CISA 2030: la strategia USA punta su rilevamento e resilienza

Lunedì 26 ottobre 2026 la Cybersecurity and Infrastructure Security Agency (CISA), l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, ha pubblicato «CISA 2030: Defend, Harden, Prevail», la strategia che orienterà il suo lavoro nei prossimi quattro anni. Secondo CyberScoop si tratta di un documento di 10 pagine che in gran parte conferma i ruoli già assegnati all’agenzia; Infosecurity Magazine sottolinea che mette rilevamento e risposta rapidi e continuità dei servizi critici davanti alla «difesa passiva». Help Net Security descrive un approccio «anticipatorio», con l’obiettivo di individuare e ridurre gli accessi malevoli già presenti nelle infrastrutture critiche.

Il principio: l’intrusione va messa in conto

Il direttore facente funzione della CISA, Nick Andersen, lo dice nella prefazione riportata da CyberScoop: una difesa solida non garantisce di eliminare le intrusioni. Per questo bisogna essere pronti a rilevare in fretta chi è entrato, espellerlo in modo deciso e mantenere attive le operazioni critiche senza interruzioni. Andersen chiede a tutta la comunità delle infrastrutture critiche, dai gestori ai fornitori e ai produttori di tecnologia, di «agire ora».

È un cambio di accento più che di contenuto: il riferimento non è più solo la prevenzione, ma il tempo che un attaccante resta nella rete e la capacità di continuare a lavorare mentre lo si caccia.

I tre pilastri

Defend: guidare la difesa cyber nazionale. Gli obiettivi elencati da CyberScoop sono integrare la difesa di Stati, enti locali e industria, proteggere la tecnologia operativa (OT), produrre linee guida sulla sicurezza del software e valutare le tecnologie emergenti. Help Net Security aggiunge i dettagli sull’OT: modernizzare gli ambienti operativi, migliorare la visibilità sugli asset e il rilevamento delle anomalie, rafforzare l’integrità della catena di fornitura e la trasparenza sul software. Tra le tecnologie emergenti la strategia cita, secondo Help Net Security, la «superintelligenza» e il calcolo quantistico.

Harden: dare priorità alla sicurezza delle infrastrutture nazionali. Qui l’obiettivo è coordinare l’intelligence per le infrastrutture critiche e trasformarla in azioni operative, con investimenti in strumenti per decisioni e allerte in tempo reale. L’analisi dei dati delle infrastrutture servirà a stabilire le priorità e a concentrare le risorse dove hanno più effetto; sono previsti anche il lavoro con i partner internazionali e un’attenzione particolare alle infrastrutture più importanti.

Prevail: mobilitare la resilienza nazionale. Il pilastro riguarda gli investimenti nella resilienza, l’interoperabilità delle comunicazioni di emergenza e la modernizzazione di pianificazione ed esercitazioni. Help Net Security riporta che i consulenti dei dieci uffici regionali della CISA saranno preparati a seguire sia la sicurezza informatica sia quella fisica, e che la strategia prevede il supporto alle telecomunicazioni prioritarie, comprese le reti 5G e 6G e le costellazioni di satelliti commerciali, e investimenti in infrastrutture cifrate, scalabili e resilienti.

Tempi e contesto

Entrambe le testate che riportano il calendario indicano una revisione dei servizi e delle capacità principali dell’agenzia entro 60 giorni e un resoconto dei progressi dopo un anno. Sul passaggio intermedio le fonti si esprimono in modo diverso: CyberScoop parla di attuazione nei successivi 180 giorni, mentre Help Net Security di un piano, entro 180 giorni, con le modalità di attuazione e gli indicatori di successo.

Secondo CyberScoop la strategia è allineata alla strategia cyber nazionale pubblicata a marzo e all’ordine esecutivo dell’anno scorso sulla preparazione di Stati ed enti locali. Il piano precedente, del 2023, aveva anch’esso tre pilastri: affrontare le minacce immediate, rafforzare il terreno e portare la sicurezza su larga scala. Solo CyberScoop riporta le critiche: i tagli di bilancio decisi dall’amministrazione avrebbero lasciato l’agenzia a corto di personale, anche nelle aree su cui la nuova strategia punta.

Cosa significa per le aziende europee e italiane

La strategia non ha effetti diretti in Europa, ma due aspetti contano anche qui:

• le linee guida e gli avvisi della CISA, compreso il catalogo delle vulnerabilità sfruttate (KEV), sono usati da molti team di sicurezza europei: più attenzione a OT, catena di fornitura e software significa più indicazioni pratiche su questi temi;
• l’appello di Andersen si rivolge esplicitamente anche a fornitori e produttori di tecnologia: le aziende italiane che vendono prodotti o servizi a gestori di infrastrutture critiche statunitensi fanno parte del pubblico della strategia.

L’impostazione è vicina a quella della NIS2. L’articolo 21 della direttiva, recepito in Italia con il D.Lgs. 138/2024, chiede misure per la gestione degli incidenti, la continuità operativa e la gestione delle crisi, la sicurezza della catena di fornitura e la gestione delle vulnerabilità. Per energia, acqua, trasporti e sanità, dove impianti e dispositivi OT convivono con l’informatica d’ufficio, la visibilità sugli asset e il rilevamento delle anomalie sono il punto di partenza.

Cosa fare subito

1. Misura i tempi di rilevamento e di risposta: quanto ci metti ad accorgerti di un accesso anomalo e a chiuderlo, e se hai una procedura per l’espulsione (reset delle credenziali, rimozione della persistenza, verifica degli account privilegiati).
2. Fai l’inventario degli asset, compresi quelli OT, e controlla la separazione tra rete d’ufficio e rete operativa; mappa i rilevamenti sulla matrice MITRE ATT&CK for ICS dove serve.
3. Chiedi ai fornitori come gestiscono le vulnerabilità, se forniscono una distinta base del software (SBOM) e in quanto tempo correggono le falle sfruttate.
4. Porta l’intelligence nelle decisioni: usa il catalogo KEV e gli avvisi delle agenzie per stabilire l’ordine degli aggiornamenti.
5. Esercitati sulla continuità, anche con scenari di perdita delle comunicazioni e con canali alternativi già provati.
6. Censisci la crittografia in uso, come primo passo verso la migrazione post-quantistica.

Come aiuta ARXDOME

ARX Sentry raccoglie eventi e inventario da computer, server e firewall e li mostra nelle pagine SOC, con le tattiche MITRE ATT&CK per macchina: è la base per accorgersi presto di un’intrusione. ARX Watch trova sulla rete i dispositivi senza sonda, che spesso sfuggono agli inventari. ARX Shield mette in evidenza le vulnerabilità già sfruttate e permette di isolare dalla rete una macchina sospetta, mentre ARX Horizon arricchisce ogni evento con la threat intelligence.

Ultimo aggiornamento: 27 ottobre 2026