Threat intelligence: cos'è e come si usa in azienda

La risposta breve: la threat intelligence (o cyber threat intelligence, CTI) è l'informazione sulle minacce informatiche che è stata raccolta, analizzata e messa in contesto perché qualcuno possa decidere: quale alert guardare per primo, quale vulnerabilità chiudere oggi, dove mettere il prossimo budget. Un elenco di indirizzi IP malevoli è informazione. Diventa intelligence quando dice chi li usa, contro chi e cosa significa per la tua azienda.

Qui sotto: la definizione del NIST, i tre livelli, il ciclo con cui si produce, l'uso in un SOC, cosa chiedono NIS2, DORA e ISO 27001 e come lavora Google Threat Intelligence.

Cos'è la threat intelligence

La definizione più citata è quella del NIST, l'istituto di standard statunitense, nella SP 800-150, la guida del 2016 alla condivisione delle informazioni sulle minacce. Il documento distingue due cose.

• Informazione sulle minacce (cyber threat information): qualsiasi informazione che aiuta un'organizzazione a identificare, valutare, monitorare e rispondere alle minacce informatiche. Ne fanno parte gli indicatori di compromissione, le tattiche, tecniche e procedure (TTP) degli attaccanti, le azioni suggerite per rilevare o contenere un attacco e i risultati dell'analisi degli incidenti.
• Threat intelligence: informazione sulle minacce che è stata aggregata, trasformata, analizzata, interpretata o arricchita per dare il contesto necessario ai processi decisionali (resa nostra dall'inglese).

La differenza sta tutta nell'ultima parte: contesto e decisione. Un esempio ipotetico. L'hash di un file malevolo dentro una lista è informazione. Sapere che quel file è usato da un gruppo che entra dalle VPN non aggiornate, che sta colpendo aziende del tuo settore e che nei tuoi log compare un'esecuzione di quel file su un server di produzione, è intelligence: dice cosa fare adesso e perché.

Ne viene un criterio pratico: se un'informazione non cambia nessuna decisione (una regola, una priorità, un investimento), per chi la riceve non è intelligence, è rumore in più.

I tre livelli: strategica, operativa, tattica

Google, nella pagina di Google Threat Intelligence, divide la CTI in tre tipi. Sugli stessi tre livelli ragiona anche l'ENISA quando descrive il lavoro dello specialista di threat intelligence. Cambiano il pubblico e l'orizzonte temporale.

Strategica

Le tendenze di alto livello che orientano le decisioni di business e gli investimenti in sicurezza. La leggono CISO, direzione e CFO per decidere dove mettere budget e persone.

Operativa

Il contesto sulle minacce che incombono sull'organizzazione: quali attori potrebbero colpirla e con quali TTP. La usa il team di sicurezza per capire contro chi si sta preparando e per decidere cosa cercare nei propri dati.

Tattica

La conoscenza delle TTP degli attaccanti, usata dagli analisti per fermare gli incidenti e aggiustare i controlli. A questo livello lavorano anche gli indicatori di compromissione (IOC): indirizzi IP, domini, hash di file, quelli che il NIST descrive come artefatti di sistema o osservabili associati a un attacco. Sono il materiale più granulare, quello che SIEM, EDR e firewall consumano in automatico. Sono anche quello che invecchia prima: un attaccante cambia un dominio con poco sforzo, il proprio modo di operare molto meno volentieri.

Come si produce: il ciclo della threat intelligence

La threat intelligence non si compra finita, si produce. Il European Cybersecurity Skills Framework dell'ENISA, nel profilo del Cyber Threat Intelligence Specialist, descrive il ruolo come la gestione di un ciclo che va dalla raccolta delle informazioni alla diffusione dell'intelligence a chi deve usarla. In pratica le fasi sono cinque.

