giovedì 30 luglio 2026
George G. Lombardi è un imprenditore immobiliare italiano emigrato negli Stati Uniti negli anni Settanta. Da oltre cinquant’anni vive e lavora negli Usa, dove ha costruito una solida carriera nel settore immobiliare, sviluppando al tempo stesso una profonda conoscenza del sistema economico e istituzionale americano. Amico di lunga data del presidente Donald Trump, segue da decenni l’evoluzione delle politiche di sicurezza e innovazione negli Stati Uniti. Oggi è un convinto sostenitore della cooperazione tra Italia e Stati Uniti nel campo della cybersecurity, con particolare attenzione alla protezione delle infrastrutture critiche e del settore sanitario.
Gli ospedali italiani sono davvero sotto attacco cyber con questa frequenza o si tende a esagerare?
Purtroppo non c’è alcuna esagerazione. I dati parlano da soli. Nel primo semestre del 2026 l’Italia ha gestito oltre 2.170 eventi cyber, con un incremento del 47 per cento rispetto allo stesso periodo dell’anno precedente. Il settore sanitario continua a essere uno dei bersagli preferiti perché custodisce informazioni estremamente preziose e, soprattutto, perché un ospedale non può permettersi di fermarsi. Un attacco informatico oggi non significa soltanto perdita di dati: significa interventi rinviati, diagnosi ritardate, servizi essenziali interrotti e, in alcuni casi, rischi concreti per la salute dei pazienti.
Il Rapporto Clusit evidenzia che la sanità è il settore con la percentuale più alta di attacchi critici. Come si spiega?
La sanità rappresenta il bersaglio ideale per i criminali informatici. Oltre il 60 per cento degli attacchi viene classificato di gravità critica o estrema. Gli ospedali gestiscono dati clinici, sistemi diagnostici, apparecchiature medicali connesse e infrastrutture che devono rimanere operative ventiquattr’ore su ventiquattro. Questo rende le strutture sanitarie più inclini a pagare un riscatto pur di ripristinare rapidamente l’operatività. È proprio questa urgenza che alimenta il fenomeno del ransomware.
L’Italia dispone già di un quadro normativo importante con ACN e Direttiva NIS2. È sufficiente?
È una base fondamentale, ma non basta. Le normative definiscono obblighi, responsabilità e standard minimi di sicurezza, ma non fermano materialmente un attacco. Dal prossimo ottobre le verifiche diventeranno ancora più rigorose e sono previste sanzioni molto pesanti per le organizzazioni inadempienti. Tuttavia, la conformità normativa deve essere accompagnata da tecnologie efficaci, capacità di risposta e aggiornamento continuo. La sicurezza informatica è un processo dinamico, non un semplice adempimento burocratico.
Perché suggerisce di guardare con attenzione all’esperienza americana?
Perché gli Stati Uniti affrontano questi attacchi da molti anni e su una scala molto più ampia. Framework come il NIST Cybersecurity Framework e l’esperienza maturata da agenzie come CISA e dal Dipartimento della Salute statunitense consentono di analizzare un volume enorme di incidenti e di aggiornare rapidamente le strategie di difesa. Non significa importare un modello straniero, ma valorizzare conoscenze già sperimentate che possono rafforzare anche il sistema italiano.
Alcuni temono che adottare modelli americani possa entrare in conflitto con le normative italiane ed europee.
È un timore infondato. I framework americani non sostituiscono la Direttiva NIS2 né le indicazioni dell’Agenzia per la Cybersicurezza Nazionale. Le completano. Anche l’Europa si sta muovendo nella stessa direzione: le più recenti indicazioni dell’ENISA invitano gli ospedali a integrare requisiti di cybersecurity già nelle procedure di acquisto di tecnologie e servizi. Il principio è semplice: integrare competenze diverse per aumentare la resilienza.
Se fosse chiamato a consigliare un direttore sanitario, quali sarebbero le prime misure da adottare?
Partirei da alcuni interventi essenziali. Separare le reti che gestiscono i dispositivi medicali da quelle amministrative; realizzare backup offline e immutabili, verificandone periodicamente il ripristino; attivare l’autenticazione a più fattori per tutti gli accessi privilegiati; implementare piattaforme EDR e XDR capaci di individuare tempestivamente comportamenti anomali; predisporre piani di risposta agli incidenti e, soprattutto, investire nella formazione continua del personale. Ancora oggi il phishing rappresenta la principale porta d’ingresso degli attaccanti.
Anche le farmacie devono preoccuparsi?
Assolutamente sì. Le farmacie gestiscono dati sanitari sensibili, ricette elettroniche e servizi digitali sempre più complessi. Non servono investimenti irrealistici: bastano sistemi di protezione aggiornati, backup quotidiani, autenticazione a due fattori, reti separate per clienti e operatori e formazione del personale. Oggi esistono anche servizi gestiti che permettono alle realtà più piccole di accedere a livelli di protezione molto elevati senza dover creare un reparto IT interno.
Lei vede un futuro nel quale l’Italia possa diventare protagonista anche nella cybersecurity?
Ne sono convinto. L’Italia possiede eccellenze straordinarie in campo medico e dispone di ricercatori e professionisti della cybersecurity di altissimo livello. Il punto non è scegliere tra Italia e Stati Uniti, ma costruire un ponte tra competenze. Servono investimenti, collaborazione internazionale e una visione industriale che valorizzi il talento dei nostri giovani. Le imprese italiane devono essere incentivate a innovare e la pubblica amministrazione può svolgere un ruolo decisivo nel favorire ricerca, sviluppo e partnership globali. Figure istituzionali come i ministri Adolfo Urso e Guido Crosetto hanno l’opportunità di sostenere questa crescita, trasformando la cybersecurity in un settore strategico per la competitività e la sicurezza nazionale.
In una frase, quale messaggio vorrebbe lasciare ai responsabili della sanità italiana?
Oggi proteggere un sistema informatico significa proteggere un paziente. La cybersecurity non è più un tema tecnologico: è una componente essenziale della qualità delle cure e della sicurezza del nostro sistema sanitario.
di Claudia Conte