Il mese scorso è arrivata una buona notizia per le startup nei settori dell’ , dell’IA e del deep tech , quando Barclays ha annunciato il lancio di un nuovo “Innovation Hub” a Londra, un acceleratore per aziende tecnologiche sostenuto da Barclays Eagle Labs, l’ecosistema di incubatori della banca, e creato in collaborazione con una serie di giganti del settore tecnologico, tra cui Microsoft e Nvidia.
In qualità di principale istituzione finanziaria del Regno Unito, la Barclays è abituata a ricoprire questa posizione di potere, ma al tempo stesso precaria, finanziando l’innovazione in settori controversi come quello dell’intelligenza artificiale, pur mantenendo il proprio ruolo di consulente in materia di rischio per le aziende del Regno Unito e di tutto il mondo. E il CISO Andy Piper riveste un ruolo fondamentale in questo delicato equilibrio, in cui la posta in gioco è altissima.
In qualità di responsabile della sicurezza informatica (Chief Information Security Officer) presso su Barclays , contribuisce a identificare e supervisionare le soluzioni di intelligenza artificiale ( ) e automazione effettivamente utilizzate dalla banca. Ciò comporta la creazione di sistemi e protocolli per le strutture bancarie di in oltre 40 paesi e l’adempimento degli obblighi nei confronti di più di 74 autorità di regolamentazione.
Certo, il settore dei servizi finanziari ricorre al trading algoritmico da oltre un decennio, pertanto ha una certa dimestichezza ed esperienza con l’intelligenza artificiale – a condizione che sia sicuro, trasparente e ben regolamentato, osserva Piper. Ciononostante, il suo entusiasmo ha i suoi limiti. In particolare, egli esprime preoccupazione per il modo in cui l’intelligenza artificiale sta ridefinendo il panorama della sicurezza informatica in modi ben distinti e radicali.
Piper è una dei 23 leader di spicco nel settore dell’IT e della sicurezza che condividono le proprie esperienze concrete e i propri punti di vista nel nuovo rapporto online “ ” “The Interconnection of People, Process and Technology”, basato su interviste approfondite condotte con questi dirigenti del settore provenienti da tutto il mondo.
Nel seguente estratto – e in altri che seguiranno nelle prossime settimane – Focal Point vi offre un assaggio delle competenze di altissimo livello che troverete nel libro, realizzato da Chief Disruptor, un’ Community a con sede nel Regno Unito riservata agli innovatori del mondo degli affari e della tecnologia, in collaborazione con Tanium, fornitore leader di soluzioni di sicurezza informatica e di per la gestione autonoma endpoint (nonché editore di questa rivista).
(La presente intervista è stata modificata per motivi di spazio e chiarezza.)
ANDY PIPER. . .
Per quanto riguarda le competenze più importanti che un CISO deve possedere in quest’epoca in cui i progressi — intelligenza artificiale, automazione, tecnologia quantistica, ecc. — si susseguono a un ritmo frenetico:
La competenza che ritengo più utile è la capacità di comunicare efficacemente, poiché una parte fondamentale del mio ruolo consiste nel dialogare con le autorità di regolamentazione o i consigli di amministrazione – quando non sono esperti di tecnologia.
“Non comprendono necessariamente il gergo informatico estremamente tecnico, né dovrebbero farlo. I consigli di amministrazione prestano attenzione al modo in cui la sicurezza informatica influisce sugli obiettivi strategici, sui rischi e sulle operazioni aziendali.”
È fondamentale che un CISO sia in grado di illustrare argomenti complessi relativi alla sicurezza informatica a soggetti interessati non esperti in materia utilizzando termini a loro comprensibili. Non è detto che comprendano il gergo informatico estremamente tecnico , né dovrebbero farlo. I consigli di amministrazione prestano attenzione all’impatto della sicurezza informatica sugli obiettivi strategici, sui rischi e sulle operazioni aziendali. Il mio ruolo consiste nello spiegare [il rischio] e metterlo in relazione con le loro priorità.
In merito all’impatto delle normative di conformità sui servizi finanziari:
Una delle attività principali a cui dedico la mia giornata è la gestione delle autorità di regolamentazione: oltre 74 , secondo l’ultimo conteggio. Ciascuna di esse presenta requisiti di sicurezza informatica specifici, alcuni dei quali si sovrappongono, mentre altri sono in conflitto tra loro. Gestirli e garantire la conformità a tutte queste norme rappresenta un impegno a tempo pieno. Anche le modalità di segnalazione degli incidenti variano: alcune autorità di regolamentazione richiedono la notifica entro pochi minuti, altre entro poche ore, mentre altre ancora solo quando si verifica un aggiornamento significativo.
