Pierguido Iezzi: “La vera infrastruttura critica oggi è l’essere umano”

Pierguido Iezzi è uno dei profili più autorevoli nel panorama italiano della cyber intelligence e della sicurezza digitale. Nell’intervista rilasciata a Byte.Legali, la sua analisi si muove oltre il piano tecnico e intercetta i nodi strategici del presente dalla la guerra ibrida alla manipolazione informativa, dalla resilienza delle infrastrutture critiche al rapporto tra intelligenza artificiale e conflitti. Insieme a Gennaro Fusco è autore del volume “Hackerare la mente. Parole, algoritmi e inganni. Come difendere la propria libertà digitale”, pubblicato da Il Sole 24 Ore, con prefazione di Lorenzo Guerini e postfazione di Mons. Renzo Pegoraro. Il libro sviluppa una tesi chiara: l’essere umano è oggi una delle principali infrastrutture critiche del mondo contemporaneo.

Ha senso definire la guerra in Iran anche come una guerra digitale, alla luce degli ultimi episodi in cui sembra emergere un utilizzo dell’intelligenza artificiale e di tecnologie avanzate per amplificare l’efficacia sul raggiungimento degli obiettivi?

Il mondo digitale è oggi parte integrante di qualsiasi conflitto. Nel caso iraniano, la guerra non è iniziata solo con il missile, ma con l’hackeraggio delle telecamere, la compromissione di strumenti usati per la manipolazione e il blackout di internet. E bisogna essere chiari: la connettività del Paese è crollata prima intorno al 4% dei livelli ordinari, poi si è avvicinata all’1%, una condizione di quasi oscuramento totale dello spazio informativo nazionale.

Il digitale agisce prima, durante e dopo: come strumento di infiltrazione preventiva, come leva di intelligence, come capacità di oscurare le difese e come moltiplicatore dell’efficacia dell’attacco, sul piano interno ed esterno.

C’è poi una dimensione sempre più evidente: quella phigital, la saldatura tra mondo fisico e mondo digitale. Abbiamo visto droni colpire data center, con effetti immediati sulla connessione, sull’operatività e sulla continuità di servizio.

Quando colpisci un nodo digitale strategico, non stai colpendo solo una struttura tecnica. Stai colpendo il funzionamento di un’area, la continuità di intere filiere e la capacità di operare anche di realtà esterne al perimetro diretto del conflitto, ma dipendenti da quelle stesse infrastrutture.

In questo quadro, anche un ransomware contro un soggetto di filiera diventa uno strumento di pressione strategica. A marzo 2026, Stryker — grande azienda statunitense dei dispositivi medici — ha subito un attacco rivendicato da un gruppo filoiraniano, con impatti su ordini, produzione e spedizioni. Un segnale chiaro: il conflitto non resta mai confinato a un fronte. Si estende alle catene produttive, ai servizi e alla percezione stessa della stabilità.

Anche i data center sono diventati obiettivi militari a tutti gli effetti? Possiamo considerarli al pari delle infrastrutture tradizionalmente strategiche?

Sì, i data center sono infrastrutture critiche a tutti gli effetti. Ma oggi il punto è ancora più ampio: colpirne uno significa colpire il sistema-Paese e innescare un effetto a catena su tutto ciò che è connesso, direttamente e indirettamente.

Un vero effetto farfalla: servizi che rallentano, filiere che si inceppano, processi che si fermano, aziende che perdono l’accesso a dati e infrastrutture abilitanti. Il danno non è mai solo locale.

Pensare che il cyber significhi soltanto “bucare un sistema” vuol dire non cogliere la vera portata del fenomeno. Oggi il cyber incide su coordinamento, fiducia, continuità e capacità decisionale. Per questo un data center va considerato al pari delle infrastrutture tradizionalmente strategiche — energia, telecomunicazioni, logistica, trasporti — e in alcuni casi è persino il punto che le tiene tutte insieme.

