Tutti sanno che i CISO non lavorano poi così duramente in quegli uffici così comodi. Ma dai, si limitano a contrastare gli incubi legati alla conformità , a bloccare costosi attacchi informatici, a proteggere i dipendenti da e-mail di phishing predatorie – e ora a eludere le autorità federali – insomma, solo le piccole cose necessarie per salvaguardare il patrimonio informativo di un’organizzazione.
Sto scherzando, ovviamente.
Infatti, man mano che l’intelligenza artificiale (IA) e l’IA generativa si diffondono e trasformano le aziende, i responsabili della sicurezza informatica si vedono aggiungere ulteriori responsabilità al loro carico di lavoro già molto intenso. Stanno imparando a gestire le sfide in materia di sicurezza poste dall’intelligenza artificiale, a trarne vantaggio e ad adattarsi alle nuove modalità di lavoro – aspetti che richiedono tutti nuove priorità di leadership in questa era dell’intelligenza artificiale caratterizzata da rapidi e costanti cambiamenti.
«L’intelligenza artificiale ha raggiunto un livello di maturità tale da essere ormai presente in ogni aspetto della nostra vita», afferma Candy Alexander, CISO e responsabile del settore dei rischi informatici presso la società di consulenza tecnologica NeuEon. «E sebbene l’impatto sia stato in gran parte positivo per le organizzazioni, rappresenta anche una sfida maggiore, in particolare per i CISO. “Devono assicurarsi di definire i parametri adeguati per l’uso dell’intelligenza artificiale e dell’apprendimento automatico , senza però soffocare la creatività e l’innovazione – e questa è una sfida non da poco.”
Per stare al passo con i cambiamenti e garantire che l’organizzazione sia resiliente , i CISO devono dare priorità alle nuove strategie di leadership, sia all’interno dei propri team che a livello dell’intera azienda. Queste quattro aree di intervento rappresentano un buon punto di partenza.
1. Fornire indicazioni ai dirigenti di alto livello
Mentre le aziende si affrettano a implementare l’intelligenza artificiale in modo efficace, i CISO possono svolgere un ruolo importante nel fornire indicazioni ai vertici aziendali su una serie di questioni, a partire dalla valutazione dei casi d’uso dell’intelligenza artificiale, afferma Alexander. “Si tratta di colloqui con esperti di tecnologia, di sicurezza e del settore aziendale. «Non si può semplicemente lanciarsi nel mondo dell’intelligenza artificiale senza aver compreso appieno cosa si vuole fare e come si vuole farlo», afferma. “Desidera migliorare l’esperienza dei Suoi clienti? Ottimo. “Da lì, potrete elaborare tale programma di avvicinamento, ma anche predisporre misure di protezione sin dall’inizio.”
“Non si può semplicemente lanciarsi nel mondo dell’intelligenza artificiale senza comprendere appieno cosa si voglia fare e come si voglia farlo.”Candy Alexander, CISO e responsabile del settore dei rischi informatici presso NeuEon
I CISO dovrebbero inoltre guidare il dibattito sui dati relativi all’ e e sull’e dell’intelligenza artificiale, afferma Jordan Rae Kelly, amministratore delegato senior e responsabile della sicurezza informatica per le Americhe presso la società di consulenza gestionale FTI Consulting. «Il CISO deve promuovere il dibattito su dove vengono archiviati i dati, su come vengono acquisiti e, , su quali leggi siano interessate dall’utilizzo di tali dati», afferma. «In passato, i CISO dovevano solo comprendere le esigenze aziendali relative ai dati, mentre ora devono comprendere sia tali esigenze sia le relative implicazioni.»
Allo stesso modo, i CISO dovrebbero essere coinvolti nelle discussioni relative alla governance dell’ e, aggiunge Alexander. «L’intelligenza artificiale sta davvero mettendo in luce la necessità di una governance dei dati», afferma. “A chi appartengono i dati? Chi utilizza i dati? Chi dovrebbe potervi accedere? In che modo il ciclo di vita dei dati si evolverà e cambierà? Come intende proteggere tali dati? “Si tratta di discussioni alle quali i CISO devono partecipare.”
2. Dare risalto alla cultura organizzativa
Le organizzazioni stanno sperimentando l’intelligenza artificiale in vari modi, dalla redazione di testi di marketing allo sviluppo di codice, ma questi casi d’uso non vengono sempre riconosciuti dal punto di vista aziendale, avverte Alexander. I dipendenti, ad esempio, potrebbero non rendersi conto che un utilizzo non autorizzato dell’IA può mettere a rischio le informazioni aziendali sensibili. «In assenza di misure di sicurezza, è possibile che alcune persone inseriscano informazioni riservate in uno [strumento] di intelligenza artificiale generativa, che poi finiscono per diventare parte integrante del modello di addestramento linguistico.» «È assolutamente terrificante.»
«Un tempo i CISO dovevano solo comprendere le esigenze aziendali relative ai dati, ma ora devono comprenderne sia le esigenze che le implicazioni.»Jordan Rae Kelly, amministratore delegato senior e responsabile della sicurezza informatica per le Americhe presso FTI Consulting
I CISO dovrebbero considerare l’IA alla stregua di qualsiasi altro programma di sensibilizzazione in materia di “ ” e garantire che tutti i dipendenti abbiano una comprensione di base di cosa sia l’IA e di come essa si colleghi al proprio ruolo. «È necessario essere in grado di formare tutti i membri dell’organizzazione sul concetto di intelligenza artificiale e [assicurarsi che] rimangano aggiornati», afferma Gatha Sadhir, CISO globale presso Carnival Corporation, in un’intervista rilasciata all’ e del SANS Institute.
