Gartner: le mosse dei CISO per l'AI

Bella l'Intelligenza Artificiale, ma ormai siamo tutti d'accordo sul fatto che contestualmente al suo ingresso nelle imprese vada anche messa saldamente in sicurezza. Per come opera di suo, e soprattutto per il rischio che venga utilizzata impropriamente, servono precise misure di salvaguardia (quantomeno) dei dati e di gestione del rischio associato. Lo conferma anche Gartner, secondo cui nei prossimi anni i responsabili aziendali della cybersecurity dovranno concentrarsi in particolare su alcuni principali aspetti.

Il primo è costituito dalla messa in produzione di applicazioni ad hoc basate sull'AI, quindi di componenti non semplicemente acquistate "standard" da qualche provider tecnologico ma sviluppate, del tutto o in parte, ad hoc. Gartner ritiene che entro il 2028 la metà di tutte le attività di incident response nelle imprese si concentrerà su problemi che coinvolgono appunto le applicazioni AI personalizzate.

Secondo gli analisti, le applicazioni AI custom presentano il rischio concreto di essere implementate senza essere state del tutto testate. Un'applicazione basata sull'AI è comunque complessa e difficile da proteggere, a maggior ragione lo è in mancanza di adeguati controlli di sicurezza preventiva, mancanza che rende ancora più difficile gestire un eventuale incidente cyber collegato all'applicazione stessa.

La situazione, per Gartner, è aggravata dal fatto che la maggior parte dei team di sicurezza IT delle imprese non dispone ancora di processi chiari per gestire gli incidenti legati all’AI. Da qui la necessità, per i responsabili aziendali della cybersecurity, di essere coinvolti fin dalle fasi iniziali nei progetti di applicazioni AI personalizzate.

Anche in conseguenza di tutto questo, Gartner stima che - sempre entro il 2028 - oltre la metà delle imprese punterà sull'adozione di piattaforme di AI security per proteggere sia l’uso di servizi AI di terze parti sia proprio le applicazioni AI sviluppate ad hoc. L'idea è che questo tipo di piattaforme - con cui Gartner consiglia di familiarizzare già adesso - faccia da punto unico e centralizzato per la gestione di tutti i nuovi rischi associati alla rapida adozione dell’AI. 

In particolare, centralizzare visibilità e controllo sulle componenti di AI che vengono man mano implementate aiuterà i CISO ad applicare trasversalmente e in maniera uniforme le policy di utilizzo e i guardrail di sicurezza che andranno certamente definiti per tali componenti, che siano di terze parti o custom non fa differenza.

Le piattaforme di AI security troppo generiche potrebbero però non bastare, avvisano gli analisti, perché la diffusione dell'AI porta tra l'altro ad un cospicuo aumento delle identità macchina, in una fase dello scenario cybersecurity in cui l’identità è diventata già da tempo una delle principali superfici di attacco. È difficile per chiunque gestire la rapida crescita delle identità umane e macchina, il che genera pericolose lacune di visibilità per chi usa strumenti IAM tradizionali e isolati.

Per questo Gartner indica che, entro il 2028, il 70% dei CISO utilizzerà funzioni e piattaforme unificate di identity visibility e intelligence, proprio per ridurre la superficie di attacco IAM e diminuire i rischi di compromissione delle identità digitali, evidenziare prima eventuali violazioni dei sistemi e applicare rapidamente le necessarie misure di remediation.

I problemi che i team di cybersecurity dovranno gestire quando si tratta di AI non saranno però tutti legati direttamente alle nuove componenti di Intelligenza Artificiale: anche i dati - di cui l'AI ha intrinsecamente estremo bisogno - rappresentano una superficie di rischio. Gartner parla di un "AI data debt" che le aziende devono affrontare: una sorta di debito tecnologico derivante dal fatto che nella maggior parte delle organizzazioni i dati aziendali non sono pronti per l’AI, nel senso che non sono adeguatamente strutturati e protetti da usi impropri.

Gartner quindi sottolinea che, da qui al 2030, una quota rilevante (il 33%) del lavoro dei team IT sarà dedicato proprio alla riduzione di questo "AI data debt". Il che, per i responsabili della cybersecurity, significa soprattutto mettere in atto misure di Data Loss Prevention che controllino e limitino opportunamente i flussi dati generati da eventi e richieste di accesso da parte di funzioni di GenAI e AI agentica.

Questa messa in sicurezza ed evoluzione del data management e della data governance in funzione dell'AI deve inoltre sposarsi con i requisiti di sovranità digitale che le normative impongono e che comunque molte organizzazioni cercano già da sole, perché vedono proprio nella sovranità un elemento chiave della resilienza cyber. 

Per Gartner la conseguenza è che, già entro il 2027, il 30% delle organizzazioni richiederà una piena sovranità dei controlli di cloud security: un cambiamento strategico-tecnologico importante in cui i leader della cybersecurity devono svolgere un ruolo attivo, contribuendo a definire quali siano effettivamente i requisiti di sovranità dei dati e organizzativa che la propria aziende ha la necessità, l'obbligo e l'intenzione di soddisfare.