L’Intelligenza Artificiale nella Sicurezza: Opportunità e Rischi di Governance

Negli ultimi anni, le organizzazioni hanno iniziato a fare ampio uso di agenti di Intelligenza Artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, questo rapido sviluppo ha messo in luce un problema cruciale: la governance non ha tenuto il passo con l’adozione tecnologica, creando un divario che potrebbe compromettere l’efficacia delle misure di sicurezza.

Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce alimentate dall’AI si evolvano più rapidamente di quanto i loro team possano rispondere. Inoltre, l’80% di questi professionisti dichiara di utilizzare o di pianificare l’uso di agenti AI nelle loro strategie di sicurezza. Questo scenario evidenzia quanto sia urgente affrontare le sfide legate alla governance e alla compliance.

Molti team di sicurezza si trovano a perdere tempo in attività manuali e sporadiche, come test di vulnerabilità e risposte agli incidenti, mentre i rischi reali cambiano sotto traccia. Le organizzazioni del Regno Unito segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Questo approccio manuale non è sostenibile e richiede un cambiamento radicale.

Per ridurre il divario tra adozione dell’AI e governance, è fondamentale implementare una visibilità e un governo continui. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, nonché l’identificazione dell’AI integrata nei servizi SaaS. È essenziale anche tenere sotto controllo il fenomeno del “shadow AI”, trattando ogni agente come un attore autonomo, con accessi limitati e senza privilegi estesi.

Prima di implementare un agente AI, le organizzazioni devono definire chiaramente quali dati possono essere accessibili, dove è necessaria l’approvazione umana e come annullare eventuali azioni. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono sempre essere supervisionate da un operatore umano.

Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione e sistemi di emergenza automatizzati. Queste misure aiutano a contenere i danni in caso di errori, garantendo una maggiore sicurezza.

Con l’aumento della pressione normativa, come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, c’è il rischio che la compliance si trasformi in una mera facciata, un “security theatre”. L’automazione, se non gestita correttamente, può aggravare questa situazione, rimanendo ancorata a checklist statiche.

Per affrontare queste sfide, è necessario spostare l’obiettivo della compliance, rendendola una conseguenza di pratiche di sicurezza efficaci e dinamiche. Questo implica l’armonizzazione di segnali di rischio, controlli e evidenze in tempo reale.

In ultima analisi, l’Intelligenza Artificiale rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso di approvazione, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni, garantendo così una maggiore trasparenza e responsabilità.