La maggior parte delle organizzazioni esegue ancora l’IT e la sicurezza su ticket, dashboard e cicli di patch programmati. Per anni, questo è stato abbastanza buono. Il problema è che l’ambiente è cambiato. Le risorse sono in continuo mutamento. Le identità non sono più solo umane. I sistemi di IA prendono decisioni in tempo reale. E gli aggressori si stanno adattando altrettanto rapidamente. Quello che prima era abbastanza veloce ora è già troppo tardi.
Se stai ancora aspettando un ticket, un avviso o il risultato di una scansione per dirti che c'è qualcosa che non va, il problema si è già spostato. Questo è il divario che le organizzazioni stanno avvertendo in questo momento. Non una mancanza di strumenti, ma una discrepanza tra la velocità con cui l’ambiente si muove e il modo in cui IT e sicurezza sono progettati per rispondere. Colmare questo divario richiede più di reazioni rapide. Richiede un diverso modello operativo.
Abbiamo sempre più agenti di IA che agiscono all’interno dei nostri ecosistemi, a cui vengono concessi diversi livelli di autorità e autonomia. Disponiamo di vaste aree di endpoint in continuo mutamento. E abbiamo anche l'IA agentica sul lato degli attacchi, adattandosi per sfruttare le vulnerabilità più velocemente di quanto i sistemi automatizzati, con i loro parametri definiti dall'uomo, possano tenere il passo.
Lo stato finale dell'IT, sia dal punto di vista operativo che della sicurezza informatica, deve essere l'IT autonomo.
L'IT autonomo è un modello operativo in cui i sistemi comprendono i risultati, convalidano il loro stato e agiscono senza aspettare sempre l'intervento umano. Non si tratta solo di automatizzare il service desk con agenti IA che possono cancellare i ticket più velocemente. Si tratta di un concetto abbastanza nuovo, a portata di mano, che va oltre l’automazione statica, consentendo agli ambienti IT e di sicurezza di auto-diagnosticare, auto-ripararsi e migliorare nel tempo grazie a informazioni affidabili e in tempo reale.
Questa agenzia senza precedenti è un’evoluzione necessaria e inizia con la visibilità alla sua base. Si muove attraverso stati reattivi, proattivi e preventivi per spostare l’enfasi dalla reazione a ciò che è rotto alla prevenzione della rottura. Ma prevenire i problemi che si possono prevedere non è sufficiente, perché i sistemi di intelligenza artificiale sono molto meno prevedibili rispetto agli ambienti IT tradizionali. Per affrontare la nuova era, sia i team di sicurezza informatica che quelli IT devono evolversi, non solo dalla risposta umana all'automazione guidata dall'uomo, ma ai sistemi che si gestiscono da soli.
Visibilità: la sfida di base della gestione delle risorse
La domanda fondamentale di ogni programma di sicurezza informatica e IT è: cosa sto gestendo? Devi sapere cosa stai gestendo prima di poterlo proteggere. La sfida sono i silos, creati non solo dalla tecnologia, ma dai processi e dalle persone. Quando lavoravo in IT Ops, ad esempio, il mio ambito di lavoro era quello delle applicazioni. Il nostro team ha creato i pacchetti e ci siamo concentrati sull'applicazione giusta. Gli endpoint su cui funzionavano erano di proprietà di un team diverso, quindi la nostra visibilità in quel livello era limitata.
Ognuno faceva il suo lavoro. Il problema era che i posti di lavoro non si allineavano. Quindi, nel corso degli anni, si sono sviluppati silos perché diversi team non lavoravano di concerto. E la mancanza di un approccio centralizzato o di un'unica fonte di verità porta alla creazione di soluzioni alternative ad hoc, fogli di calcolo non autorizzati e soluzioni nastrate.
Questa è la sfida dell'inventario, ma il problema è più che mettere ogni dispositivo in un elenco. Le persone si avvicinano a un inventario delle risorse nel modo in cui potresti contare il contenuto del tuo frigorifero. Ma gli asset non sono statici come un jar di senape: sono molto dinamici. Hanno un ciclo di vita che inizia con l’approvvigionamento. Si dispone di un dispositivo di cui è stato eseguito il provisioning in un determinato modo di base e nel tempo l'utente può richiedere altre applicazioni o privilegi. Gli utenti possono modificare alcune configurazioni o caricare alcuni software non approvati per conto proprio. E poi, alla fine, è necessario un processo per smantellare le risorse al termine del loro ciclo di vita.
La visibilità riguarda la consapevolezza in tempo reale di tre aspetti: l'inventario completo delle risorse, le loro configurazioni e il loro stato attuale.
Quando un'organizzazione cerca di lavorare con tutti i suoi endpoint in modo olistico, spesso si rende conto di non poterlo fare. Dite che l'organizzazione di sicurezza vuole mettere EDR su ogni endpoint. Si rivolgono a IT Ops per esaminare il database di gestione delle modifiche e l'inventario delle risorse, che non è in tempo reale e quindi non è aggiornato. Questa mancanza di visibilità riduce i processi di base come le patch e compromette gravemente la risposta agli incidenti.
