Il percorso verso Shift Zero
Shift Zero, il tempo di esposizione verso zero
Con i modelli AI di classe Mythos trovare le vulnerabilità non è più il collo di bottiglia: lo è correggere per prime quelle che colpiscono i servizi critici.
Più a lungo una vulnerabilità resta aperta, più è probabile che diventi un attacco. Shift Zero riduce al minimo il tempo di esposizione: scansione continua, patch in giornata e una security operation il più possibile autonoma. Gli agenti operano at machine speed entro limiti governati; le persone decidono dove conta.
Il gap da colmare è fra security e operations: gli strumenti rilevano e rispondono, ma nessuno li coordina sul rischio del servizio. Ci si arriva in sei tappe, dalle fondamenta all'obiettivo.
VulnCheck · gennaio 2026Il 28,96% delle vulnerabilità sfruttate note del 2025 è stato sfruttato il giorno della pubblicazione della CVE, o prima.
Il percorso verso Shift Zero · Il rendering
Sei tappe che salgono intorno allo stesso CMDB: dalla base, il CMDB, all'obiettivo, Shift Zero.
Tappa 1 di 6 · Fondamenta
Il CMDB, la base di ogni decisione autonoma
Gli agenti agiscono su ciò che il CMDB sa: completo, accurato e aggiornato, alimentato in continuo da Discovery, Service Graph Connector, Armis e Veza.
CMDB Cyber Ready è il CMDB esteso alla cybersecurity. Non si acquista: si raggiunge quando nel CMDB sono consolidate tutte le informazioni che servono alla sicurezza, cioè asset IT e OT, servizi di business, proprietari, permessi effettivi e segnali degli strumenti di sicurezza.
Da quel momento ogni workflow di security e di operations lavora sullo stesso dato, e ogni tappa successiva poggia su di esso.
Senza un CMDB completo e aggiornato non si sa cosa è esposto: il tempo di esposizione parte da asset che nessuno vede.
A un attaccante non serve sapere che il CMDB è incompleto: gli basta un asset di cui nessuno è responsabile.
Con gli strumenti già in usoIl contesto torna agli strumenti di sicurezza: criticità e proprietari dal CMDB arricchiscono SIEM, attack path e agenti di indagine, di qualunque fornitore.
ProvaDragos, febbraio 2026: permanenza degli attaccanti nelle reti OT di 42 giorni, contro 5 con piena visibilità.
Chi lo alimenta e cosa fa ServiceNow
Tappa 1 di 6 · Fondamenta · Il rendering
Il CMDB al centro e, intorno, tutto ciò che lo alimenta fino a renderlo Cyber Ready: le capability ServiceNow in verde, gli strumenti di altri fornitori in blu.
Tappa 2 di 6 · Contesto
La priorità segue il servizio, non il punteggio
La stessa CVE è P1 dove colpisce un servizio critico, regolato o dipendente da un fornitore a rischio, e P3 in laboratorio. Il CMDB aggiunge il contesto dei servizi; IRM e TPRM aggiungono il rischio normativo e quello di supply chain.
Il contesto dice quali falle correggere per prime: il tempo di esposizione si riduce dove colpisce i servizi critici.
Correggere tutto in ordine di CVSS non basta più: serve sapere quale servizio è colpito, mitigare subito e provare la chiusura.
Con gli strumenti già in usoThreat intelligence, scanner e strumenti di attack path dicono cosa è sfruttabile e raggiungibile; ServiceNow dice quanto conta per il business, con CMDB, Service Mapping e Security Exposure 360.
ProvaVerizon DBIR, maggio 2026: solo il 26% delle vulnerabilità sfruttate note è corretto del tutto, con una mediana di 43 giorni.
Cosa abilita ServiceNow
Tappa 2 di 6 · Contesto · Il rendering
La stessa CVE su due asset diversi: risale fino al servizio di business e prende due priorità diverse, anche per rischio normativo e di supply chain.
Tappa 3 di 6 · Workflow unificati
Un solo flusso fra security e operations
Un solo caso, una sola priorità, un solo change e una sola prova. Gli strumenti di sicurezza e IT già in uso, con Armis e Veza, rilevano, analizzano e agiscono; ServiceNow li coordina, con il CMDB Cyber Ready al centro.
