Negli ultimi anni, rinnovare o sottoscrivere una polizza cyber è diventato un processo molto più tecnico.

I questionari richiedono spesso informazioni dettagliate sull’infrastruttura, sulle procedure di sicurezza adottate e sulle modalità con cui vengono gestiti accessi, backup e incidenti informatici. In alcuni casi le compagnie o i loro partner effettuano anche verifiche esterne sui sistemi esposti a Internet prima di formulare una proposta assicurativa.

La ragione è legata all’evoluzione del rischio: gli attacchi sono più numerosi, più costosi e, in molti casi, più difficili da contenere.

Secondo il Rapporto Clusit 2026, riferito agli incidenti osservati nel 2025, sono stati censiti 5.265 attacchi cyber gravi noti e andati a buon fine a livello globale, con un incremento del 49% rispetto all’anno precedente. Nello stesso periodo, l’Italia ha registrato 507 incidenti cyber gravi, con una crescita del 42% rispetto all’anno precedente.

In questo scenario il mercato assicurativo ha progressivamente spostato l’attenzione dalla semplice profilazione dell’azienda alla sua effettiva capacità di gestire il rischio cyber. Settore, dimensioni e fatturato restano elementi importanti, ma oggi vengono valutati insieme alla maturità dei controlli tecnici e organizzativi realmente adottati.

Per molte imprese è qui che entra in gioco un concetto diventato sempre più concreto negli ultimi anni: l’assicurabilità.

Non basta voler stipulare una polizza. Bisogna dimostrare di possedere i requisiti necessari per essere considerati un rischio sostenibile.

Per molte organizzazioni questo tema si intreccia inoltre con il percorso di adeguamento alla NIS2. Gran parte delle evidenze richieste dagli assicuratori coincide infatti con attività che molte aziende stanno già producendo in vista delle prossime scadenze normative: inventario degli asset, gestione degli accessi, logging, vulnerability management e piani di risposta agli incidenti.

Pur avendo finalità differenti, cyber insurance e compliance stanno quindi iniziando a convergere sugli stessi elementi di governance e controllo.

Il questionario assicurativo non è una formalità

Uno degli errori più comuni è considerare il questionario come un semplice adempimento amministrativo.

In realtà le informazioni fornite contribuiscono alla valutazione del rischio da parte dell’assicuratore e assumono una rilevanza concreta nel rapporto contrattuale.

Il problema raramente nasce da dichiarazioni volutamente inesatte. Più spesso deriva dalla differenza tra ciò che si pensa sia implementato e ciò che è realmente presente e verificabile all’interno dell’infrastruttura.

Può accadere, ad esempio, che l’autenticazione a più fattori sia attiva per la maggior parte degli utenti ma non per alcuni accessi remoti utilizzati da fornitori esterni. Oppure che esistano procedure di backup consolidate, ma che l’ultimo test documentato di ripristino risalga a molto tempo prima.

Lo stesso vale per i log di sicurezza: raccoglierli non significa necessariamente conservarli per il tempo necessario, proteggerli da modifiche o utilizzarli per identificare attività anomale.

Sono differenze che nella gestione quotidiana possono passare inosservate, ma che diventano rilevanti quando occorre dimostrare con precisione il livello di sicurezza effettivamente adottato.

Requisiti assicurativi cyber: cosa valutano oggi gli assicuratori

Ogni compagnia utilizza criteri e modelli di valutazione differenti. Tuttavia esiste un insieme di controlli che ricorre ormai con grande frequenza nei processi di underwriting e rinnovo delle polizze cyber.

Autenticazione multifattore e gestione delle identità

L’autenticazione multifattore rappresenta uno dei requisiti più frequentemente richiesti.

L’attenzione riguarda la posta elettronica, gli accessi remoti, gli account amministrativi, le piattaforme cloud, i sistemi di backup e gli accessi concessi a terze parti.

Particolare attenzione viene oggi riservata agli accessi forniti a partner tecnologici, manutentori e fornitori di servizi gestiti, poiché rappresentano una delle aree più frequentemente coinvolte negli scenari di compromissione degli ultimi anni.

Le criticità emergono quasi sempre nelle eccezioni: account condivisi, utenze legacy mai dismesse, accessi temporanei trasformati nel tempo in configurazioni permanenti.

In questi casi il tema non è solamente l’MFA, ma la gestione complessiva delle identità e dei privilegi.

Nelle organizzazioni più strutturate viene inoltre valutata la presenza di controlli di Privileged Access Management (PAM), che consentono di governare e monitorare gli account ad alta criticità riducendo il rischio derivante da privilegi eccessivi o non adeguatamente controllati.

Endpoint protetti e monitorati

Gli assicuratori guardano con crescente attenzione anche alla protezione degli endpoint.

La presenza di un antivirus tradizionale non è sempre considerata sufficiente. Oggi assume maggiore rilevanza l’adozione di soluzioni EDR (Endpoint Detection and Response) o di servizi MDR (Managed Detection and Response), in grado di monitorare dispositivi, server e workstation, individuare comportamenti anomali e supportare una risposta tempestiva agli incidenti.

Anche in questo ambito conta soprattutto la copertura reale: sapere quali sistemi sono protetti, quali risultano esclusi e come vengono gestiti gli alert.

Sicurezza della posta elettronica

La posta elettronica continua a rappresentare uno dei principali vettori di attacco utilizzati per il furto di credenziali, le frodi di Business Email Compromise (BEC) e la diffusione di malware.

Per questo motivo molti questionari richiedono informazioni specifiche sulle misure adottate per la protezione dei domini e delle comunicazioni aziendali, inclusa la configurazione di SPF, DKIM e DMARC, l’utilizzo di sistemi di protezione avanzata della posta elettronica e i processi previsti per la gestione delle segnalazioni di phishing da parte degli utenti.