C’è poi una dimensione ulteriore: anche la persona è parte dell’infrastruttura critica. Perché se il conflitto usa manipolazione, disinformazione e pressione cognitiva, non si colpiscono più solo reti e sistemi, ma il modo stesso in cui una società interpreta la realtà e reagisce agli eventi.

Le infrastrutture italiane sono pronte a uno scenario di conflitto ibrido come quello che descrivi? Quanto pesa la distanza tra norma e applicazione concreta?

Oggi non esiste un’azienda davvero preparata, fino in fondo, ad affrontare un’azione ibrida della complessità di quelle che stiamo osservando. E non è soltanto un tema normativo.

La NIS2 introduce un cambio di paradigma importante: parla di resilienza, non più solo di difesa. La domanda non è più “riesci a evitare l’attacco?”, ma “riesci a continuare a funzionare sotto pressione?”. Tra operare e non operare esiste un terreno intermedio — probabilmente il più realistico del conflitto contemporaneo: operare in condizioni di degrado, continuare a produrre, decidere, coordinare e servire anche in un contesto digitale ostile o parzialmente compromesso.

Ed è qui che si misura la distanza tra norma e applicazione. Le normative europee sono necessarie e innovative: fissano responsabilità, danno ordine e costruiscono la linea Maginot alla sovranità digitale americana e cinese, trasformando l’Europa nel leader della sovranità del dato. Ma troppo spesso vengono ancora trattate come una checklist da audit. Utile, ma non sufficiente.

La vera domanda è un’altra: quante aziende italiane, soprattutto PMI, hanno davvero la capacità di governare una crisi prolungata, prendere decisioni sotto pressione, preservare le funzioni essenziali e passare da una logica di protezione a una logica di comando in condizioni degradate? È lì che oggi si misura la maturità reale.

Che impatto sta avendo l’intelligenza artificiale sulla cybersicurezza e sui conflitti?

L’intelligenza artificiale non ha creato da zero nuove forme di attacco, ma è diventata un moltiplicatore strategico molto potente. Amplifica almeno quattro dimensioni.

La prima è la velocità: la macchina accelera attività che prima richiedevano tempo, competenze e presenza umana. La seconda è il volume: consente attacchi simultanei, automazione e saturazione delle difese. La terza è la verosimiglianza: l’AI non serve solo a generare fake o immagini, ma può adattarsi, trasformarsi e rendersi più difficile da intercettare. La quarta è l’autonomia: con l’AI agentica si aprono scenari in cui alcune attività offensive diventano sempre più indipendenti dall’intervento umano diretto.

Allo stesso tempo, l’AI è anche difesa: migliora capacità predittive, detection, correlazione dei segnali, velocità di risposta e formazione dei dipendenti. È già dentro gli strumenti che usiamo ogni giorno. Proprio per questo diventerà sempre di più parte integrante sia della sicurezza sia del conflitto.

Che opinione ha sull’AI Act e sulle difficoltà che stanno incontrando le imprese, anche a causa dei continui rinvii normativi?

L’impianto di fondo, a mio avviso, è corretto. Il problema è il peso che ricade sulle aziende, che oggi si trovano a gestire contemporaneamente più livelli normativi — NIS2, Cyber Resilience Act, AI Act — spesso sovrapposti.

Questo pesa soprattutto sulle PMI, che non sempre hanno struttura, tempo e risorse per orientarsi tra le priorità. Il rischio è affrontare ogni norma separatamente, moltiplicando assessment e adempimenti senza generare una crescita proporzionale della sicurezza reale. Servirebbe un approccio molto più integrato.

C’è poi una questione più profonda: il tema dell’AI non riguarda solo la conformità, ma la responsabilità. Si sta aprendo con sempre maggiore chiarezza una discussione su accountability, ruolo dei produttori e profilo legale dei danni possibili.

E va ricordato un elemento spesso trascurato: l’intelligenza artificiale è anche una tecnologia vulnerabile. Non è solo uno strumento di attacco o di difesa — è una tecnologia potente, ma esposta, fallibile, aggirabile. Va regolata non perché “troppo forte”, ma perché è già abbastanza centrale da rendere pericolosa qualsiasi illusione di affidabilità automatica.

