CTEM: passare da una cybersecurity reattiva a una resilienza proattiva e continua

✍️ Auctor: Paolo Visintini   🗓️ 10 September 2026

Immaginate di essere il Responsabile IT della vostra azienda e di ricevere il report dell'ultimo Vulnerability Assessment: un documento monumentale di oltre 200 pagine, un elenco infinito di falle, anomalie e “semafori rossi” che gridano ALLARME ROSSO!!!

Da dove cominciate? Quale, tra le centinaia di vulnerabilità segnalate, potrebbe permettere a un hacker di bloccare il vostro ERP della fatturazione, manomettere il MES della produzione oppure esfiltrare brevetti esclusivi, cartelle cliniche, dati sui conti correnti bancari, password, documenti di identità e altre informazioni sensibili?

Se il vostro team IT deve passare i prossimi mesi a inseguire ogni singola anomalia in un elenco privo di contesto, quanto tempo, budget e quante energie verranno sottratti ai progetti strategici e alla continuità operativa dell'azienda?

Pensate a quanto stress, quante ore di lavoro, straordinari e pressione abbiano addosso le persone, sapendo tra l'altro che, con ogni probabilità, non faranno neanche in tempo a sistemare tutte le vulnerabilità prima che arrivi il nuovo report con nuove criticità.

Da impazzire, follia pura!

Oltre il mito dello Zero Trust: i dati e la conformità

Nell'ecosistema digitale mondiale odierno, le minacce mutano ogni singolo giorno. Non possiamo più illuderci: lo Zero Trust assoluto non esiste e aspettare di subire un attacco per scoprire le proprie debolezze è una strategia fallimentare.

A ricordarcelo sono i dati: il Rapporto Clusit 2026 evidenzia una crescita record degli incidenti informatici in Italia del 42% nel corso del 2025, a fronte di un aumento globale del 48,7%. L'Italia, da sola, rappresenta il 9,6% degli incidenti rilevati a livello mondiale, con una forte presenza di eventi legati anche all'hacktivism.

A questo si aggiunge la pressione normativa. La NIS2 (Direttiva UE 2022/2555) e il Cyber Resilience Act (Regolamento UE 2024/2847) , pur con ambiti di applicazione differenti, contribuiscono a rendere la cybersecurity un elemento sempre più strutturale nella gestione delle organizzazioni e dei prodotti digitali.

Perché i vecchi strumenti non bastano più?

Fino a ieri, difensori delle reti e C-Level si affidavano ai baluardi tradizionali: il Vulnerability Assessment (VA) e il Penetration Test (PT) . Questi strumenti producevano report periodici, consegnati magari una o due volte l'anno oppure ogni trimestre.

Oggi, di fronte all'evoluzione tecnologica e alla crescente efficacia degli attacchi, sappiamo che questi strumenti, se utilizzati da soli e in modo periodico, possono non essere più sufficienti.

Il motivo? Offrono una “fotografia” statica dell'infrastruttura, che rischia di essere già superata nel momento stesso in cui l'analisi finisce. Peggio ancora, possono generare quelle famose liste infinite e opprimenti, incapaci di indicare quale falla rappresenti il rischio maggiore e debba quindi essere sanata, o “patchata”, con maggiore urgenza.

Il risultato può essere un team IT perennemente in affanno, impegnato a risolvere problemi senza riuscire a intervenire su tutti prima del ciclo di test successivo.

L'approccio CTEM: cosa cambia concretamente in azienda?

È in questo scenario che si inserisce il CTEM (Continuous Threat Exposure Management) .

Non stiamo parlando del solito software miracoloso, ma di un framework metodologico continuo. Il CTEM è un approccio sviluppato da Gartner per gestire in modo continuo l'esposizione alle minacce e può integrarsi con riferimenti internazionali ampiamente utilizzati nella cybersecurity, come MITRE ATT&CK e il NIST Cybersecurity Framework.

