Per la sua compilazione, il questionario si rivolge in particolare a:

• CIO e responsabili dei sistemi informativi;
• amministratori di sistema;
• CISO e responsabili cyber;
• DPO e responsabile della compliance alle varie normative;
• CTO;
• Policy maker;
• terze parti che gestiscono la sicurezza digitale per conto dei clienti;
• figure decisionali di vertice nelle organizzazioni di minori dimensioni.

Le novità del Questionario OAD 2026

Il Questionario, solo in italiano, online e anonimo, con risposte predefinite da selezionare, è stato fortemente ridotto e semplificato rispetto a quelli degli anni preecedenti, sia nelle domande che nelle risposte, con l'obiettivo di ampliare il più possibile il bacino di chi lo compila.

• E' ora strutturato con un totale di 49 domande (1/3 circa rispetto ai questionari delle precedenti  edizioni), raccolte in 8 sezioni, di cui 28, quelle sulle misure di sicurezza in essere, sono opzionali. 
• Una nuova grafica in grado di essere "responsive" nell'utilizzo del questionario sui sistemi mobili con schermi più piccoli di quelli usati nei PC.
• Ulteriore personalizzazione del software per consentire controlli logici sulle risposte fornite, ed aiutare così chi compila a non commettere errori nelle domande a risposta multipla, ad esempio selezionare una o più risposte oltre a quella "Non lo so".
• Per chi compila anche la parte opzionale sulle misure di sicurezza, alla fine la produzione di una macrovalutazione del livello di sicurezza digitale del proprio sistema informativo, e di un riepilogo personalizzato, scaricabile e stampabile, con evidenza delle principali criticità emerse dalle risposte fornite.

La struttura del questionario OAD 2026 online

 Il questionario online OAD 2026 è in italiano, con risposte predefinite da selezionare; è strutturato con un totale di 49 domande raccolte in 8 sezioni, di cui 28, quelle sulle misure di sicurezza in essere, sono opzionali.

Nelle sezioni 1, 4, 5, 6 sono presenti delle “domande” non visibili che effettuano calcoli sulle risposte selezionate per la valutazione del macro-livello di sicurezza del Sistema Informativo oggetto delle risposte.

Il questionario OAD 2026 è strutturato nelle seguenti sezioni  (tra parentesi il numero di domande per sezione):

• S1 - Brevi informazioni sulla Azienda/Ente della/del rispondente (4)
• S2 - Attacchi digitali di ogni tipo al Sistema Informativo rilevati nell'intero 2025 (4)
• S3 - Attacchi più temuti nel prossimo futuro (3)
• S4- Macro-caratteristiche del Sistema Informativo cui la/il rispondente fa riferimento (10)
• S5 - Misure tecniche in atto per la sicurezza digitale dell'intero Sistema Informativo
  • 1 - Inventario delle risorse ICT del SI e architettura di base degli strumenti di sicurezza digitale (3)
  • 2 - Accessi e protezione account (2)
  • 3 - Patch, antimalware, antivirus, EDR, protezione endpoint (3)
  • 4 - Reti, firewall, accessi remoti (2)
  • 5 - Backup e continuità operativa (4)
  • 6 - Monitoraggio della sicurezza digitale e gestione Log (2)
  • 7 - Gestione vulnerabilità e incidenti (2)
• S6 - Principali misure organizzative per la sicurezza digitale (9)
• S7 - Ruolo della/del rispondente (1)
• S10 – Calcoli (non visibili) e presentazione finale in tempo reale della macro-valutazione del livello di sicurezza del SI a chi completa le risposte incluse quelle delle Sezioni 5 e 6.

Il completamento dell’intero questionario, incluse le parti opzionali, fornisce in automatico una macro-valutazione del livello della sicurezza digitale che emerge dalle risposte fornite, con l’elenco delle risposte selezionate che risultano più critiche ed impattanti su tale valutazione.

Le domande sugli attacchi digitali rilevati

 Le quattro domande generali, due per il 2025, due per il 1° Quadrimestre 2026, sono necessarie per garantire continuità con quelle dei precedenti diciotto anni sulla diffusione in Italia degli attacchi digitali intenzionali.

Due riguardano le tipologie di attacco (che cosa si attacca), che includono i seguenti 15 raggruppamenti (famiglie) di attacco:

• • Distruzione e/o compromissione FISICA di dispositivi ICT FISSI o di loro parti
  • Furto dispositivi FISSI ICT o di loro parti
  • Furto di dispositivi ICT MOBILI di proprietà dell'azienda/ente e in uso presso i suoi dipendenti/collaboratori
  • Furto Informazioni da singoli specifici sistemi FISSI ICT (PC, server, storage system, etc.) del Sistema Informativo, anche terziarizzati/in cloud
  • Furto Informazioni relative all'azienda/ente da sistemi MOBILI (palmari, smartphone, tablet, ecc.) sia di proprietà dell'azienda/ente sia dell'utente finale che li usa in logica BYOD
  • Attacchi all'identificazione, autenticazione e controllo accessi degli utenti finali e privilegiati
  • Attacchi alle RETI locali e geografiche, fisse e wireless, inclusi i collegamenti ad Internet, e ai DNS nel corso del 2022
  • Attacco e/o uso non autorizzato di SISTEMI IT NEL LORO COMPLESSO (dal PC agli host fisici e virtuali). anche terziarizzati o in cloud
  • Modifiche malevoli e/o non autorizzate ai PROGRAMMI APPLICATIVI e alle loro configurazioni, del Sistema Informativo anche terziarizzate e in cloud
  • Modifiche malevoli e/o non autorizzate alle INFORMAZIONI trattate dalle applicazioni del Sistema Informativo, anche quelle terziarizzate/in cloud
  • Saturazione (DoS, DDoS) risorse digitali del Sistema Informativo, anche quelle terziarizzate/in cloud
  • Attacchi ai propri sistemi/servizi digitali in CLOUD o comunque TERZIARIZZATI presso Fornitori terzi
  • Attacchi a dispositivi dei sistemi OT, Operational Technology, ivi inclusi i sistemi IoT/IIoT, i sistemi per l'automazione industriale ((SCADA, DCS, PLC, ..) e la robotica
  • Attacchi alla "Supply Chain" causati da vulnerabilità di fornitori e/o clienti interconnessi
  • Attacchi a sistemi/servizi/applicativi basati su Intelligenza Artificiale
  •  

Le famiglie di tecniche di attacco considerate (come si attacca):

• • Attacco fisico
  • Raccolta malevola e non autorizzata di informazioni
  • Script e programmi maligni
  • Agenti autonomi
  • Toolkit
  • Botnet e simili
  • Utilizzo di strumenti e tecniche di Intelligenza Artificiale
  • Utilizzo di due o più tecniche di attacco, inclusi gli APT, Advanced Persistent Threat.