Il fatto che moltissime aziende stiano implementando e investendo nell’intelligenza artificiale generativa (GenAI) non significa che ne comprendano effettivamente di cosa si tratti — né, cosa ancora più importante, in che modo tale tecnologia possa minacciare i ricavi e la reputazione del marchio. Con l’accelerazione dell’adozione dell’intelligenza artificiale, alimentata dalla promessa di una maggiore efficienza e di una riduzione dei costi, i consigli di amministrazione e i dirigenti di alto livello necessitano di una consulenza specialistica sui potenziali rischi per l’azienda.
Ecco una nuova figura professionale nel settore IT: il responsabile della sicurezza informatica (CISO) , che ricopre il ruolo di consulente in materia di rischi legati all’intelligenza artificiale (AI).
I dati evidenziano la necessità di questo tipo di orientamento. Da un recente studio della Wharton School intitolato “ ” ( ) è emerso che il 82% dei dirigenti aziendali utilizza l’intelligenza artificiale ogni settimana e che quasi la metà vi ricorre quotidianamente. Inoltre, secondo quanto emerso dallo studio, tre dirigenti su quattro stanno già riscontrando un ritorno positivo sui propri investimenti nell’intelligenza artificiale e la maggior parte prevede di aumentare tali investimenti nel prossimo futuro. Tuttavia, potrebbero non rendersi conto di quanto il panorama delle minacce si stia espandendo.
Secondo una nuova analisi condotta dal MIT Sloan e da Safe Security , quasi il 80% del ransomware “ ” è ora basato sull’intelligenza artificiale, come emerge da questa analisi, il che suggerisce un aumento significativo della velocità, del volume e della portata degli attacchi. Vi è poi la minaccia interna: oltre la metà dei dipendenti utilizza shadow AI, strumenti di intelligenza artificiale non autorizzati che mettono a rischio le aziende — secondo quanto emerge da un’indagine approfondita condotta nel 2024 dal colosso tedesco del software Software AG su un campione di 6.000 lavoratori negli Stati Uniti, nel Regno Unito e in Germania. (È probabile che tali cifre siano oggi ancora più elevate.) Inoltre, lo scorso anno il 13% delle aziende ha segnalato violazioni legate a modelli o applicazioni di intelligenza artificiale, secondo quanto riporta IBM.
Il CISO può essere la figura incaricata di informare in modo più regolare e completo i responsabili delle decisioni in merito a questi rischi per l’azienda, in crescita esponenziale, e in merito alle nuove misure di controllo o alle spese che potrebbero rendersi necessarie per ridurli al minimo.
Ripensare il ruolo del CISO in relazione ai rischi legati all’intelligenza artificiale
Si considerino i consulenti in materia di rischi legati all’intelligenza artificiale come figure professionali le cui responsabilità, oltre all’elaborazione e all’attuazione di strategie di sicurezza informatica, comprendono l’assistenza alla dirigenza nell’uso sicuro, protetto, conforme alle normative ed etico dell’intelligenza artificiale, al fine di promuovere gli obiettivi aziendali e rafforzare la fiducia dei clienti.
«Sebbene l’intelligenza artificiale sia ormai uno dei tre punti principali all’ordine del giorno di quasi tutte le riunioni del consiglio di amministrazione a cui partecipo, la maggior parte dei consigli di amministrazione continua a non comprenderla.»”David Gee, consulente in materia di rischi per il consiglio di amministrazione, ex CISO di HSBC e autore
In un certo senso, tale ruolo esiste già. Considerando che problemi di sicurezza informatica quali il ransomware, le violazioni dei dati e gli attacchi alla catena di approvvigionamento costano alle imprese statunitensi decine di miliardi di dollari, la sicurezza è diventata una grave preoccupazione per il mondo degli affari. Ormai sono moltissimi i CISO che presentano i propri rapporti ai membri del consiglio di amministrazione alcune volte all’anno.
Ciò non significa però che i CISO stiano spiegando in modo adeguato ciò che i membri del consiglio di amministrazione e i dirigenti di alto livello devono realmente sapere sull’intelligenza artificiale, né che i leader aziendali stiano comprendendo ciò che viene loro comunicato.
