Ovunque tu vada, senti sempre la stessa storia. L’IA ha cambiato tutto, gli hacker sono più veloci e la governance è fondamentale. È una storia che potrebbero ripetere altri 50 CISO.
Dopo 20 anni nel settore della sicurezza informatica, ho il vantaggio di una visione d’insieme. Ho vissuto in prima persona importanti cambiamenti tecnologici: Internet, i dispositivi mobili, il cloud… e altro ancora. Per me, la vera novità sta in ciò che distingue fondamentalmente l’IA da ogni altra transizione tecnologica.
L’IA non ha sostituito la missione del CISO. Sì, ne ha cambiato il ritmo, ma una buona sicurezza ha sempre significato essere il team che non si limita a proteggere la tecnologia, ma aiuta anche l’azienda ad affermarsi nel mercato in cui opera. Proprio come con Internet, i dispositivi mobili e il cloud, garantire che l’azienda utilizzi correttamente l’IA è un requisito fondamentale.
1. Com’era il mio lavoro un anno fa
Un anno fa, le mie priorità sarebbero state ben note a qualsiasi CISO: ransomware, identità, gestione delle vulnerabilità, rischi legati a terze parti, sicurezza del cloud, protezione dei dati, resilienza. L’intelligenza artificiale era all’ordine del giorno, ma soprattutto come rischio legato alle tecnologie emergenti. Oggi sta diventando parte integrante di quasi tutte queste discussioni.
Il mondo dello scorso anno non era semplice. Dovevamo proteggere identità, sistemi, applicazioni, infrastrutture e dati. E ora, tutto questo rimane, ma ci troviamo a gestire sistemi in grado di elaborare enormi quantità di informazioni, generare nuove informazioni, fornire raccomandazioni, scrivere software, automatizzare i flussi di lavoro e agire sempre più spesso per conto delle persone. I vecchi problemi non sono scomparsi. L’IA ha fatto il suo ingresso e ha accelerato i tempi dello stack di sicurezza esistente.
2. Cosa è cambiato e perché non si è trattato di un cambiamento graduale
Il punto di svolta più significativo è il crollo dei costi delle funzionalità. Un malintenzionato non ha più bisogno delle stesse competenze né dello stesso investimento di tempo. In precedenza avrebbe dovuto dedicare innumerevoli ore alle proprie competenze di programmazione o alla creazione di contenuti per operare su larga scala, oltre a innumerevoli ore per individuare e perfezionare gli obiettivi. Allo stesso tempo, i miei stessi dipendenti dispongono improvvisamente di potenti strumenti in grado di acquisire informazioni aziendali e produrre codice, analisi e contenuti.
Abbiamo quindi due accelerazioni simultanee. Ciò che è cambiato non è stato semplicemente il fatto che gli aggressori abbiano ottenuto l’IA. Tutti hanno ottenuto l’IA. E l’adozione è avvenuta dal basso verso l’alto. I dipendenti non hanno aspettato la strategia aziendale sull’IA. Gli sviluppatori hanno iniziato a utilizzare i copiloti. Le persone hanno sperimentato i modelli di linguaggio generativo (LLM) pubblici. Le funzioni aziendali hanno scoperto opportunità di automazione.
Per la maggior parte delle principali tecnologie aziendali, il reparto sicurezza ha avuto la possibilità di preparare l’ambiente prima dell’adozione su larga scala. Nel caso dell’IA generativa, invece, l’adozione è spesso avvenuta prima della definizione di una governance.
3. Come è cambiata la missione stessa
Storicamente, la questione della sicurezza si poneva così: «Come proteggiamo questa tecnologia?». Ma l’intelligenza artificiale impone un’altra domanda: «Come consentiamo all’azienda di utilizzare questa tecnologia in modo sicuro?».
Ciò porta i CISO ad affrontare questioni che non riguardano esclusivamente la sicurezza informatica:
- Quali informazioni possono fornire i dipendenti ai sistemi di intelligenza artificiale?
- Quali modelli e servizi sono approvati?
- Cosa succede ai prompt e ai dati caricati?
- Dove vengono conservati i dati aziendali?
- Come gestiamo le identità, gli agenti e le autorizzazioni dell’IA?
- Come si convalida il codice generato dall’IA?
- Quale supervisione umana è necessaria?
- In che modo si intrecciano le responsabilità in materia di aspetti legali, privacy, sicurezza, governance dei dati e conformità?