C’è un problema di sicurezza per la pubblica amministrazione? Come va letto il caso dell’attacco agli Uffizi, rimbalzato agli onori della cronaca poco prima di Pasqua?

Il caso Uffizi è, a mio avviso, prima di tutto un caso positivo di resilienza: gli Uffizi sono rimasti operativi. Il punto non è che un simbolo possa essere colpito — questo appartiene ormai alla normalità del nostro tempo — ma come risponde una struttura complessa quando viene colpita.

Gli Uffizi non sono solo un museo. Sono una macchina operativa sofisticata, fatta di reti, archivi, accessi, sorveglianza, logistica, procedure e coordinamento. E proprio per questo vanno letti anche come elemento strategico del soft power nazionale.

La forza di un sistema, oggi, non si misura più solo nella capacità di impedire l’intrusione, ma nel mantenere continuità di funzione e controllo sotto attacco. L’invulnerabilità non esiste. Esiste invece una forma di forza più matura: assorbire il colpo, proteggere l’essenziale, ridurre l’esposizione e continuare a governare la situazione.

Troppo spesso il dibattito pubblico guarda solo all’attacco e al clamore. Ma la reattività del sistema è parte della sicurezza tanto quanto la prevenzione. Non vince chi non viene mai toccato, ma chi non perde il controllo.

Serve allora un cambio di approccio da parte del sistema pubblico? Possiamo considerarci pronti?

No, non possiamo considerarci pronti in senso definitivo. Il contesto evolve continuamente e la sicurezza non è mai una posizione raggiunta una volta per tutte. Fare sicurezza oggi significa giocare d’anticipo, fare intelligence, anticipare scenari — non limitarsi a reagire quando la minaccia è già attiva.

La cybersecurity non è più soltanto una materia tecnica. È geopolitica, economica, strategica. Un’organizzazione può essere colpita non per sé stessa, ma perché è parte di una filiera, un nodo di interdipendenza o un bersaglio simbolico.

C’è poi un problema materiale: la corsa all’AI sta drenando componenti e facendo salire i prezzi — le RAM DDR5 hanno raggiunto anche il +60%. Questo non colpisce tutti allo stesso modo: pesa soprattutto sulle PMI, che comprano per ultime, aggiornano più tardi e tengono in vita sistemi più vecchi e meno difendibili. E se diventano più vulnerabili le PMI — ossatura del nostro tessuto produttivo — l’impatto arriva direttamente sul sistema-Paese.

Per questo serve un cambio di approccio: meno sicurezza pensata come accumulo di tecnologia, più sicurezza selettiva, cooperativa e strategica. Il punto non è solo proteggere meglio. È restare operativi e mantenere il controllo anche in un contesto degradato.

È in libreria il suo saggio scritto con Gennaro Fusco, “Hackerare la mente”. Qual è l’idea di fondo?

L’idea centrale è che l’essere umano sia oggi una delle principali infrastrutture critiche del mondo contemporaneo. Tutto ciò che accade nel dominio digitale può essere amplificato per incidere sulla nostra libertà decisionale, sulla nostra percezione e sulla nostra capacità di orientamento.

La manipolazione mentale non è una novità nella storia. La novità è che oggi è più veloce, più personalizzata, più pervasiva e più difficile da riconoscere — perché si appoggia a parole, algoritmi, automazione, targeting e pressione cognitiva continua.

Questo impone una responsabilità nuova: imparare a guardare con più disciplina ciò che vediamo, leggiamo e ascoltiamo. Perché il conflitto contemporaneo non punta solo a colpire sistemi, ma a condizionare la mente di chi quei sistemi li usa, li governa o li subisce.

Ed è qui il punto più importante: nel nuovo mondo digitale, la vera infrastruttura critica da proteggere è l’uomo. Preservarne la capacità di giudizio, valutazione e decisione. Perché se perdiamo quella, anche la tecnologia più avanzata non ci rende più forti: ci rende solo più esposti. La libertà digitale non è un tema teorico — è un terreno concreto di difesa individuale e collettiva.