L’adozione dell’AI nella sicurezza: opportunità e sfide di governance

Negli ultimi anni, le organizzazioni hanno iniziato a fare un uso crescente degli agenti AI per attestare i controlli di sicurezza. Tuttavia, la governance in questo ambito non è riuscita a tenere il passo con l’adozione di queste tecnologie, creando un rischio significativo: le attestazioni potrebbero riflettere solo un’apparenza di controllo, senza garantire la reale efficacia delle misure di sicurezza.

I team di sicurezza si trovano spesso a dover gestire attività di prova episodiche e manuali, con piani di risposta agli incidenti che risultano frequentemente non testati. Inoltre, i questionari fornitori vengono compilati una volta e poi dimenticati, mentre i rischi concreti continuano a evolversi senza un adeguato monitoraggio.

Un recente studio ha rivelato che oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI si evolvano più rapidamente di quanto i team possano rispondere. Inoltre, l’80% di questi responsabili dichiara di utilizzare o pianificare l’uso di agenti AI nella propria strategia di sicurezza.

Parallelamente, il lavoro di compliance rimane prevalentemente manuale. Le organizzazioni nel Regno Unito segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Per ridurre questo divario, è fondamentale garantire visibilità e governance continua, attraverso un inventario completo dei sistemi AI e delle API in uso, nonché l’identificazione dell’AI integrata nei servizi SaaS.

Ogni agente AI deve essere trattato come un nuovo attore con un’identità propria, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi. Prima del deployment, è cruciale definire quali dati l’agente può accedere, dove è necessaria l’approvazione umana e come annullare le azioni intraprese.

Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono mantenere una supervisione umana significativa. I controlli devono essere applicati in modo continuo, utilizzando meccanismi di runtime come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico, per limitare il raggio d’azione in caso di errore.

Con l’aumento della pressione regolatoria, come evidenziato dal Cyber Security and Resilience Bill e dalle regole di operational resilience della FCA, cresce il rischio che la compliance si trasformi in un mero “security theatre”. L’automazione potrebbe accelerare questo fenomeno se rimane ancorata a checklist statiche.

La risposta a queste sfide deve essere un cambiamento di paradigma: la compliance deve diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche, armonizzando segnali di rischio, controlli e evidenze in tempo reale. L’AI, pur rappresentando un nuovo fattore di rischio, può anche essere uno strumento per gestire gli altri rischi. Programmi di governance efficaci possono rendere il percorso approvato più semplice rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica.

In conclusione, gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato l’azione, per garantire un’efficace governance e sicurezza nel panorama tecnologico in continua evoluzione.