatori suggeriscano una crescita della domanda di servizi di Incident Response superiore al 20% comunemente citato.

Il settore deve prepararsi fin da ora.

Dobbiamo formare nuovi analisti, creare percorsi di carriera più solidi, trattenere i professionisti esperti e sviluppare collaborazioni più efficaci tra i team di sicurezza interni e i fornitori esterni. Dobbiamo inoltre utilizzare l’IA e l’automazione per valorizzare le competenze disponibili, anziché presumere che la tecnologia renda superfluo il contributo umano.

Gli attaccanti stanno aumentando la propria capacità operativa.
I difensori devono fare altrettanto.

Fonti

• U.S. Bureau of Labor Statistics, «Information Security Analysts», Occupational Outlook Handbook (previsioni occupazionali 2025–2035). Consulta la fonte
• Sophos, «Sophos AI Security 2026 Report». Consulta la fonte
• Sophos, «Nowhere, man: The 2026 Active Adversary Report». Consulta la fonte
• Sophos, «Stopping real-world attacks: Lessons for business leaders from the 2026 cyber frontline». Consulta la fonte