In Breve
- Qual è il principale rischio legato all'uso di agenti AI nella sicurezza?
- Il rischio principale è che le attestazioni di controllo riflettano solo l'apparenza di sicurezza, senza una reale efficacia.
- Quanto tempo dedicano le organizzazioni alla compliance?
- Le organizzazioni nel Regno Unito dedicano circa 12 settimane all'anno a compiti di compliance e 9 settimane a revisioni dei fornitori.
- Quali misure possono essere adottate per migliorare la governance degli agenti AI?
- È fondamentale creare un inventario dei sistemi AI, limitare gli accessi e applicare controlli continui.
Negli ultimi anni, le organizzazioni hanno iniziato a integrare agenti di intelligenza artificiale (AI) nei loro sistemi di sicurezza per attestare i controlli e garantire la protezione dei dati. Tuttavia, questa rapida adozione ha messo in evidenza un problema significativo: la governance non è riuscita a tenere il passo con l’implementazione tecnologica, creando un divario preoccupante tra l’apparente sicurezza e la reale efficacia dei controlli.
Secondo recenti studi, oltre la metà dei responsabili della sicurezza nel Regno Unito ritiene che le minacce alimentate dall’AI evolvano più rapidamente di quanto i loro team possano rispondere. Inoltre, l’80% di questi professionisti ha dichiarato di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza. Nonostante ciò, il lavoro di compliance rimane fortemente manuale: le organizzazioni britanniche segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
Per affrontare questo divario, è fondamentale che le aziende adottino una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il controllo del cosiddetto “shadow AI”. Ogni agente deve essere considerato come un nuovo attore con una propria identità, accessi limitati al minimo necessario e senza account di servizio condivisi con privilegi estesi.
Prima di implementare un agente AI, è essenziale definire chiaramente quali dati può accedere, quali azioni può compiere e dove è necessaria l’approvazione umana. Operazioni critiche come modifiche agli accessi, cancellazioni di dati o trasferimenti di fondi devono essere soggette a una supervisione umana significativa.
Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione, interruttori di emergenza e containment automatico, per ridurre il raggio d’azione in caso di errore. La crescente pressione regolatoria, come il Cyber Security and Resilience Bill e le normative sulla resilienza operativa della FCA, aumenta il rischio che la compliance si trasformi in un semplice “security theatre”. L’automazione potrebbe accelerare questo fenomeno se rimane focalizzata su checklist statiche.
Per affrontare queste sfide, è necessario spostare l’obiettivo: la compliance deve diventare una conseguenza di pratiche di sicurezza dinamiche ed efficaci, armonizzando segnali di rischio, controlli e evidenze in tempo reale. L’AI rappresenta sia un nuovo fattore di rischio sia uno strumento utile per gestire altri rischi. I programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato ogni azione.