Dai castelli una lezione per la sicurezza informatica: solo l’innovazione protegge dal cambiamento continuo

Il Corporate Information Security Roundtable ha dedicato una giornata a discutere le sfide della leadership in ambito sicurezza nell’era dell’intelligenza artificiale. Il gruppo ha fatto il punto sulle crescenti difficoltà legate a molte strategie di sicurezza oggi diffuse, dall’autenticazione a più fattori alla formazione anti-phishing. Ma il tema che ha dominato la discussione è stato l’adozione rapidissima dell’AI. Alla promessa quasi sconfinata dell’intelligenza artificiale si è accompagnata la consapevolezza che i team di sicurezza dovranno innovare per aiutare le organizzazioni a difendersi da vulnerabilità sempre più pressanti. Dai deepfake alle perdite massive di proprietà intellettuale, l’AI porta con sé una nuova ondata di minacce e un’infinità di “innovazioni oscure.”

Come avviene per ogni nuova minaccia, il primo istinto è quello di costruire muri. Molte organizzazioni l’hanno fatto. Nel caso della Gen AI, i “muri” servono sia a mantenere gli utenti all’interno di spazi sicuri, sia a tenere fuori i potenziali avversari. Le strategie si suddividono grosso modo in tre categorie:

1. Stabilire policy che definiscono quando e come si può usare l’AI, soprattutto in combinazione con i dati aziendali. Gli utenti vengono poi incoraggiati a utilizzare solo un insieme di applicazioni considerate sicure. Per esempio, alcune organizzazioni stanno creando “giardini recintati” con modelli di AI interni come alternativa alle molte app di AI presenti sul mercato. I dati in questi ambienti chiusi non vengono condivisi tra aziende e godono di un certo livello di protezione.
2. Bloccare l’accesso alle app AI ritenute rischiose attraverso la rete aziendale. In alcuni casi si ricorre a divieti totali; in altri, si usano punteggi di rischio per avvisare o impedire l’accesso in base alla pericolosità percepita dei diversi strumenti. In certi scenari, gli utenti potrebbero essere indirizzati verso ambienti controllati in base alla situazione e al loro livello di autorizzazione.
3. Bloccare in modo “morbido”, segnalando i tentativi di usare o condividere dati con app di AI. Gli utenti potrebbero ricevere un avviso e essere invitati a riflettere sull’effettiva necessità dell’azione e ad assumersene la responsabilità. In alcuni casi, potrebbe essere richiesto il consenso di un supervisore.

Naturalmente, i fornitori di soluzioni di sicurezza stanno lanciando prodotti che combinano e potenziano queste strategie. Tuttavia, i partecipanti alla roundtable hanno concordato sul fatto che si tratta, nella migliore delle ipotesi, di soluzioni temporanee.

Negli ultimi dieci anni, le organizzazioni hanno cercato di costruire barriere anche contro innovazioni web precedenti. Dallo storage cloud ai social media, questi “muri” si sono rivelati poco più che dossi. Gli utenti trovano spesso il modo di aggirarli, per esempio passando a dispositivi personali. Oltre a offrire una protezione limitata, questi blocchi rallentano anche l’adozione di tecnologie potenzialmente rivoluzionarie e ostacolano l’apprendimento organizzativo. E neppure i muri più solidi possono fermare utenti o avversari determinati.

Per ora, comunque, queste barriere offrono un po’ di tempo ai team di sicurezza per osservare i comportamenti degli utenti alle prese con la Gen AI e sviluppare approcci più innovativi. Più importante ancora, questo periodo di osservazione aiuterà i team di sicurezza a guidare le aziende nella definizione di policy etiche per l’adozione responsabile dell’AI.

Il gruppo ha concordato su un punto: solo l’innovazione continua è una strategia di sicurezza davvero efficace. In altre parole, per proteggere le proprie organizzazioni, i team dovranno essere sempre più veloci degli hacker.

Eric Johnson è Bruce D. Henderson Professor of Strategy, Ralph Owen Dean, Emeritus, at Owen Graduate School of Management, Vanderbilt University