«Se un’autorità di regolamentazione propone un libro bianco che un giorno potrebbe trasformarsi in un regolamento, ci assicuriamo di comprenderlo a fondo e, auspicabilmente, di orientarlo in una direzione che ci sia utile.”
Disponiamo di processi di analisi prospettica volti a prevedere quando tali normative potrebbero subire modifiche. Ci chiediamo: in cosa consiste il cambiamento? E in che modo possiamo adeguare la nostra tecnologia per anticipare tale sviluppo? Se un’autorità di regolamentazione propone un libro bianco che un giorno potrebbe trasformarsi in un regolamento, ci assicuriamo di comprenderlo a fondo e, auspicabilmente, di orientarlo in una direzione che ci sia utile. Siamo inoltre tenuti a incontrare le autorità di regolamentazione con cadenza trimestrale, semestrale o annuale. Comunicare in modo efficace con le autorità di regolamentazione è di per sé una competenza fondamentale. Ancora una volta, si tratta di tradurre realtà tecniche in narrazioni accessibili e accurate.
La regolamentazione è un enorme, enorme… stavo quasi per dire un peso. Non è un peso. È… è una sfida, qualcosa che dobbiamo affrontare, e se non lo facciamo nel modo giusto, potrebbe avere un impatto enorme sull’organizzazione.
In merito al problema dei chatbot basati sull’intelligenza artificiale:
L'uso dell'IA generativa ha registrato una crescita esponenziale, e tale ritmo sta creando un divario che tutti noi stiamo cercando di colmare. Ormai è presente ovunque. Quasi tutti i fornitori con cui parlo mi dicono: «Ehi, abbiamo un nuovo chatbot basato sull’intelligenza artificiale di :». In molti casi, questo rappresenta un problema per me. Spesso siamo costretti a disattivare gli strumenti di terze parti che utilizzano l’intelligenza artificiale poiché non siamo in grado di verificarne il livello di sicurezza, il che ha un impatto diretto sulla conformità. Pertanto, la velocità rappresenta attualmente una sfida significativa.
«Desidero che il mio team sia considerato un fattore di sostegno, non un ostacolo.”»
Ci sono poi due aspetti da considerare: il primo è: «Come si garantisce la sicurezza dell’IA?» e «In che modo si utilizza l’intelligenza artificiale per proteggere altre cose?» Stiamo ponendo domande difficili: dove finiscono i dati inseriti dagli utenti, vengono archiviati, vengono utilizzati per addestrare i modelli e possiamo fidarci dei risultati che ne derivano? Non desideriamo che dati sensibili, quali le informazioni di identificazione personale (PII) o i dati proprietari relativi al marchio, vengano inseriti in strumenti che non siamo in grado di controllare o verificare appieno. Al contrario, l’intelligenza artificiale ci aiuta a vagliare miliardi di eventi di sicurezza quotidiani per identificare le minacce reali, mettendo in evidenza il valore operativo dell’automazione.
Allo stesso modo, dal punto di vista delle minacce, molti degli elementi che abbiamo insegnato ai nostri dipendenti a individuare sono ormai scomparsi. Il messaggio di phishing generato dall’intelligenza artificiale è quasi perfetto: la grammatica, il tono e la struttura. Ciò sta rendendo obsoleta la formazione tradizionale sulle minacce via e-mail. L’avvelenamento dei modelli rappresenta un’altra minaccia concreta, in quanto soggetti malintenzionati influenzano il comportamento dei sistemi di intelligenza artificiale.
In merito al miglioramento dell’immagine dei team di sicurezza:
La mia aspirazione è quella di ridefinire la percezione della sicurezza, per allontanarmi dalla vecchia concezione del CISO come “la Casa del No”. Desidero che il mio team sia considerato un fattore di sostegno, non un ostacolo. Ciò significa collaborare con l’azienda, allineando i nostri obiettivi e le nostre strategie. La risposta standard da fornire all’azienda dovrebbe essere: «Sì, a condizione che siano in atto i controlli adeguati».
PER SAPERNE DI PIÙ:
Scoprite le riflessioni di altri 22 leader nel settore IT e della sicurezza presso WPP, Spotify, Unilever, NHS Digital e altre organizzazioni, in “” “The Interconnection of People, Process and Technology”.