Detto questo, i CISO devono stare attenti a non diventare luddisti o “polizia dell’IA”. Il ruolo del CISO è quello di contribuire a definire i confini di sicurezza entro i quali l’azienda possa muoversi rapidamente. Se la strategia di sicurezza per l’IA consiste semplicemente nel “non usarla”, avete già perso. Le persone la useranno comunque. Il nostro compito è rendere il percorso sicuro il percorso più facile.
4. Cosa ho dovuto reimparare o disimparare
Una cosa che ho dovuto disimparare è l’idea che il reparto sicurezza debba comprendere appieno una tecnologia prima che l’azienda la adotti. Nel caso dell’IA, l’adozione e la sperimentazione avvengono parallelamente alla nostra comprensione dei rischi. Dobbiamo consentire un’adozione intelligente e ponderata.
Un altro aspetto è il determinismo. I professionisti della sicurezza sono cresciuti valutando sistemi in cui, in linea di massima, l’input A dovrebbe produrre l’output B. I sistemi generativi non si comportano in modo così lineare. Siamo abituati a chiederci se un controllo funzioni. L’IA ci costringe a sentirci più a nostro agio nel chiederci quanto sia affidabile il suo funzionamento, in quali condizioni fallisca e cosa accada quando ciò avviene. È un aspetto intellettualmente interessante.
Vent’anni nel settore della sicurezza ti insegnano a riconoscere gli schemi. Ora, l’intelligenza artificiale mi ricorda che il riconoscimento degli schemi può diventare un ostacolo quando cambiano i presupposti di fondo.
All’inizio pensavo che il problema principale sarebbe stato l’uso malevolo dell’IA da parte di soggetti esterni contro di noi. Ma ho scoperto ben presto che il mio impatto maggiore si sarebbe concentrato internamente sulla governance dei dati, sull’adozione interna e sul supporto al business.
5. Prossimi passi/consigli per i colleghi
Innanzitutto, non create un universo a sé stante dedicato alla sicurezza dell’IA.Integrate l’IA nei controlli che già conoscete: identità, classificazione dei dati, principio del privilegio minimo, registrazione degli eventi, rischio legato a terze parti, sviluppo sicuro, risposta agli incidenti e resilienza.In secondo luogo, prestate molta attenzione agli agenti. L’interazione prevalente oggi è spesso: persona → modello → risposta. L’architettura più rilevante sta diventando sempre più: persona → agente → strumenti → sistemi → dati → azioni. Una volta che l’IA sarà in grado di intraprendere azioni (anziché limitarsi a generare testo), l’autorizzazione, l’identità, la provenienza, il monitoraggio e il raggio d’azione assumeranno un’importanza molto maggiore. Mi preoccupa meno che un’IA dica la cosa sbagliata piuttosto che un agente di IA sia autorizzato a fare la cosa sbagliata.Terzo, proteggete il livello dei dati.I modelli cambieranno rapidamente. I fornitori cambieranno. Le architetture cambieranno. L’azienda leader nel campo dell’intelligenza artificiale di oggi e il modello all’avanguardia più innovativo diventeranno presto un Betamax. Le vostre risorse di sicurezza durature rimangono la consapevolezza di quali dati possedete, dove si trovano, chi può accedervi e cosa è consentito fare con essi.
Quarto, non misurate il successo in base alla quantità di IA che riuscite a bloccare.Un sistema di sicurezza sofisticato dovrebbe consentire un utilizzo legittimo, limitando al contempo i rischi inaccettabili. Ogni grande cambiamento tecnologico comporta un periodo in cui le capacità si evolvono più rapidamente dei controlli. È successo con Internet. È successo con i dispositivi mobili. È successo con il cloud. L’intelligenza artificiale lo sta facendo a una velocità straordinaria.
Gestire bene questa situazione non richiede l’eliminazione totale dei rischi legati all’IA. Richiede invece di decidere consapevolmente quali rischi si è disposti ad assumersi, definendo dei limiti attorno ad essi e consentendo comunque all’azienda di andare avanti.
L’IA non ha abolito i principi fondamentali della sicurezza informatica, ma ne sta modificando gli aspetti economici e la velocità con cui si evolvono. Dopo 20 anni di trasformazioni successive nel campo della sicurezza, l’IA potrebbe rappresentare la prima sfida in cui il CISO deve contemporaneamente difendersi dalla tecnologia, proteggerla e aiutare l’azienda ad adottarla. È proprio questo che la rende una sfida.
Bill O’Connellè responsabile della sicurezza presso Commvault.