In sintesi
IonQ non compra l'ennesimo laboratorio quantistico ma un fornitore di controllo degli accessi di rete, scommettendo che la migrazione post-quantum verrà pianificata rete per rete. Il 12 ottobre 2026 IonQ ha concordato l'acquisizione di Elisity con un'operazione interamente in azioni fino a 1,3 miliardi di dollari, per unire la segmentazione a privilegio minimo ai propri prodotti di crittografia post-quantum.
Per chi acquista software aziendale, il segnale utile è l'ampiezza del modello di policy di Elisity: copre esplicitamente gli agenti AI, accanto a utenti, dispositivi e workload. I team che già svolgono audit di sicurezza e penetration test sulle proprie reti devono aspettarsi due nuove domande: quali agenti possono raggiungere cosa, e quali connessioni dipendono ancora da chiavi che un futuro computer quantistico potrebbe violare?
Cosa compra esattamente IonQ?
Elisity vende microsegmentazione basata sull'identità. Invece di suddividere le reti con VLAN e regole firewall, il suo IdentityGraph costruisce una mappa di ogni utente, dispositivo, workload e agente AI, la arricchisce con dati di contesto e di rischio provenienti dagli strumenti già in uso e applica regole a privilegio minimo su chi può comunicare con chi. Le policy si possono simulare prima di attivarle, il passaggio in cui la maggior parte dei progetti di segmentazione si blocca.
IonQ, nota soprattutto per i computer quantistici a ioni intrappolati venduti tramite cloud, sta costruendo una linea di sicurezza accanto all'hardware. Offre crittografia post-quantum e distribuzione quantistica delle chiavi e cita progetti nazionali di reti quantum-safe in Svizzera, Polonia, Romania e Slovacchia. Bloomberg ha letto l'acquisto come un rafforzamento di questa divisione cyber; CNBC ha sottolineato che IonQ vuole sfruttare i rapporti di Elisity con i responsabili della sicurezza per vendere gli altri prodotti a imprese e pubbliche amministrazioni.
Perché unire zero trust e crittografia post-quantum in un unico prodotto?
Entrambi i problemi partono dalla stessa domanda: cosa è collegato a cosa, e come è protetta quella connessione? Un motore di segmentazione possiede già l'inventario degli asset e il contesto del traffico. Aggiungendo quali cipher suite e tipi di chiave usa ogni flusso, la mappa diventa un backlog post-quantum ordinato per criticità di business, non per l'ordine in cui i sistemi sono stati scoperti.
La tempistica riflette la pressione normativa. Il NIST ha pubblicato i primi standard post-quantum (FIPS 203, 204 e 205) nell'agosto 2024, le agenzie federali statunitensi devono censire la crittografia vulnerabile e la roadmap coordinata della Commissione europea del 2025 chiede agli Stati membri di avviare la transizione entro la fine del 2026, a partire dalle infrastrutture critiche. Dietro le scadenze c'è lo scenario «harvest now, decrypt later»: il traffico intercettato oggi potrebbe essere decifrato quando esisteranno grandi computer quantistici.
Il tema degli agenti AI pesa altrettanto. Gli agenti che chiamano API interne, database e strumenti SaaS sono un nuovo tipo di identità in rete, spesso con ampi permessi da account di servizio. Se state sviluppando agenti AI per i processi interni, dare a ciascuno una propria identità e una policy di rete a privilegio minimo limita quanto lontano può spingersi un agente compromesso o difettoso.
Cosa significa per i team software negli Stati Uniti e nell'UE
Primo, aspettatevi un consolidamento degli strumenti da cui dipendete. Per ora i clienti di Elisity mantengono lo stesso management, ma ogni cambio di proprietà è il momento giusto per ricontrollare gli accordi sul trattamento dei dati, dove viene conservata la telemetria e come esportare le policy in caso di cambio fornitore. I clienti UE devono verificare che i flussi di dati restino coerenti con il registro dei trattamenti previsto dal GDPR.
Secondo, trattate la crittografia come un attributo dell'asset. I dati a lunga conservazione di fintech, sanità e pubblica amministrazione sono la prima priorità post-quantum. Registrate dove chiavi RSA e a curve ellittiche proteggono quei dati – endpoint TLS, VPN, code di messaggi, firma del codice e backup – e assegnate un responsabile a ogni voce. Con NIS2 e DORA quell'inventario vale anche come prova di gestione del rischio.
Terzo, date alle identità non umane policy a tutti gli effetti. Workload, runner di CI e agenti AI sono ormai più numerosi delle persone in molte reti. Una segmentazione che conosce solo utenti e portatili lascia il gruppo più ampio e in più rapida crescita con accesso predefinito.