«Sebbene l’intelligenza artificiale sia ormai uno dei tre punti principali all’ordine del giorno di quasi tutte le riunioni del consiglio di amministrazione a cui partecipo, la maggior parte dei consigli di amministrazione continua a non comprenderla», ha affermato David Gee, consulente in materia di rischi per i consigli di amministrazione con sede a Sydney, ex CISO di HSBC e autore del nuovo libro <em>A Day in the Life of a CISO.</em> «Stanno assumendo amministratori con un background contabile e giuridico, non persone con esperienza nel campo della sicurezza informatica, dei dati o dell’intelligenza artificiale».
Molti CISO potrebbero inoltre affermare ai membri del consiglio di amministrazione e ai dirigenti che gli strumenti e i controlli convenzionali di sicurezza informatica sono adeguati per affrontare i rischi legati all’intelligenza artificiale, quando in realtà sono insufficienti, ha affermato Jim Routh, Chief Trust Officer di Saviynt ed ex CISO che fornisce consulenza ai consigli di amministrazione in materia di sicurezza informatica.
«Oggi, circa il 40% dei CISO afferma: “I controlli di cui disponiamo attualmente sono sufficienti per far fronte a questo cambiamento tecnologico”», ha dichiarato Routh. «Ritengo che ciò sia irresponsabile.»
Anche Gee rileva lo stesso problema.
«La maggior parte delle organizzazioni continua ad attenersi a linee guida elaborate prima ancora che la GenAI esistesse», ha affermato. «Le superfici di attacco sono raddoppiate — dai sistemi tradizionali ai nuovi punti di accesso basati sull’intelligenza artificiale, quali le interfacce di programmazione delle applicazioni (API), le pipeline di generazione potenziata dal recupero (RAG) e i modelli di controllo degli accessi — e la maggior parte dei CISO non le ha ancora mappate.» Le API, le pipeline RAG e i controlli di accesso ai modelli fungono da tessuto connettivo che collega i modelli di IA ai dati, alle applicazioni e agli utenti, e vengono sempre più considerati come vettori di attacco promettenti.
I rischi legati all’intelligenza artificiale e come affrontare le minacce più rilevanti
Routh ha affermato che il panorama delle minacce legate all’intelligenza artificiale si sta espandendo su tre fronti, ciascuno dei quali deve essere affrontato avvalendosi dell’intera gamma di competenze di un CISO. Tra questi figurano:
- Modelli di base —in cui i dipendenti rischiano di divulgare dati sensibili attraverso le richieste quotidiane.
- Applicazioni SaaS —— in cui i modelli linguistici sono integrati con un livello minimo di supervisione.
- Sviluppo software —, dove persone con diversi livelli di esperienza utilizzano l’intelligenza artificiale per generare codice potenzialmente vulnerabile.
La pratica di utilizzare modelli di intelligenza artificiale per creare applicazioni complete a partire da istruzioni redatte in inglese semplice, un approccio noto come “vibe coding”, è ciò che preoccupa maggiormente Routh, data l’importanza fondamentale che le applicazioni rivestono per le operazioni di un’organizzazione e per i suoi partner della catena di fornitura.
E non si limita alle app di programmazione. La crescente minaccia rappresentata dai progetti di intelligenza artificiale “nell’ombra” in generale sta destando preoccupazione tra gli esperti, come Wyatt Mayham, consulente capo in materia di intelligenza artificiale presso la Northwest AI Consulting. I dipendenti di tutte le unità aziendali stanno avviando progetti pilota di intelligenza artificiale non autorizzati o adottando un approccio di “ ”, acquistando strumenti di terze parti senza una valutazione della sicurezza, creando così punti ciechi che i CISO non possono permettersi di ignorare, ha affermato.
«Ogni settimana scopriamo nuove applicazioni basate sull’intelligenza artificiale in funzione in ambiente di produzione che il reparto IT non ha mai approvato», ha affermato Mayham. «Il problema non risiede solo negli strumenti di intelligenza artificiale in sé. «Sono proprio i dirigenti che non sanno nemmeno che questi strumenti esistano finché non si verifica un problema.»
Tale mancanza di visibilità rappresenta ben più di una semplice lacuna tecnica, ha affermato. Ciò rappresenta una lacuna nella governance, che espone le aziende al rischio di sanzioni normative, interruzioni delle attività e notizie che danneggiano l’immagine del marchio. Ecco perché, secondo gli esperti, i CISO devono passare dal ruolo di difensori che operano dietro le quinte a quello di “consulenti in materia di rischio” seduti al tavolo delle decisioni.
Parlare la lingua giusta
Molti CISO stanno ancora imparando a parlare dei rischi legati all’intelligenza artificiale in termini aziendali.