Questo perché la visibilità riguarda la consapevolezza in tempo reale di tre aspetti: l'inventario completo delle risorse, le loro configurazioni e il loro stato attuale. Al di là dell'inventario, le configurazioni ti dicono come le cose sono destinate a funzionare, e una visione dello stato attuale ti mostra la realtà. Il divario tra i due è dove vive il rischio.
Da reattiva a autonoma in quattro fasi
Con la visibilità come punto di partenza fondamentale, le organizzazioni possono Benchmark e migliorare la loro posizione in materia di gestione delle risorse, governance e sicurezza informatica. In questa nuova era dell'IA, ci sono quattro fasi dell'IT e della sicurezza informatica, con la fase finale, l'autonomia, che incorpora l'IA per creare sistemi autogestiti che funzionano alla velocità delle macchine e con informazioni dettagliate sulle macchine, piuttosto che su scala umana.
Le quattro fasi sono:
- Reattivo. Con la visibilità come base, si entra nella prima fase: fondamentalmente, quando ci si rende conto che qualcosa è rotto o che si sta verificando un incidente, si va a risolverlo. Stai aspettando un avviso o un ticket. Gli strumenti moderni riducono i tempi di risposta da giorni a minuti a secondi, consentendo ai team di muoversi così velocemente da poter essere considerati proattivi. Ma stanno ancora aspettando di scoprire cosa si è rotto, reagendo a un evento che si è già verificato. Alla velocità con cui gli incidenti accadono oggi, non è sostenibile.
- Proattivo. Qui iniziamo a vedere un cambiamento. Non stiamo aspettando che emerga un problema prima di agire. Il sistema rileva prima il problema e lo risolve mentre è ancora piccolo. Cattura il degrado delle prestazioni, la configurazione errata o la deriva prima che si trasformi in un'interruzione o in un ticket. Ma proattivo non è prevenzione. Stai ancora affrontando i problemi; li stai affrontando prima e con più contesto.
- Preventivo. Questo è il passo che ci fa uscire completamente dalla mentalità reattiva. Ora l’intelligence e la politica impediscono che il problema si verifichi. Non stai risolvendo in modo proattivo un problema prima che abbia un impatto sull'azienda; stai facendo in modo che il problema non esista mai. Questo funziona solo quando capisci i modelli abbastanza bene da Enforce il giusto comportamento in modo continuo, non su un programma e non dopo il fatto. Il difetto è che puoi solo prevenire potenziali problemi di cui sei a conoscenza. Dovete prevedere lo snafu e stabilire i mezzi per Detect e porvi rimedio.
- Autonomo. Ora le cose cambiano radicalmente. Invece di essere umani a definire ogni passo, ogni albero decisionale, ogni “se questo, allora quello”, dai a un sistema guidato dall’IA un obiettivo e dei guardrail e impara come arrivare a una soluzione. Le risorse sanno come dovrebbero comportarsi e possono convalidarsi e correggersi, a volte segnalando un problema, a volte risolvendolo direttamente e tutto in modo verificabile. Ciò sposta gli esseri umani dal triage costante alla supervisione, alla politica e alla gestione delle eccezioni.
L'IT autonomo sposta gli esseri umani dal triage costante alla supervisione, alla gestione delle policy e delle eccezioni.
Un vantaggio fondamentale dell'autonomia è che quando qualcosa va storto e viene risolto, l'intuizione si propaga nell'ambiente piuttosto che sparire in un campo in un rapporto di incidente o nella testa di un ingegnere di sistema. Il sistema migliora nel tempo. Questa è la differenza tra automazione e autonomia: l'automazione segue le istruzioni. L’autonomia persegue i risultati.
L’autonomia è essenziale nell’era dell’AI
La scala, la velocità e il dinamismo dei moderni ambienti IT hanno raggiunto un punto in cui gli esseri umani semplicemente non riescono a tenere il passo. In un mondo guidato dall'intelligenza artificiale, la maturità non è più definita dal modo in cui le persone seguono i processi o dalla velocità con cui i team possono rispondere. È definito dal fatto che i sistemi possano comprendere il loro ambiente, convalidare le proprie condizioni e agire in tempo reale.
Questa visione non produce un mondo completamente automatizzato. Gli esseri umani continueranno a fissare obiettivi, fornire un contesto, definire un rischio accettabile e considerare le implicazioni etiche di una pratica o di un rischio. Le macchine eccelleranno in ciò che fanno molto meglio di noi: convalida ripetitiva, correzione istantanea e apprendimento su larga scala, da ogni risultato su un'intera flotta.
Questo è il passaggio dalla reazione ai problemi alla loro prevenzione e, in definitiva, ai sistemi in grado di gestirsi da soli entro limiti definiti. La visibilità è la base. Senza di esso, nient’altro funziona. Da lì, l'obiettivo non è quello di costruire esseri umani più veloci.
Si tratta di costruire sistemi che non hanno più bisogno di aspettare.