Cosa significa per le aziende italiane?
In Italia la cornice è già definita: la direttiva NIS2, recepita con il D.Lgs. 138/2024, ha ampliato in modo significativo il numero di soggetti obbligati e affida all'ACN la supervisione delle misure di gestione del rischio, mentre banche, assicurazioni e i loro fornitori ICT critici applicano DORA da gennaio 2025. Un inventario che collega accessi, flussi e crittografia è una prova concreta da presentare in caso di verifica, e prepara il terreno alla migrazione post-quantum che la roadmap europea chiede di avviare entro fine 2026.
Per le PMI e le aziende manifatturiere, spesso con reti piatte che uniscono IT e OT, la microsegmentazione è il primo passo pratico: separare macchinari, sistemi gestionali e accessi remoti dei fornitori riduce i movimenti laterali ben prima di qualsiasi tema quantistico. Chi gestisce dati sanitari, finanziari o della pubblica amministrazione con obblighi di riservatezza pluriennali dovrebbe invece chiedere da subito ai fornitori di VPN, PKI e sicurezza di rete una roadmap post-quantum con scambio di chiavi ibrido.
Cosa fare in questo trimestre?
- Mappate chi e cosa raggiunge i servizi critici. Includete account di servizio, pipeline CI e agenti AI, non solo dipendenti e dispositivi.
- Avviate un inventario crittografico. Elencate tipi di chiave e protocolli dietro ogni flusso critico e segnalate i dati che devono restare riservati per 10 anni o più.
- Simulate prima di applicare. Fate girare le nuove regole di segmentazione prima in modalità monitoraggio per vedere cosa bloccherebbero, poi applicatele per fasi.
- Date a ogni agente AI una propria identità. Limitate l'accesso di rete e alle API ai compiti che svolge e registrate ogni chiamata.
- Chiedete ai fornitori roadmap post-quantum. Aggiungete scambio di chiavi ibrido e crypto-agility ai questionari di sicurezza e alle checklist di rinnovo.
Domande frequenti
Cosa ha annunciato IonQ?
Il 12 ottobre 2026 IonQ ha comunicato di aver firmato un accordo per acquisire Elisity, società di sicurezza di rete zero trust, con un'operazione interamente in azioni del valore massimo di 1,3 miliardi di dollari, inclusi fino a 150 milioni di dollari di earn-out legati ai risultati. La chiusura è prevista nel quarto trimestre 2026, soggetta alle autorizzazioni regolamentari.
Di cosa si occupa Elisity?
Elisity vende software di microsegmentazione basata sull'identità. Il suo IdentityGraph combina identità degli asset, contesto e dati di rischio per applicare regole a privilegio minimo su quali utenti, dispositivi, workload e agenti AI possono comunicare tra loro nella rete aziendale, e consente di simulare le policy prima di applicarle.
Perché un'azienda di quantum computing compra un fornitore zero trust?
IonQ vende già crittografia post-quantum e distribuzione quantistica delle chiavi. Elisity porta oltre 100 installazioni aziendali e rapporti con i team di sicurezza. IonQ intende aggiungere inventario crittografico e dati di rischio all'IdentityGraph, così che i clienti possano dare priorità agli aggiornamenti post-quantum in base al rischio di business.
Cambia qualcosa per gli attuali clienti di Elisity?
Non nell'immediato. Il CEO James Winebrenner e l'attuale management continueranno a guidare l'azienda dopo la chiusura. I clienti dovrebbero comunque chiedere chiarimenti su roadmap, trattamento dei dati e condizioni contrattuali durante il cambio di proprietà.
Cosa dovrebbero fare le aziende italiane sul rischio post-quantum?
Costruite un inventario dei punti in cui chiavi RSA e a curve ellittiche proteggono dati a lunga conservazione, collegate ogni voce al servizio di business che supporta e pianificate la migrazione agli standard post-quantum del NIST, partendo dai dati che devono restare riservati per molti anni e integrando il lavoro con le misure di gestione del rischio richieste da NIS2 e DORA.
Fonti
IonQ — IonQ to acquire Elisity to accelerate zero trust for the quantum era
CNBC — IonQ to acquire cybersecurity firm Elisity in an all-stock deal for up to $1.3 billion
Bloomberg — IonQ to buy Elisity for up to $1.3 billion to bolster cyber unit
SecurityWeek — IonQ to acquire zero trust firm Elisity for up to $1.3 billion