In Breve

Qual è il rischio principale nell'uso degli agenti AI per la sicurezza?

Il rischio principale è che le attestazioni riflettano solo l'apparenza di controllo, senza garantire l'efficacia reale.

Quanto tempo dedicano le organizzazioni alla compliance?

Le organizzazioni nel Regno Unito dedicano circa 12 settimane all'anno a compiti di compliance.

Quali sono le strategie per migliorare la governance degli agenti AI?

È fondamentale creare un inventario dei sistemi AI, limitare gli accessi e applicare controlli in modo continuo.

La Governance nell’Utilizzo degli Agenti AI per la Sicurezza: Rischi e Soluzioni

Negli ultimi anni, le organizzazioni hanno iniziato a fare sempre più affidamento sugli agenti AI per attestare i controlli di sicurezza. Tuttavia, la governance in questo ambito non ha tenuto il passo con l’adozione di queste tecnologie, creando un divario preoccupante tra l’apparenza di controllo e l’effettiva efficacia delle misure di sicurezza.

Il Rischio della Superficialità nei Controlli

Le squadre di sicurezza si trovano spesso a dover gestire attività di prova episodiche e manuali, mentre i piani di risposta agli incidenti rimangono frequentemente non testati. In questo contesto, i questionari fornitori vengono compilati una sola volta e poi dimenticati, mentre i rischi concreti continuano a evolversi senza un adeguato monitoraggio.

Adozione degli Agenti AI: Un Fenomeno in Crescita

Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce alimentate dall’AI si stiano evolvendo più rapidamente di quanto i team possano rispondere. Inoltre, l’80% degli intervistati ha dichiarato di utilizzare o pianificare l’uso di agenti AI come parte della propria strategia di sicurezza.

Compliance: Un Lavoro Ancora Troppo Manuale

Nonostante l’adozione crescente dell’AI, il lavoro di compliance rimane prevalentemente manuale. Le organizzazioni nel Regno Unito segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori. Questo approccio non solo è inefficiente, ma aumenta anche il rischio di trascurare minacce emergenti.

Strategie per Ridurre il Divario di Governance

Per affrontare questa situazione, è fondamentale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API in uso, l’identificazione dell’AI integrata nei servizi SaaS e il controllo del cosiddetto “shadow AI”. Ogni agente deve essere considerato un attore indipendente, con accessi limitati al minimo necessario e senza account di servizio condivisi.

Definizione dei Controlli e Supervisione Umana

Prima del deployment, è essenziale definire chiaramente quali dati possono essere accessibili dagli agenti, dove è necessaria l’approvazione umana e come annullare le azioni. Operazioni ad alto impatto, come modifiche agli accessi o trasferimenti di fondi, devono essere sempre soggette a supervisione umana significativa.

Applicazione Continua dei Controlli

I controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Questi strumenti aiutano a ridurre il raggio d’azione in caso di errore, garantendo una maggiore sicurezza.

Pressione Regolatoria e Rischi di Compliance

L’aumento della pressione regolatoria, con provvedimenti come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, accentua il rischio che la compliance si trasformi in “security theatre”. L’automazione, se non gestita correttamente, può contribuire a questo fenomeno se rimane ancorata a checklist statiche.

Un Nuovo Approccio alla Compliance

La soluzione proposta è quella di spostare l’obiettivo della compliance, facendola diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche. È fondamentale armonizzare segnali di rischio, controlli e evidenze in tempo reale per garantire una gestione proattiva delle minacce.

Conclusioni: L’AI come Opportunità e Rischio

In conclusione, l’AI rappresenta sia un nuovo fattore di rischio che uno strumento prezioso per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni.