Il professor Paganini pone l’accento su un fattore di estrema importanza che tutti gli ultimi avvenimenti informatici stanno portando a galla, ancora in nuce ma oramai evidente: la concentrazione dei dati in pochi attori (soprattutto cloud hyperscaler americani) amplifica i rischi di cybersecurity e diventa un fattore geopolitico centrale come già evidenziato da World Economic Forum nel febbraio 2026. Un avvertimento che sta diventando realtà.
Il mercato globale del cloud infrastrutturale è dominato da pochi player. Secondo dati Synergy Research Group (Q3 2026), AWS detiene circa il 26%, Microsoft Azure il 19% e Google Cloud il 16%, per un totale intorno al 61%. Gli altri operatori (Oracle, Alibaba, “neocloud” AI-oriented) crescono ma sono ancora ,lontani dai grandi.
Google sta recuperando terreno nella classifica dei 5 migliori fornitori di servizi cloud del 2026. (Google)
Questa concentrazione riguarda per esempio: dati personali e di business su larga scala, infrastrutture critiche e supply chain software, training di modelli AI (che richiedono enormi dataset e compute).
Quali sono i rischi principali? Una interruzione (outage) o un attacco a un hyperscaler ( un cloud service provider che offre servizi cloud di grandi dimensioni) può propagarsi a migliaia di servizi a valle (come si è visto recentemente con AWS Microsoft Azure).
La dipendenza da pochi fornitori aumenta l’impatto di compromissioni, sanzioni o restrizioni geopolitiche. Il WEF Global Cybersecurity Outlook 2026 evidenzia proprio un rischio di concentrazione e una supply chain dependencies (dipendenze della catena di approvvigionamento o della catena di fornitura)come rischi pressanti in un mondo frammentato.
Il 64% delle organizzazioni considera attacchi motivati geopoliticamente (disruption di infrastrutture o spionaggio) nelle proprie strategie di rischio; il 91% delle grandi aziende ha modificato la strategia cybersecurity in risposta alla volatilità geopolitica come evidenziato dal World Economic Forum.
Geopolitica e sovranità dei dati
Il quadro ci fa capire, e non da ora ( e purtroppo alcune serie televisive considerate una fiction hanno anticipato i tempi come “Person of interest”2011/2016 ma anche casi come il caso “Cambridge Analytica” 2015) che i dati sono trattati come risorsa strategica (simile al petrolio nell’era industriale). Una risorsa che può essere “usata” per modificare gli assetti geopolitici internazionali per assicurare il predominio di alcuni governi, poteri sugli altri. Decidendo così, con un click, il destino di miliardi di persone.
Papa Francesco diceva che “Le macchine non si limitano a fare, ma cominciano a decidere, e in questo slittamento semantico e pratico si gioca il nostro futuro”. E si riferiva all’AI e agli algoritmi ma è tutto legato se guardiamo bene il problema. Tanto che Leone XIV è stato ancora più chiaro “Il vero nodo non è l’innovazione in sé, ma chi detiene il potere tecnologico: se resta al servizio del bene comune e delle democrazie oppure se è subordinato a logiche di profitto esclusivo, sorveglianza o dominio di pochi”
La rivalità USA-Cina è il motore principale:
Stati Uniti: il CLOUD Act consente alle autorità americane di richiedere dati in “possession, custody or control” di aziende US, indipendentemente da dove siano fisicamente archiviati. Questo crea una “clawback” giuridica (rivalsa economica) anche su cloud “sovrani” gestiti da subsidiary europee. Washington limita inoltre trasferimenti di dati sensibili verso paesi avversari (Cina, Russia, Iran, Corea del Nord, ecc.) come si legge su Euroreporter.
Cina: strategia di dominio globale sui dati (partita da dichiarazioni di Xi Jinping sul “grande oceano di dati”), con Cybersecurity Law, Data Security Law e Personal Information Protection Law che impongono localizzazione, valutazioni di sicurezza per i trasferimenti cross-border e forte controllo statale. Report , come quello della Hoover Institution descrivono una raccolta massiva di dati per intelligence, sorveglianza e vantaggio tecnologico/militare. Gruppi come Volt Typhoon pre-posizionano accessi in infrastrutture critiche occidentali (energia, acqua, comunicazioni) per potenziale disruption in caso di crisi.
Quindi ci troviamo di fronte ad una frammentazione in “blocchi”:
USA: flusso relativamente libero + controllo giurisdizionale e leverage geopolitico.
Cina: sovranità “foundational” (controllo assoluto e isolamento).
Europa: approccio “funzionale” basato su regolamentazione (GDPR, NIS2, Data Act, proposte come Cloud and AI Development Act con livelli di assicurazione di sovranità) e iniziative come Gaia-X (framework di interoperabilità e trust, non un cloud concorrente diretto). Gaia-X e il framework di sovranità della Commissione mirano a ridurre dipendenza per carichi critici, ma i provider europei restano minoritari (circa 15% in Europa secondo alcune stime).
Contesto europeo e italiano
L’Europa riconosce la dipendenza da hyperscaler US come rischio di sicurezza nazionale e resilienza economica. NIS2 e altre normative spingono su cyber-resilienza di settori critici (inclusa sanità e TLC). In Italia, analisi , come quella di Aspen Institute, evidenziano come la concentrazione su infrastrutture convergenti amplifichi l’effetto domino su reti e servizi essenziali. Gaia-X e procurement sovrani (es. tender europei da centinaia di milioni) cercano di favorire alternative europee per carichi sensibili, ma la realtà operativa resta di forte dipendenza per la maggior parte dei workload cioè la quantità di lavoro computazionale, di memoria, di spazio di archiviazione o di rete richiesta a un sistema, a un server o a un’infrastruttura per eseguire un’applicazione, un servizio o un database.
