La gestione della sicurezza informatica all’interno delle organizzazioni richiede un cambio di paradigma radicale per rispondere alle sfide del mercato attuale. Secondo Gartner (Gartner, Build Cyber Resilience Through Threat-Informed Risk Assessment and Decisions), la maggior parte delle valutazioni del rischio tradizionali si concentra inizialmente sugli inventari degli asset o sui framework di conformità, tentando solo in una fase successiva di integrare l’analisi delle minacce. Questo approccio convenzionale, basato prevalentemente su checklist statiche, è in grado di evidenziare le vulnerabilità teoriche ma non fornisce alcuna prova sul fatto che le difese implementate possano effettivamente resistere a un attacco reale sul campo. Procedere secondo schemi puramente orientati alla compliance impedisce di comprendere i percorsi end-to-end che gli aggressori utilizzerebbero per raggiungere i sistemi critici, traducendosi spesso in un dispendio di risorse inefficiente e in un disallineamento degli investimenti aziendali.