I CISO dovrebbero incentrare questa campagna di sensibilizzazione a livello aziendale sulle modalità di utilizzo dell’IA nei vari processi aziendali, sulle implicazioni etiche dell’IA, sulle politiche dell’organizzazione relative all’uso responsabile dell’IA, nonché sulle potenziali minacce alla sicurezza e sulle migliori pratiche per mitigarle.
[Leggi anche: Una corsa alla diffusione della GenAI? La sicurezza inizia con una buona governance]
Per ottenere indicazioni su come promuovere la cultura organizzativa in materia di IA, Alexander raccomanda di consultare le risorse messe a disposizione da organizzazioni di settore, quali l’ , la Cloud Security Alliance (CSA) e , nonché l’Open Web Application Security Project.
3. Dare priorità alla formazione e all’aggiornamento professionale all’interno dei team di sicurezza
Una delle principali sfide che le organizzazioni che si occupano di sicurezza devono affrontare è quella di disporre di conoscenze sia ampie che approfondite in settori come l’intelligenza artificiale, che sono in rapida evoluzione, afferma Kelly.
«I CISO hanno il compito davvero arduo di gestire un team che è probabilmente già sovraccarico di lavoro, sottoposto a pressioni eccessive e responsabile di una vasta gamma di tematiche – e ora tali tematiche stanno cambiando rapidamente perché l’intelligenza artificiale evolve a un ritmo vertiginoso», afferma. «C’è una forte pressione per formare il personale e garantire che i team siano sempre aggiornati e al passo con gli argomenti, in modo che la prossima evoluzione di un toolkit non li metta a rischio».
Infatti, secondo un rapporto intitolato “ 2024 ” ( ) pubblicato dalla CSA, i dirigenti di alto livello dichiarano di avere una familiarità con le tecnologie di intelligenza artificiale notevolmente superiore (52%) rispetto al proprio personale (11%). «Ciò va contro il pensiero convenzionale che si sente spesso riguardo ai responsabili della sicurezza e all’intelligenza artificiale, nonché contro il presupposto secondo cui “tutti ne hanno paura”», ha affermato Caleb Sima, presidente dell’alleanza per la sicurezza dell’intelligenza artificiale della CSA, in una recente intervista rilasciata a VentureBeat. Il sondaggio confuta l’idea secondo cui ogni giovane collaboratore, per il solo fatto di essere giovane, sia in qualche modo esperto delle ultime versioni dell’intelligenza artificiale e che «ogni CISO sia contrario all’intelligenza artificiale, ritenendola un enorme rischio per la sicurezza e un problema gravissimo», ha affermato Sima. Se non altro, ciò costituisce un valido promemoria del fatto che le strategie di sensibilizzazione a livello aziendale (discusse in precedenza) devono includere iniziative formative specifiche rivolte ai reparti IT.
Sebbene i team possano già essere a corto di risorse, è importante che i CISO inseriscano in modo mirato nei programmi dei propri team dei momenti dedicati alla formazione specifica sull’intelligenza artificiale, afferma Alexander. Tale formazione dovrebbe concentrarsi in via prioritaria sugli strumenti e sulle tecnologie di intelligenza artificiale più recenti, sulle loro implicazioni per la sicurezza informatica e sui ruoli specifici dei membri del team, nonché sulle minacce emergenti.
4. Creare una cultura della curiosità
Sebbene sia importante che i CISO attribuiscano priorità alla formazione in materia di IA all’interno dei propri team, è altrettanto importante incoraggiare i propri collaboratori a sperimentare l’IA, afferma Sadhir al SANS Institute.
«I leader devono guidare da dietro, non da davanti. Bisogna lasciare che i pensatori pensino. Molte idee provengono proprio dai membri del team.”Gatha Sadhir, responsabile globale della sicurezza informatica (CISO) di Carnival Corporation
«È necessario promuovere una cultura dell’apprendimento e dell’innovazione», afferma. «Nel campo dell’intelligenza artificiale, i leader devono guidare da dietro, non da davanti. Bisogna lasciare che i pensatori pensino. In effetti, molte idee provengono proprio dai membri del team. «Dovete concedere loro l’opportunità di coltivare questa capacità, affinché possano trovare le giuste soluzioni per il futuro».
Incoraggiare i team di sicurezza a sperimentare l’intelligenza artificiale comporta una serie di vantaggi. Ciò stimola tali team a esplorare nuove tecnologie e metodologie di intelligenza artificiale, che possono portare a nuove soluzioni per sfide complesse in materia di sicurezza. Inoltre, promuove lo sviluppo continuo delle competenze, incoraggia i team a collaborare e a condividere le proprie conoscenze e, in ultima analisi, aiuta i team di sicurezza a comprendere in che modo l’intelligenza artificiale possa supportare e allinearsi agli obiettivi e alle strategie organizzative più ampi. Può inoltre contribuire a migliorare l’esperienza complessiva del dipendente , un aspetto a cui i CISO e i dirigenti aziendali prestano sempre maggiore attenzione nell’attuale mercato del lavoro, caratterizzato da forti pressioni.
Mentre i CISO si orientano nel panorama in continua evoluzione dell’intelligenza artificiale, è importante che assumano un ruolo di leadership nella strategia dell’organizzazione in materia di intelligenza artificiale, afferma Kelly. «[I CISO] non svolgono più un ruolo di secondo piano», afferma. «Devono ricoprire un ruolo di leadership a tutti gli effetti e possedere la capacità di operare all’interno di un’organizzazione per anticipare le mosse dell’azienda e prendere le decisioni relative a un investimento strategico nell’intelligenza artificiale».