A differenza dell'approccio tradizionale, limitato alle infrastrutture note e prevalentemente reattivo, il CTEM schiera una sentinella che opera 24 ore su 24, 7 giorni su 7.

Valuta costantemente l'intera superficie d'attacco, includendo non soltanto l'infrastruttura visibile, ma anche l'area nascosta dello Shadow IT, le risorse Cloud, gli account compromessi e gli anelli deboli della Supply Chain.

Ma come lavora il CTEM all'interno dell'infrastruttura e, soprattutto, quali domande di business contribuisce a risolvere?

Il percorso si sviluppa in cinque fasi continue:

• Scoping (la definizione del perimetro): il processo inizia definendo le risorse digitali strategiche e i processi critici indispensabili per l'operatività.
  • La conseguenza aziendale: non si cerca di proteggere “tutto” allo stesso modo, disperdendo le risorse; l'IT si allinea al business per concentrare l'attenzione su ciò che tiene in vita l'azienda.
• Discovery (l'identificazione delle esposizioni): la superficie d'attacco viene mappata continuamente per portare alla luce asset dimenticati, configurazioni errate (misconfigurations) e credenziali esposte.
• Prioritization (la scelta del rischio): viene filtrato il “rumore di fondo”, classificando i pericoli in base al valore dell'asset, alla loro effettiva sfruttabilità e alla presenza di minacce attive.
  • La conseguenza aziendale: il team IT sa da quale problema partire. Le priorità vengono dettate dal rischio reale per il business, ottimizzando tempo ed energie e riducendo gli sprechi.
• Validation (la prova del fuoco): si verifica se un attacco simulato possa effettivamente superare le difese esistenti, confermando il rischio reale celato dietro una configurazione errata o una vulnerabilità.
• Mobilization (mobilitazione e correzione): il team IT riceve indicazioni chiare ed esecutive per intervenire sulle vulnerabilità prioritarie, attraverso indicatori di valutazione precisi.
  • La conseguenza aziendale: la comunicazione arriva a tutti i livelli. L'IT dispone di cruscotti tecnici, mentre il C-Level e il Board Management possono ricevere report sintetici costruiti per consentire loro di comprendere i rischi effettivi e orientare correttamente l'allocazione dei budget.

Questo consente inoltre di disporre di evidenze utili a supportare i percorsi di conformità alle normative e agli standard applicabili, come NIS2, DORA, GDPR e ISO/IEC 27001, grazie a un processo di posture management costantemente documentato.

Conclusione: dalla tecnologia alle decisioni manageriali

È l'alba di un nuovo modo di concepire la cybersecurity: un programma strutturato per identificare e neutralizzare le vulnerabilità realmente sfruttabili prima che un attacco da parte di un hacker si concretizzi.

Alla fine, il problema non è sapere quante vulnerabilità esistono, ma capire quali di queste possono realmente fermare un processo, compromettere un servizio, esporre dati importanti o creare un danno all'azienda.

Per il team IT, adottare il CTEM significa sapere dove intervenire prima, ottimizzando le proprie energie.

Per il management significa avere dati chiari per capire dove concentrare risorse e investimenti, tutelando la continuità operativa.

E per l'azienda, in ultima analisi, significa cercare di scoprire il proprio punto debole prima che sia qualcun altro a farlo.

Come diceva una famosa pubblicità: “meglio prevenire che curare!”

L'Autore - Paolo Visintini

Senior Cybersecurity & GRC Consultant. Esperto in governance dei sistemi di gestione della sicurezza dell'informazione, affianca le aziende nei percorsi di adozione degli standard ISO/IEC 27001, adeguamento alla Direttiva NIS2 e sviluppo di progetti avanzati di Cyber Security, Human Cyber Risk Management, Threat Management, SOC (Security Operation Center), Governance Risk and Compliance.

Collaboration partner per il blog Modum

Contatto professionale diretto: +39 331 694 3085

Profilo dell'autore e altri contatti: Paolo Visintini su Modum