Log centralizzati e conservazione delle evidenze

Quando si verifica un incidente informatico, la disponibilità delle informazioni necessarie per ricostruirne la dinamica diventa fondamentale.

Per questo motivo viene spesso richiesta la raccolta centralizzata dei log provenienti da sistemi, firewall, apparati di rete, identità digitali ed endpoint.

Non esiste una soglia universale valida per ogni organizzazione, ma è importante che la conservazione sia coerente con il profilo di rischio aziendale, con gli obblighi normativi applicabili e con le esigenze di investigazione.

Altrettanto importante è la possibilità di dimostrare che tali informazioni siano realmente utilizzate e monitorate.

Segmentazione della rete

La segmentazione della rete continua a rappresentare uno degli strumenti più efficaci per limitare la propagazione di un attacco.

Separare gli ambienti produttivi dalle reti utenti, isolare le infrastrutture di gestione e controllare gli accessi di terze parti permette di contenere gli effetti di una compromissione e ridurre il rischio di movimento laterale.

Particolare attenzione viene generalmente dedicata ai sistemi di backup e alle relative credenziali amministrative, che dovrebbero essere adeguatamente protetti rispetto all’ambiente di produzione.

Backup e capacità di ripristino

Nelle verifiche assicurative conta soprattutto la capacità di recuperare dati e servizi quando serve, non soltanto la presenza di una copia di backup.

Le compagnie valutano sempre più spesso la capacità dell’organizzazione di ripristinare effettivamente dati e servizi entro tempi compatibili con le esigenze operative.

Ciò significa verificare la presenza di copie isolate o immutabili, procedure documentate e test periodici di ripristino.

È proprio durante i test di ripristino che emergono eventuali criticità nei tempi di recupero delle applicazioni e dei servizi essenziali.

Gestione delle vulnerabilità e sistemi fuori supporto

L’aggiornamento dei sistemi, la gestione delle vulnerabilità e la riduzione della superficie di attacco rappresentano ulteriori elementi di attenzione.

La presenza di software o sistemi operativi non più supportati non comporta automaticamente l’impossibilità di ottenere una copertura assicurativa, ma viene generalmente considerata un fattore di rischio che richiede valutazioni e misure compensative specifiche. A seconda del profilo di rischio e delle politiche della compagnia, tali situazioni possono influire sulle condizioni offerte, sui massimali disponibili o sulle garanzie applicabili a specifici scenari di attacco.

Più che la singola vulnerabilità, viene spesso osservata la capacità dell’organizzazione di identificarla, valutarla e gestirla nel tempo.

Formazione e risposta agli incidenti

Anche il fattore umano continua a giocare un ruolo importante.

Le compagnie richiedono sempre più spesso evidenze relative ai programmi di formazione sulla sicurezza, alle simulazioni di phishing e all’esistenza di procedure formalizzate per la gestione degli incidenti.

Un piano di Incident Response aggiornato, accompagnato da esercitazioni periodiche, offre indicazioni molto più significative rispetto a un documento mai utilizzato.

Dichiarare non basta: occorre dimostrare

Prepararsi a un processo di valutazione assicurativa significa raccogliere e mantenere aggiornate le evidenze che supportano quanto dichiarato.

Più che la presenza di singoli strumenti, ciò che viene sempre più spesso valutato è la capacità dell’organizzazione di mantenere nel tempo processi, controlli ed evidenze aggiornate e verificabili.

In genere questo include:

• inventario aggiornato degli asset;
  
  
• mappatura degli account privilegiati;
  
  
• configurazioni MFA;
  
  
• report di backup e test di ripristino;
  
  
• procedure di Incident Response;
  
  
• risultati delle attività di vulnerability management;
  
  
• documentazione relativa alla segmentazione della rete;
  
  
• configurazioni e policy di logging.

Molti di questi elementi coincidono con informazioni richieste anche in percorsi di compliance come NIS2 o ISO/IEC 27001.

Pur trattandosi di ambiti differenti, esistono aree di sovrapposizione che permettono alle organizzazioni di valorizzare il lavoro svolto in una prospettiva più ampia di governance e gestione del rischio.

Da dove partire?

Prima di affrontare un rinnovo o una nuova sottoscrizione può essere utile porsi alcune domande:

• Siamo in grado di dimostrare con evidenze aggiornate i controlli che dichiariamo di avere?
  
  
• Conosciamo tutti gli accessi privilegiati, inclusi quelli utilizzati da fornitori e terze parti?
  
  
• Abbiamo verificato negli ultimi mesi la capacità di ripristinare dati e servizi critici?

Se la risposta a una di queste domande è incerta, è probabile che esistano aree da approfondire prima di affrontare una valutazione assicurativa.

Il ruolo di Next04

Il ruolo di Next04 è supportare le aziende nella verifica della propria postura di sicurezza, identificare eventuali scostamenti rispetto ai requisiti richiesti dal mercato assicurativo e definire un percorso di adeguamento sostenibile dal punto di vista tecnico e organizzativo.

In pratica significa analizzare l’infrastruttura esistente, verificare la reale efficacia dei controlli implementati, individuare le priorità di intervento e raccogliere la documentazione necessaria a supportare le evidenze richieste.

Il valore di questo percorso va oltre la possibilità di accedere a una copertura assicurativa. Consente di comprendere meglio la propria infrastruttura, affrontare le criticità emerse e ridurre l’esposizione al rischio in modo strutturato.

Perché la cyber insurance può contribuire a gestire il rischio residuo, ma la prima linea di difesa resta sempre la qualità della strategia di sicurezza adottata dall’organizzazione.