Un solo flusso fra security e operations toglie i passaggi di mano: è lì che si perdono giorni di esposizione.
Con gli strumenti già in usoGli attuatori restano quelli già in uso: EDR, identity provider, protezione dei dati, endpoint management e firewall. Ordine, change e rollback sono ServiceNow.
ProvaIBM Cost of a Data Breach, luglio 2026: servono in media 247 giorni per individuare e contenere una violazione.
Cosa abilita ServiceNow
Tappa 3 di 6 · Workflow unificati · Il rendering
La torre dell'architettura: un piano per fase, dalla rilevazione alla prova, con il CMDB al centro di ogni passaggio.
Tappa 4 di 6 · Agenti AI governati
Ogni agente ha un'identità, permessi minimi e un responsabile
Ogni agente, di ServiceNow o di un altro fornitore, collabora via A2A o MCP entro limiti governati da AI Control Tower, e ogni sua azione lascia una traccia.
Gli agenti agiscono at machine speed solo entro limiti governati: la velocità serve se non si perde il controllo.
Con gli strumenti già in usoL'identity provider dà a ogni agente un'identità e applica l'accesso condizionato; i server MCP degli altri fornitori portano agli agenti il contesto dei loro strumenti, sempre attraverso AI Control Tower.
ProvaIBM Cost of a Data Breach, luglio 2026: il 92% delle violazioni legate all'AI avviene senza controlli di accesso.
Cosa abilita ServiceNow
Tappa 4 di 6 · Agenti AI governati · Il rendering
Gli agenti di ServiceNow e di altri fornitori lavorano dentro il perimetro governato da AI Control Tower.
Tappa 5 di 6 · Autonomous IT e Security & Risk
Sullo stesso CMDB le tappe diventano operazioni autonome
Autonomous IT porta patch in giornata e change automatici, Autonomous Security & Risk risponde at machine speed. Gli agenti lavorano ventiquattro ore su ventiquattro su triage, arricchimento e prime azioni; le persone guidano decisioni, caccia alle minacce e miglioramento continuo.
Patch in giornata, change automatici e risposta autonoma accorciano il tempo di esposizione a ogni ciclo.
Con gli strumenti già in usoNel suo dominio l'EDR può contenere da solo in pochi secondi, con un'azione autorizzata in anticipo e registrata subito nel caso ServiceNow.
ProvaIBM Cost of a Data Breach, luglio 2026: con AI e automazione estese, 1,93 milioni di dollari e 65 giorni in meno per violazione.
Cosa abilita ServiceNow
- Autonomous IT
- Autonomous Security & Risk
Tappa 5 di 6 · Autonomous IT e Security & Risk · Il rendering
Due cicli autonomi, IT e sicurezza, girano intorno allo stesso CMDB; in cima, le persone che decidono dove conta.
Tappa 6 di 6 · Shift Zero
Il tempo di esposizione scende verso zero
At machine speed, entro limiti governati, in 15 use case, con il supporto tecnologico a NIS2 e NIST CSF 2.0.
È il risultato delle tappe precedenti: ogni use case misura quanto il tempo di esposizione si avvicina a zero.
ProvaAnthropic, maggio 2026: un modello di classe Mythos ha trovato oltre diecimila vulnerabilità alte o critiche nel software dei partner di Project Glasswing; dei primi 530 bug open source segnalati, 75 erano già corretti.
Cosa toglie ogni tappa al tempo di esposizione
I 15 use case, con la tappa in cui entrano
NIS2 e NIST CSF 2.0Ogni passo dei 15 use case corrisponde a una funzione del NIST CSF 2.0 e alle misure dell'art. 21 della NIS2; in Italia le misure di base vanno rese operative e dimostrabili dal 31 ottobre 2026 (Determinazione ACN 379907/2025). Il GRC raccoglie le evidenze in continuo. Si misura il supporto tecnologico alla conformità, non la conformità.
Da dove partire
Tappa 6 di 6 · Shift Zero · Il rendering
La finestra di esposizione: ogni tappa ne toglie un pezzo, fino a portarla verso zero.