In Breve
- Qual è il rischio principale nell'uso di agenti AI per la sicurezza?
- Il rischio principale è che le attestazioni possano riflettere solo l'apparenza di controllo senza garantire la reale efficacia.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni nel Regno Unito segnalano circa 12 settimane all'anno dedicate a compiti di compliance.
- Come possono le organizzazioni migliorare la governance degli agenti AI?
- Le organizzazioni devono garantire visibilità continua, definire accessi e controlli, e applicare meccanismi di sicurezza runtime.
Governance e Intelligenza Artificiale: Il Rischio di una Compliance Superficiale
Le organizzazioni stanno sempre più affidandosi ad agenti di intelligenza artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance non ha tenuto il passo con questa adozione, creando un rischio significativo: le attestazioni potrebbero riflettere solo l’apparenza di un controllo efficace, senza garantire la reale sicurezza.
Il Contesto Attuale
In un mondo in cui le minacce informatiche evolvono rapidamente, più della metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce guidate dall’AI stiano cambiando più velocemente di quanto i team possano rispondere. Circa l’80% di questi professionisti dichiara di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza.
Il Lato Oscuro della Compliance
Nonostante l’adozione dell’AI, il lavoro di compliance rimane prevalentemente manuale. Le organizzazioni nel Regno Unito segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Questo approccio tradizionale non solo è inefficiente, ma espone le aziende a rischi concreti, poiché i piani di risposta agli incidenti spesso non vengono testati e i questionari fornitori vengono compilati una sola volta e poi dimenticati.
Colmare il Divario tra Adozione e Governance
Per affrontare questa situazione, è fondamentale garantire visibilità e governance continua. È necessario un inventario completo dei sistemi AI e delle API utilizzate, oltre all’identificazione dell’AI integrata nei servizi SaaS. Ogni agente deve essere trattato come un nuovo attore, con identità propria e accessi limitati al minimo necessario. È cruciale evitare l’uso di account di servizio condivisi con privilegi estesi.
Definire i Limiti degli Agenti AI
Prima del deploy, è essenziale stabilire cosa un agente AI può accedere, quali dati può visualizzare e dove è necessaria l’approvazione umana. Operazioni ad alto impatto, come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi, devono essere soggette a supervisione umana significativa.
Controlli Continuativi e Meccanismi di Sicurezza
I controlli devono essere applicati continuamente attraverso meccanismi runtime come least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Queste misure aiutano a ridurre il raggio d’azione in caso di errore e a garantire che l’automazione non si trasformi in un semplice “security theatre”.
La Pressione Regolatoria e il Rischio di Security Theatre
L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance diventi superficiale. L’automazione, se orientata a checklist statiche, può accelerare questo fenomeno, rendendo necessaria una ristrutturazione dell’approccio alla sicurezza.
Riorientare l’Obiettivo della Compliance
La soluzione proposta è spostare l’obiettivo: la compliance dovrebbe diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche. È fondamentale armonizzare segnali di rischio, controlli e evidenze in tempo reale per garantire una governance efficace.
Conclusioni
In conclusione, l’intelligenza artificiale rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. I programmi di governance efficaci possono semplificare il percorso approvato, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato l’azione, per garantire un ambiente di lavoro sicuro e conforme.
