On June 5, 2026, TechCrunch<\/em> has published un’inchiesta dettagliata<\/a> su una causa legale che coinvolge IBM. A presentarla \u00e8 un ex dirigente della cybersecurity del gruppo. L’accusa \u00e8 grave: IBM avrebbe occultato diverse violazioni di dati avvenute a met\u00e0 degli anni 2010. Inoltre, nell’inchiesta risultano coinvolte due sussidiarie del colosso tecnologico.<\/p>\n Secondo quanto ricostruito, le violazioni non sarebbero mai state comunicate n\u00e9 alle autorit\u00e0 competenti n\u00e9 ai clienti interessati. Pertanto, l’ex dirigente ha scelto la strada del whistleblowing, trasformandosi in accusatore formale. Al momento, IBM non ha rilasciato dichiarazioni pubbliche che confermino o smentiscano in modo definitivo le accuse.<\/p>\n Tuttavia, il solo deposito della causa ha gi\u00e0 innescato un dibattito significativo nel settore. In particolare, si discute di quanto spesso le grandi aziende tecnologiche gestiscano internamente gli incidenti, evitando la disclosure pubblica. Dunque, la questione non riguarda solo IBM: riguarda un modello di gestione del rischio diffuso tra i vendor enterprise.<\/p>\n In una vicenda come questa, le posizioni si distribuiscono in modo netto. Da un lato, il whistleblower ha scelto di esporre un rischio sistemico. Dall’altro, IBM si trova a gestire una crisi reputazionale potenzialmente costosa. Tuttavia, i veri soggetti vulnerabili sono altrove.<\/p>\n I clienti enterprise \u2014 incluse le PMI italiane che utilizzano soluzioni IBM per infrastrutture cloud, sicurezza o analytics \u2014 sono i soggetti pi\u00f9 esposti. Infatti, se una violazione non viene notificata, il cliente non pu\u00f2 attivare le proprie misure di contenimento. Di conseguenza, il danno si moltiplica nel tempo, spesso senza che l’organizzazione ne sia consapevole.<\/p>\n Analogamente, i concorrenti di IBM potrebbero trarre vantaggio tattico dalla vicenda. Tuttavia, sarebbe ingenuo considerarla un’anomalia isolata. Secondo un’analisi di McKinsey on Cyber Resilience<\/a>, molte organizzazioni globali sottostimano sistematicamente i tempi di rilevamento e notifica delle violazioni. Perci\u00f2, il problema \u00e8 strutturale, non individuale.<\/p>\n Infine, le autorit\u00e0 di vigilanza \u2014 in Europa, il Garante Privacy e le autorit\u00e0 nazionali GDPR \u2014 sono potenzialmente tra i soggetti che potrebbero agire con maggiore incisivit\u00e0 dopo casi come questo. Allo stesso modo, i legislatori potrebbero accelerare l’adozione di norme pi\u00f9 stringenti sulla supply chain della sicurezza informatica.<\/p>\n We of SHM Studio<\/a> We work daily with Italian SMEs that entrust part of their digital infrastructure to external vendors. Therefore, we are very familiar with a recurring problem: service contracts are signed, but rarely analyzed for clauses related to incident management.<\/p>\n In particolare, esistono tre aree critiche che ogni PMI dovrebbe verificare nel proprio accordo con un fornitore tecnologico. Prima di tutto, la clausola di notifica: entro quante ore il fornitore \u00e8 obbligato a comunicare un breach? In secondo luogo, la responsabilit\u00e0 residuale: chi risponde in caso di sanzione GDPR derivante da un’omissione del vendor? Infine, il diritto di audit: l’azienda cliente pu\u00f2 richiedere evidenze delle misure di sicurezza adottate?<\/p>\n According to the guidelines of Garante per la protezione dei dati personali<\/a>, il titolare del trattamento rimane responsabile anche quando delega operazioni a un responsabile esterno. Di conseguenza, l’omissione del fornitore non esonera il cliente dalle proprie responsabilit\u00e0 legali. Questo \u00e8 un punto che molte PMI ignorano fino al momento in cui si trovano di fronte a una contestazione.<\/p>\n Il caso IBM si inserisce in un contesto normativo europeo in rapida evoluzione. Infatti, la Direttiva NIS2 \u2014 entrata in vigore nel 2023 e recepita progressivamente dagli Stati membri \u2014 estende gli obblighi di sicurezza informatica anche alle organizzazioni che fanno parte della catena di fornitura di soggetti essenziali. Pertanto, anche una PMI che fornisce servizi a un’azienda di medie dimensioni pu\u00f2 trovarsi soggetta a requisiti di notifica e gestione degli incidenti.<\/p>\n Oltre a questo, il Regolamento DORA \u2014 applicabile dal gennaio 2025 al settore finanziario \u2014 ha introdotto standard stringenti sulla resilienza operativa digitale e sulla gestione dei fornitori ICT. Tuttavia, l’impatto culturale di questi regolamenti si estende ben oltre il perimetro finanziario. Di conseguenza, molte PMI stanno scoprendo che i propri clienti bancari o assicurativi richiedono ora evidenze di conformit\u00e0 anche ai fornitori tecnologici indiretti.