L’Intelligenza Artificiale nella Sicurezza: Rischi e Opportunità di Governance
Le organizzazioni stanno adottando agenti AI per la sicurezza, ma la governance non riesce a tenere il passo, creando rischi significativi.
In Breve
- Qual è il rischio principale nell'adozione di agenti AI per la sicurezza?
- Il rischio principale è che le attestazioni di controllo riflettano solo l'apparenza di sicurezza, senza garantire la reale efficacia.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni segnalano circa 12 settimane all'anno dedicate a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
- Quali meccanismi possono migliorare la governance degli agenti AI?
- Meccanismi come least-privilege, permessi just-in-time e supervisione umana significativa possono migliorare la governance.
Negli ultimi anni, l’adozione di agenti di Intelligenza Artificiale (AI) per attestare i controlli di sicurezza è aumentata notevolmente. Tuttavia, la governance di questi sistemi non ha tenuto il passo, generando preoccupazioni circa l’efficacia reale delle attestazioni fornite. Molti team di sicurezza si trovano a dover affrontare un carico di lavoro crescente, dedicando tempo a prove episodiche e manuali, mentre i piani di risposta agli incidenti rimangono spesso non testati e i questionari dei fornitori vengono compilati una sola volta e poi dimenticati.
Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce alimentate dall’AI stiano evolvendo più rapidamente di quanto i loro team possano rispondere. Inoltre, l’80% di questi professionisti afferma di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza. Tuttavia, il lavoro di compliance continua a essere molto manuale, con le organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e ulteriori 9 settimane a revisioni dei fornitori.
Per affrontare il divario esistente tra adozione dell’AI e governance, è fondamentale garantire visibilità e controllo continui. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il monitoraggio del cosiddetto “shadow AI”. Ogni agente deve essere trattato come un nuovo attore con un’identità propria, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima di implementare un agente AI, è essenziale definire chiaramente quali dati può accedere, quali informazioni può visualizzare, dove è necessaria l’approvazione umana e come annullare le azioni. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono essere sottoposte a supervisione umana significativa.
Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico, per ridurre il raggio d’azione in caso di errore. L’aumento della pressione normativa, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance si trasformi in un mero “security theatre”. L’automazione rischia di accelerare questo fenomeno se rimane ancorata a checklist statiche.
Per affrontare queste sfide, è necessario spostare l’obiettivo: la compliance deve diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche, armonizzando segnali di rischio, controlli e evidenze in tempo reale. L’AI rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare a cosa hanno accesso, perché e chi ha autorizzato le loro azioni.
