Governance e Intelligenza Artificiale: Rischi e Opportunità nella Sicurezza Informatica

Negli ultimi anni, le organizzazioni hanno cominciato a fare sempre più affidamento su agenti di intelligenza artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, questo trend ha portato a una crescente preoccupazione riguardo alla governance, che non è riuscita a tenere il passo con l’adozione di queste tecnologie. Ciò ha generato il rischio che le attestazioni fornite dagli agenti AI riflettano solo un’apparenza di controllo, piuttosto che la loro reale efficacia.

Il Gap tra Adozione e Governance

Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI si evolvano più rapidamente di quanto i team di sicurezza possano rispondere. Inoltre, l’80% degli intervistati ha dichiarato di utilizzare o pianificare l’uso di agenti AI nella propria strategia di sicurezza. Tuttavia, il lavoro di compliance rimane prevalentemente manuale, con le organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.

Rischi Concreti e Attività Manuali

Le attività di prova episodiche e manuali, insieme a piani di risposta agli incidenti raramente testati, contribuiscono a un ambiente di sicurezza vulnerabile. I questionari fornitori, spesso compilati una sola volta, vengono rapidamente dimenticati, mentre i rischi concreti continuano a cambiare e a evolversi senza un adeguato monitoraggio.

Strategie per Ridurre il Divario

Per affrontare questa situazione, è essenziale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API in uso, l’identificazione dell’AI integrata nei servizi SaaS e il controllo del cosiddetto “shadow AI”. Ogni agente deve essere trattato come un nuovo attore con un’identità propria, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.

Definizione di Accessi e Controlli

Prima di implementare un agente AI, è fondamentale stabilire quali dati può accedere, dove è necessaria l’approvazione umana e come annullare le azioni. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono essere soggette a supervisione umana significativa. I controlli devono essere applicati continuamente attraverso meccanismi runtime come least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza.

Pressione Regolatoria e Rischi di Compliance

L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance possa trasformarsi in un semplice “security theatre”. L’automazione, se orientata a checklist statiche, rischia di accelerare questo fenomeno, rendendo necessaria una revisione delle pratiche attuali.

Un Nuovo Approccio alla Compliance

Per ridurre il gap tra adozione dell’AI e governance, è cruciale spostare l’obiettivo: la compliance deve diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche. È necessario armonizzare segnali di rischio, controlli e evidenze in tempo reale. L’AI, pur rappresentando un nuovo fattore di rischio, può anche essere uno strumento utile per gestire altri rischi, a patto che i programmi di governance siano efficaci e mantengano la supervisione umana dove è più critica.

Conclusione

In un contesto in cui l’adozione dell’AI è in continua crescita, le organizzazioni devono affrontare le sfide legate alla governance e alla compliance. Solo attraverso un approccio proattivo e dinamico sarà possibile garantire la sicurezza informatica e ridurre i rischi associati all’uso di agenti AI.