In Breve
- Qual è il ruolo dell'Intelligenza Artificiale nella sicurezza delle organizzazioni?
- L'Intelligenza Artificiale è utilizzata per attestare i controlli di sicurezza, ma la governance non ha tenuto il passo con l'adozione.
- Quali sono i rischi associati all'uso di agenti AI?
- I rischi includono la possibilità che i controlli appaiano efficaci senza garantire la reale sicurezza.
- Come può essere migliorata la governance nell'uso dell'AI?
- È necessario garantire visibilità continua, limitare gli accessi e supervisionare le azioni ad alto impatto.
Negli ultimi anni, le organizzazioni hanno iniziato a fare sempre più affidamento su agenti di Intelligenza Artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance in questo ambito non ha tenuto il passo con l’adozione tecnologica, creando un divario preoccupante. Questo fenomeno rischia di far apparire i controlli come efficaci, mentre in realtà potrebbero non garantire la sicurezza necessaria.
Un recente studio ha rivelato che oltre la metà dei responsabili della sicurezza nel Regno Unito percepisce le minacce guidate dall’AI come in continua evoluzione, più rapidamente di quanto i team possano rispondere. Inoltre, l’80% di questi professionisti ha dichiarato di utilizzare o pianificare l’uso di agenti AI nelle proprie strategie di sicurezza. Nonostante ciò, il lavoro di compliance rimane fortemente manuale, con le organizzazioni che dedicano circa 12 settimane l’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
Per affrontare questa situazione, è fondamentale garantire visibilità e governance continua. Ciò implica la creazione di un inventario completo dei sistemi AI e delle API in uso, oltre a identificare l’AI integrata nei servizi SaaS e monitorare il fenomeno noto come “shadow AI”. Ogni agente deve essere trattato come un’entità indipendente, con accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima di implementare un agente AI, è cruciale definire quali dati può accedere, quali informazioni può visualizzare e dove è necessaria l’approvazione umana. Operazioni ad alto impatto, come modifiche agli accessi o cancellazioni di dati, devono sempre essere soggette a una supervisione umana significativa.
Per garantire un controllo efficace, è necessario applicare misure continue attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Questi strumenti aiutano a contenere il raggio d’azione in caso di errore, riducendo i rischi associati all’uso dell’AI.
In un contesto di crescente pressione normativa, come dimostrano il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, esiste il rischio che la compliance si trasformi in un semplice “security theatre”. L’automazione potrebbe accelerare questo fenomeno se si basa su checklist statiche piuttosto che su pratiche di sicurezza dinamiche.
Per superare queste sfide, è necessario ripensare l’approccio alla compliance, rendendola una conseguenza di pratiche di sicurezza efficaci e dinamiche. Questo richiede un’armonizzazione dei segnali di rischio, dei controlli e delle evidenze in tempo reale.
In conclusione, l’Intelligenza Artificiale rappresenta sia un nuovo fattore di rischio che uno strumento potente per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato e garantire una supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare l’accesso ai dati, le motivazioni e le autorizzazioni per ogni azione intrapresa.