1. Requisiti. Cosa ci serve sapere? Tra i compiti principali dello specialista l'ENISA mette la traduzione delle esigenze di business in requisiti di intelligence. Per un'azienda mid-market bastano tre domande: chi prende di mira il nostro settore, quali vulnerabilità dei nostri sistemi sono sfruttate davvero, se le nostre credenziali o il nostro marchio circolano dove non dovrebbero.
2. Raccolta. Dati da fonti aperte e proprietarie: bollettini pubblici, fornitori commerciali, comunità di condivisione e i propri incidenti, che sono la fonte più pertinente di tutte. Un'altra fonte interna sono gli honeypot.
3. Analisi. Correlare, togliere duplicati e falsi positivi, collegare gli indizi a una campagna o a un attore, pesare l'affidabilità della fonte.
4. Produzione e diffusione. Report e indicatori pronti all'uso, consegnati a chi deve agire: regole al SIEM, priorità al team che gestisce le vulnerabilità, una pagina di sintesi alla direzione.
5. Riscontro. Chi usa l'intelligence dice cosa è servito e cosa no, e i requisiti si aggiornano.

Per scambiare intelligence tra strumenti e organizzazioni esistono due standard aperti mantenuti da OASIS: STIX, il linguaggio e formato con cui si descrive la CTI, e TAXII, il protocollo con cui la si trasmette. Entrambi sono alla versione 2.1.

A cosa serve in un SOC, giorno per giorno

In un Security Operations Center la threat intelligence non è un reparto a parte: è il contesto che entra in quasi ogni passaggio.

• Triage degli alert. Un alert su un dominio sconosciuto e uno su un dominio legato a un gruppo ransomware attivo non hanno la stessa priorità. L'arricchimento con l'intelligence permette all'analista SOC di decidere in fretta da dove partire.
• Detection. Le TTP descritte nei report diventano regole di rilevamento, di solito mappate sul framework MITRE ATT&CK.
• Priorità delle vulnerabilità. Sapere quali vulnerabilità sono sfruttate in attacchi reali cambia l'ordine delle patch. È la logica della fase di prioritizzazione del CTEM.
• Threat hunting. L'intelligence operativa indica cosa cercare nei dati prima che scatti un alert.
• Incident response. Durante un incidente aiuta a capire chi c'è dietro, cosa cerca di solito e quali altri indicatori controllare.

Un dato spiega perché il contesto conta. Il rapporto M-Trends 2026 di Mandiant, basato su oltre 500.000 ore di indagini sugli incidenti condotte nel 2025, descrive un ecosistema criminale sempre più specializzato: chi ottiene l'accesso iniziale con tecniche a basso impatto lo passa a un secondo gruppo, che poi lancia operazioni come il ransomware. Il tempo mediano di quel passaggio è sceso da oltre 8 ore nel 2022 a 22 secondi nel 2025. La raccomandazione di Mandiant è trattare anche gli alert di malware di routine come indicatori ad alta priorità di una seconda intrusione imminente. Senza quell'intelligence, lo stesso alert finirebbe in fondo alla coda.

Nello stesso rapporto lo sfruttamento di vulnerabilità resta il primo vettore di accesso iniziale (32% delle intrusioni) e il tempo mediano di permanenza di un attaccante prima della scoperta sale da 11 a 14 giorni.

Cosa chiedono NIS2, DORA e ISO 27001

Le due norme europee non impongono la threat intelligence con questo nome, ma chiedono di raccogliere e usare le informazioni sulle minacce, e ne regolano la condivisione. La ISO 27001 le dedica un controllo.

NIS2

• Condivisione. L'art. 17 del D.Lgs. 138/2024, che recepisce l'art. 29 della direttiva NIS2, consente ai soggetti di scambiarsi su base volontaria informazioni sulla sicurezza informatica, tra cui minacce, quasi-incidenti, vulnerabilità, indicatori di compromissione, tattiche avversarie e informazioni sugli attori delle minacce. Lo scambio avviene in comunità di soggetti essenziali e importanti, tramite accordi di condivisione. La partecipazione a un accordo, e il ritiro, si notificano all'Autorità nazionale competente NIS, cioè l'ACN.
• Fonti da seguire. Le misure di base ACN (allegati 1 e 2 della determinazione 379907/2025) chiedono, alla misura ID.RA-08, di monitorare almeno i canali di comunicazione del CSIRT Italia e degli eventuali CERT e ISAC di settore, per acquisire, analizzare e rispondere alle informazioni sulle vulnerabilità.
• Rischio aggiornato. La misura ID.RA-05 chiede di ripetere la valutazione del rischio almeno ogni due anni e anche in caso di "mutamenti dell’esposizione alle minacce e ai relativi rischi".
• Formazione. Per i soggetti essenziali la misura PR.AT-02 include "le informazioni sulle minacce informatiche note" nella formazione del personale con ruoli specializzati, amministratori di sistema compresi.