<\/p>\n In questo scenario, la gestione della cybersecurity non pu\u00f2 pi\u00f9 essere delegata interamente a un vendor esterno senza un sistema di controllo interno. Dunque, serve una strategia che combini scelta consapevole dei fornitori, contrattualistica adeguata e capacit\u00e0 di risposta autonoma agli incidenti. Per approfondire questi temi, il team di SHM Studio \u2014 Servizi AI<\/a> e digital marketing<\/a> supports SMEs in building a secure and compliant digital presence.<\/p>\n Il caso IBM offre un’occasione concreta per rivedere la propria postura di sicurezza. Tuttavia, non si tratta di un esercizio puramente tecnico. In particolare, le azioni pi\u00f9 urgenti sono di natura contrattuale e organizzativa.<\/p>\n C’\u00e8 un aspetto del caso IBM che raramente viene discusso apertamente. Il danno maggiore di un breach non notificato non \u00e8 tecnico: \u00e8 fiduciario. Infatti, quando un’organizzazione scopre \u2014 spesso anni dopo \u2014 che i propri dati erano stati compromessi senza che nessuno la informasse, la relazione con il fornitore \u00e8 irrecuperabile.<\/p>\n Per una PMI, questo scenario ha conseguenze concrete. Innanzitutto, si apre una finestra di incertezza su quali dati siano stati effettivamente esposti. In seguito, si pone il problema di comunicare l’accaduto ai propri clienti finali, con tutti i rischi reputazionali che ne derivano. Inoltre, si attiva un potenziale contenzioso legale con il fornitore inadempiente.<\/p>\n Pertanto, la scelta dei partner tecnologici non pu\u00f2 basarsi esclusivamente su prezzo e funzionalit\u00e0. La trasparenza nella gestione degli incidenti deve diventare un criterio di selezione esplicito. Per questo motivo, noi di SHM Studio<\/a> We encourage SMEs to include this aspect in their vendor evaluation checklists, alongside traditional technical parameters.<\/p>\n Per approfondire come strutturare una strategia digitale resiliente, \u00e8 possibile consultare le nostre risorse su web development<\/a>, SEO<\/a>, Google Ads campaigns<\/a> or contact the team directly<\/a>. Further details are available in the SHM Studio Blog<\/a>.<\/p>","protected":false},"excerpt":{"rendered":" A former cybersecurity executive accuses IBM of concealing data breaches in the 2010s. Here are the compliance and reputational risks for enterprise client SMEs.<\/p>","protected":false},"author":7,"featured_media":23843,"template":"","meta":{"_acf_changed":false,"footnotes":""},"tags":[],"news-category":[163],"class_list":["post-23848","news","type-news","status-publish","has-post-thumbnail","hentry","news-category-tecnologia","entry"],"acf":{"tldr_content":" Una causa legale depositata negli Stati Uniti accusa IBM di aver coperto violazioni di dati avvenute a met\u00e0 degli anni 2010. L'accusa proviene da un ex dirigente della cybersecurity interna. Inoltre, coinvolge due sussidiarie del gruppo. La notizia \u00e8 stata riportata da TechCrunch<\/em> il 5 giugno 2026.<\/p> Pertanto, il caso solleva interrogativi seri per tutte le organizzazioni che si affidano a fornitori enterprise di grandi dimensioni. In particolare, le PMI italiane che utilizzano servizi IBM \u2014 o analoghi vendor di fascia enterprise \u2014 devono chiedersi cosa prevedono i propri contratti in materia di notifica degli incidenti. Infatti, la normativa europea GDPR impone obblighi precisi sia al titolare del trattamento sia al responsabile esterno. Di conseguenza, un'omissione da parte del fornitore pu\u00f2 tradursi in sanzioni a carico del cliente finale.<\/p> Noi di SHM Studio<\/strong> monitoriamo costantemente l'evoluzione del panorama cybersecurity per offrire alle PMI una lettura strategica degli eventi. In sintesi, questo caso dimostra che la due diligence sui fornitori tecnologici non \u00e8 un'opzione: \u00e8 una necessit\u00e0 operativa. Dunque, \u00e8 il momento di rivedere i propri accordi contrattuali e i piani di risposta agli incidenti.<\/p>"},"yoast_head":"\nVincitori e perdenti nell’ecosistema enterprise<\/h2>\n
Reading SHM Studio: the contract nobody reads to the end<\/h2>\n
The construction site still open: GDPR, NIS2, and the security supply chain<\/h2>\n
Next Moves: What should an Italian SME do today<\/h2>\n
\n
Quello che nessuno dice: il costo dell’omissione silenziosa<\/h2>\n