L’Italia e la dipendenza della cybersicurezza da sistemi israeliani
Non esiste un elenco pubblico completo e centralizzato di “bandi regionali che affidano la cybersicurezza a Israele”. I contratti sono sparsi, spesso via system integrator o aggiudicazioni dirette, e non sempre esplicitano il fornitore israeliano nel titolo.
Possiamo dire che le linee guida dell’ACN (Determina del Direttore Generale n. 343069 del 24 ottobre 2025, attuative del DPCM 30 aprile 2025 e del successivo DPCM 2 ottobre 2025) introducono un sistema di premialità di +8 punti nelle gare di appalto della Pubblica Amministrazione per chi usa tecnologie di cybersicurezza provenienti da:
Italia / UE / Paesi NATO, oppure
Paesi terzi “affidabili” elencati (Australia, Corea del Sud, Giappone, Israele, Nuova Zelanda, Svizzera).
Si applica a un elenco di circa 18-22 tecnologie (antivirus, firewall, videosorveglianza, controllo droni, sistemi di gestione rete, ecc.). Non è un bando specifico, ma un incentivo strutturale che favorisce fornitori israeliani (e di altri Paesi) in tutti i bandi cyber della PA.
Casi regionali e pubblici documentati
Da fonti aperte abbiamo delle informazioni che riguardano varie istituzioni:
Regione Marche: nel 2021 ha adottato soluzioni Check Point (Quantum Next Generation Security Gateways, Virtual Systems, R80.40 Security Management). Ha consolidato firewall multi-vendor in un’infrastruttura unificata su tre data center. Check Point è un’azienda israeliana con forti legami storici con l’Unit 8200. La Regione ha anche un Centro regionale di gestione incidenti informatici in collaborazione con ACN.
Lazio (LAZIOcrea): ha implementato firewall e soluzioni di gestione Check Point (Quantum NGFW, Security Gateway, R80) per proteggere i dati di quasi 6 milioni di residenti.
Emilia-Romagna: non risulta un grande contratto regionale con fornitori israeliani per la PA. Opera però Tekapp (Formigine/Modena, azienda italo-israeliana), che pubblicizza esplicitamente il “Protocollo Israeliano”, legami con Unit 8200 e joint venture con la israeliana Cilynx. Fa soprattutto consulenza a imprese private; ha piccoli appalti pubblici (ordine di grandezza di qualche decina di migliaia di euro nel 2024-2025). Un suo summit “Zero Trust” aveva avuto il patrocinio della Regione, poi revocato dopo proteste.
A livello nazionale ci sono contratti che hanno poi un impatto territoriale:
Paragon / Graphite: contratti (stimati intorno ai 30 milioni totali, o più basse secondo altre fonti) con AISI e AISE. Rescissi nel 2025 dopo lo scandalo dello spyware usato su giornalisti e attivisti.
Cellebrite: rinnovo di licenze per i Carabinieri (27 licenze nel 2024, affidamento senza gara per continuità). Strumento molto usato da Polizia e Carabinieri per estrazione dati da telefoni (anche in indagini locali).
Check Point: usato anche da Aeronautica, Stato Maggiore della Difesa e reti dei Carabinieri (firewall per data center e protezione perimetrale).
Riepilogo attività in Italia (Rai)
Veneto, Campania, Calabria e altre regioni stanno investendo in cybersicurezza e CSIRT (es. Veneto ~29 milioni per 4 anni), ma non emergono fonti pubbliche che legano direttamente i bandi a fornitori israeliani specifici.
In Italia c’è poi il nodo Palantir Technologies (il nome ricorda le pietre veggenti , i Palantiri, del Signore degli Anelli di Tolkien) è un’azienda statunitense di analisi dei big data e intelligenza artificiale fondata da Peter Thiel e Alex Karp al centro di molte polemiche in Italia soprattutto rispetto a Gotham una piattaforma software progettata principalmente per agenzie di intelligence, forze dell’ordine e ministeri della difesa. E’ una piattaforma che unisce grandi quantità di informazioni provenienti da fonti diverse (database giudiziari, flussi finanziari, intercettazioni, telecamere, social media e immagini satellitari) in un unico quadro coerente. Trasforma i dati in reti visive per mostrare collegamenti nascosti tra persone, veicoli, luoghi ed eventi. Sfrutta l’intelligenza artificiale per l’analisi predittiva, l’identificazione di obiettivi militari (kill chain) e la gestione autonoma di sensori o droni.
Negli Stati Uniti Usa è impiegata dal Dipartimento della Difesa americano, dalla CIA e da vari dipartimenti di polizia come l’ICE.
Nel nostro Paese il Ministero della Difesa italiano utilizza i servizi di Palantir Gotham a partire da un primo ordine nel 2017 e da successivi investimenti (come la procedura legata al “Programma Palantir”), attirando il dibattito pubblico su temi legati alla sovranità tecnologica e alla dipendenza da sistemi esteri. Nel 2023, la Difesa italiana ha attivato una procedura collegata a un programma da circa 3 milioni di euro legato ai software della società, i cui dettagli sono rimasti in gran parte riservati.
Ma la domanda finale è: quanto saremo liberi se le piattaforme in mano ai privati ( spesso collegati al governo del loro Stato d’origine) potranno “entrare” completamente nelle nostre vite?
Fonti Weforum, Eureporter,World Economic Forum,Recordedfuture,Atlanticcouncil,Ranetwork,Ispionline, Japantimes,Politico, The Guardian, ACN, Regione Marche, Confindustria Emili Romagna,Cellebrite