DORA

Per banche, assicurazioni e le altre entità finanziarie il Regolamento (UE) 2022/2554 è più diretto. L'art. 13, par. 1, chiede di disporre di capacità e personale per raccogliere informazioni su vulnerabilità, minacce informatiche e incidenti connessi alle TIC, e per analizzarne i probabili effetti sulla resilienza operativa digitale. L'art. 45 consente lo scambio di informazioni e analisi delle minacce, compresi indicatori di compromissione e TTP, entro comunità fidate di entità finanziarie. Restano fuori dall'art. 13 le entità del quadro semplificato previsto dall'art. 16.

ISO/IEC 27001:2022

L'Annex A della norma contiene un controllo dedicato, il 5.7 Threat intelligence. Come ogni controllo dell'Annex A, va considerato nella dichiarazione di applicabilità: si adotta, oppure se ne motiva l'esclusione.

Google Threat Intelligence e Mandiant

Chi cerca threat intelligence arriva spesso a Google Threat Intelligence. È il servizio di Google Cloud che, come descrive la pagina del prodotto, unisce tre fonti: la visibilità di Google sulle minacce, l'intelligence di Mandiant raccolta in prima linea negli incident response e curata da analisti, e il database di VirusTotal. Il risultato è un verdetto unico su un indicatore o un oggetto sospetto: va trattato come minaccia prioritaria per l'organizzazione, oppure no.

Tra le funzioni descritte da Google: arricchimento e priorità degli alert del SIEM, profili di attori, campagne e famiglie di malware per incident response e threat hunting, monitoraggio di credenziali compromesse e phishing che abusa del marchio, priorità delle vulnerabilità in base allo sfruttamento reale. Gemini, l'AI di Google, riassume in linguaggio naturale il patrimonio di intelligence di Mandiant.

Dentro Google SecOps, la piattaforma di security operations di Google Cloud, l'intelligence si applica direttamente ai log. Con Applied Threat Intelligence, disponibile con la licenza Enterprise Plus, le corrispondenze tra eventi e indicatori diventano alert contestualizzati dall'intelligence Mandiant e ordinati per priorità: il livello più alto, Active breach, va agli indicatori che Mandiant ha osservato in compromissioni attive o passate.

Come si parte in un'azienda mid-market

1. Scrivi tre domande, non un capitolato. Chi colpisce il nostro settore? Quali delle nostre tecnologie esposte sono sotto attacco? Le nostre credenziali circolano?
2. Parti dalle fonti che hai già. I canali del CSIRT Italia e l'eventuale ISAC di settore (per i soggetti NIS2 seguirli è già una misura ACN), gli avvisi di sicurezza dei produttori che usi, i tuoi incidenti passati.
3. Porta l'intelligence dove si lavora. Gli indicatori servono nel SIEM e nell'EDR, dove si incrociano con i log in automatico, non in una casella di posta che nessuno apre.
4. Misura l'uso, non il volume. Quanti alert sono stati chiusi o scalati grazie al contesto, quante patch anticipate, quante regole nate da un report.
5. Decidi chi fa l'analisi. Il profilo ENISA dello specialista chiede competenze specifiche: analisi tecnica, conoscenza di attori e TTP, capacità di parlare alla direzione. Se in casa non ci sono, un SOC gestito che lavora con intelligence di qualità le porta dentro il servizio.

In sintesi: la threat intelligence è informazione sulle minacce analizzata e messa in contesto per prendere decisioni. Lavora su tre livelli, strategico, operativo e tattico, si produce con un ciclo che parte dalle domande giuste e serve in quasi ogni passaggio di un SOC, dal triage alla priorità delle patch. NIS2 e DORA chiedono di raccogliere e usare le informazioni sulle minacce, la ISO 27001 le dedica un controllo. Se vuoi un presidio 24 ore su 24 su Google SecOps, con l'intelligence di Mandiant dentro il triage dei tuoi alert, guarda come lavora il nostro SOC gestito e MDR.