In Breve
- Qual è il ruolo degli agenti AI nella sicurezza?
- Gli agenti AI vengono utilizzati per attestare i controlli di sicurezza, ma la governance deve evolversi per garantire la loro efficacia.
- Quali sono le sfide principali nella governance degli agenti AI?
- Le sfide includono la mancanza di visibilità continua e la gestione del rischio associato all'uso di AI non governata.
- Come possono le organizzazioni migliorare la compliance?
- Le organizzazioni devono armonizzare pratiche di sicurezza dinamiche con controlli e evidenze in tempo reale.
Negli ultimi anni, le organizzazioni hanno iniziato a fare affidamento su agenti di Intelligenza Artificiale (AI) per attestare i controlli di sicurezza. Tuttavia, la governance di questi sistemi non ha tenuto il passo con la rapida adozione, creando un divario preoccupante tra l’apparenza di controllo e la reale efficacia delle misure di sicurezza.
Un numero crescente di responsabili della sicurezza nel Regno Unito ha espresso preoccupazione riguardo alla velocità con cui le minacce guidate dall’AI si evolvono, ritenendo che i team di sicurezza non riescano a tenere il passo. In effetti, l’80% di questi professionisti riferisce di utilizzare o pianificare l’uso di agenti AI nella loro strategia di sicurezza. Tuttavia, il lavoro di compliance rimane prevalentemente manuale, con organizzazioni che segnalano di dedicare circa 12 settimane all’anno a compiti di compliance e altre 9 settimane a revisioni dei fornitori.
Per affrontare questo divario, è fondamentale implementare una governance continua e visibile. Ciò include la creazione di un inventario completo dei sistemi AI e delle API utilizzate, l’identificazione dell’AI integrata nei servizi SaaS e il controllo della cosiddetta “shadow AI”. Ogni agente deve essere trattato come un attore autonomo, con identità e accessi limitati al minimo necessario, evitando l’uso di account di servizio condivisi con privilegi estesi.
Prima di implementare un agente AI, è essenziale definire chiaramente quali dati può accedere, dove è necessaria l’approvazione umana e come annullare le sue azioni. Operazioni critiche, come modifiche agli accessi o trasferimenti di fondi, devono essere soggette a supervisione umana significativa.
Inoltre, i controlli devono essere applicati in modo continuo attraverso meccanismi runtime, come il principio del least-privilege, permessi just-in-time, segmentazione e interruttori di emergenza. Questi strumenti aiutano a contenere il raggio d’azione in caso di errore, riducendo così i rischi associati all’uso dell’AI.
La crescente pressione normativa, come il Cyber Security and Resilience Bill e le regole di operational resilience della FCA, aumenta il rischio che la compliance si trasformi in una mera facciata di sicurezza, nota come “security theatre”. L’automazione, se orientata a checklist statiche, potrebbe accelerare questo fenomeno, rendendo necessaria una revisione delle pratiche attuali.
Per evitare che la compliance diventi un mero adempimento burocratico, è cruciale spostare l’obiettivo: la compliance deve diventare una conseguenza di pratiche di sicurezza efficaci e dinamiche. Ciò implica armonizzare segnali di rischio, controlli e evidenze in tempo reale.
Infine, l’AI rappresenta sia un nuovo fattore di rischio che uno strumento per gestire altri rischi. Programmi di governance efficaci possono semplificare il percorso approvato rispetto a quello in ombra, mantenendo la supervisione umana dove è più critica. Gli agenti AI devono essere in grado di documentare cosa hanno accesso, perché e chi ha autorizzato le loro azioni, garantendo così una maggiore trasparenza e responsabilità.
