Nonostante il miglioramento dei punteggi di sicurezza dichiarati dai contractor della difesa USA, la fiducia nella loro accuratezza crolla drasticamente dopo la sospensione delle verifiche esterne.
Il panorama della sicurezza informatica all'interno della Defense Industrial Base (DIB) statunitense sta vivendo una fase di profonda incertezza. Il recente 2026 State of the DIB Report, pubblicato da CyberSheath, ha evidenziato un fenomeno preoccupante: mentre i punteggi medi di autovalutazione nel sistema SPRS (Supplier Performance Risk System) hanno raggiunto il massimo storico di +51, la fiducia dei contractor nell'accuratezza di tali dati è precipitata. Solo il 65% delle aziende intervistate si dichiara oggi fiducioso riguardo alla veridicità del proprio punteggio, un calo netto rispetto all'89% registrato nel 2025 e al 94% del 2024.
Questo scollamento tra i dati riportati e la percezione reale della propria postura di sicurezza solleva dubbi critici sull'efficacia dell'attuale modello di conformità, specialmente in un momento in cui il settore si trova in una fase di transizione normativa delicata.
Il cuore del problema risiede nel programma CMMC (Cybersecurity Maturity Model Certification), progettato dal Dipartimento della Difesa (DoD) per elevare gli standard di protezione delle informazioni federali e di quelle classificate ma non segrete (CUI). Il programma prevede l'adozione dei controlli definiti dallo standard NIST SP 800-171.
La strategia originale prevedeva una transizione verso verifiche indipendenti condotte da enti terzi certificati (C3PAO), previste per la Fase II del programma. Tuttavia, la sospensione di tale fase da parte dell'amministrazione Trump nel luglio 2026 ha bloccato il passaggio dall'autovalutazione alla verifica esterna. Senza un controllo indipendente, i contractor si trovano in un limbo dove l'autocertificazione rimane l'unico strumento di conformità, ma la mancanza di validazione esterna mina la credibilità dell'intero sistema.
I dati suggeriscono che il problema non sia di natura puramente economica. La spesa media annua per la conformità DFARS (Defense Federal Acquisition Regulation Supplement) è salita a oltre 155.000 dollari, con oltre la metà dei contractor che definisce il proprio budget "adeguato". La vera sfida è l'implementazione pratica: le aziende della DIB, spesso composte da realtà manifatturiere o ingegneristiche, non dispongono delle competenze necessarie per trasformare gli investimenti in una postura di sicurezza sostenibile e verificabile.
Le richieste che emergono dal settore sono chiare:
L'industria si trova di fronte a un bivio. Emil Sayegh, CEO di CyberSheath, ha sottolineato come la missione primaria di queste aziende sia supportare le forze armate, non trasformarsi in esperti di cybersecurity. La sfida per il futuro è riformare il CMMC in modo da rendere la sicurezza informatica più accessibile, senza però rinunciare alla garanzia oggettiva che le protezioni siano effettivamente operative.
In assenza di una verifica esterna, il rischio è che il sistema di punteggio diventi un esercizio burocratico privo di sostanza, lasciando le infrastrutture critiche della difesa esposte a minacce reali. La fiducia, in questo contesto, non si costruisce più attraverso l'autodichiarazione, ma attraverso un meccanismo di accountability che sia al contempo rigoroso e sostenibile per le imprese che compongono la spina dorsale della difesa americana.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