«Il problema non riguarda solo gli strumenti di intelligenza artificiale in sé. Sono proprio i dirigenti che non sanno nemmeno che questi strumenti esistano finché non si verifica un problema.”Wyatt Mayham, consulente capo in materia di intelligenza artificiale, Northwest AI Consulting
Timothy Youngblood, ex CISO presso McDonald’s e T-Mobile e attualmente CISO in residenza presso Astrix Security, ha affermato che troppi responsabili della sicurezza faticano a passare dal semplice parlare di tecnologia al dimostrare in che modo una sicurezza solida sostenga la crescita aziendale.
«Molti CISO sono talmente concentrati sugli aspetti tecnologici che a volte dimenticano che la ragione per cui ricoprono quel ruolo è che l’azienda sta cercando di incrementare i ricavi», ha affermato. «Il nostro compito è contribuire a garantire la continuità di tali entrate e parlare dei rischi in un linguaggio comprensibile a tutti i presenti nella sala.»
Tale approccio parte dal consiglio di amministrazione. I dirigenti non hanno bisogno di lezioni approfondite sul “model poisoning”, sull’iniezione di prompt nell’ o sull’applicazione di patch. Desiderano comprendere in che modo le attività di sicurezza tutelino il fatturato, i clienti e la reputazione.
Tale prospettiva più ampia assume un’importanza ancora maggiore man mano che le questioni relative alla governance vengono alla ribalta.
[Leggi anche: Una corsa alla diffusione della GenAI? La sicurezza inizia con una buona governance]
I consigli di amministrazione chiedono sempre più spesso ai CISO di operare una distinzione tra la sicurezza dell’IA ( , ovvero la difesa dei sistemi dagli attacchi) e la sicurezza dell’IA (AI safety, ovvero la garanzia che l’IA si comporti come previsto), ha affermato Kara Sprague, responsabile della sicurezza informatica ( CEO ) di HackerOne, un’azienda specializzata in programmi di bug bounty e nella divulgazione delle vulnerabilità . Ha avvertito che concentrarsi su una categoria piuttosto che sull’altra potrebbe impedire alle imprese di avere una visione d’insieme. I CISO devono assumere la guida dell’intera discussione, ha affermato.
«La nostra ricerca dimostra che circa il 84% dei CISO è considerato il soggetto responsabile in materia di rischi legati all’intelligenza artificiale nel campo della sicurezza e della protezione», ha affermato Sprague. «Pertanto, vi è un’aspettativa nei confronti del CISO, indipendentemente dal fatto che egli desideri o abbia la capacità di assumersi tale responsabilità.»
La sfida dei vertici aziendali: affrontare la cruda realtà sui rischi legati all’intelligenza artificiale
Per soddisfare tale aspettativa potrebbe essere necessario adeguare i bilanci. I sistemi di difesa esistenti non possono essere semplicemente adattati all’intelligenza artificiale. Al contrario, esperti come Routh hanno affermato che i fondi devono essere destinati alla governance dei dati, al monitoraggio dei modelli e alle misure di protezione in tempo reale.
“Non si comporti da guastafeste… In qualità di consulente in materia di rischi legati all’intelligenza artificiale, il Suo obiettivo è quello di essere la persona che offre soluzioni che consentano all’organizzazione di dire “sì” in tutta sicurezza.”Kara Sprague, CEO, HackerOne
Una sfida, come hanno entrambi sottolineato Routh e Youngblood, è che ciò richiede competenze trasversali quali la capacità di raccontare storie, di presentare argomenti e di analizzare, tanto quanto le competenze tecniche. Risk I consulenti devono saper persuadere in modo tale da mettere in evidenza le opportunità oltre che i rischi, hanno affermato.
Gee, il cui libro illustra l’evoluzione del ruolo dei responsabili della sicurezza nell’era dell’intelligenza artificiale, articola questo percorso attorno a tre imperativi: assumersene la responsabilità, prepararsi adeguatamente e coinvolgere le parti interessate.
«L’intelligenza artificiale non è una moda passeggera; è uno tsunami», ha affermato. «O ci si prepara ad affrontarla, oppure si viene travolti da essa.»
5 passi per diventare un consulente in materia di rischi legati all’intelligenza artificiale
In che modo, quindi, i CISO possono riuscire a fare tutto ciò? Ecco alcuni consigli degli esperti su come diventare un consulente in materia di rischi legati all’intelligenza artificiale:
- Sappiate di cosa disponete —I CISO devono effettuare un inventario delle modalità e dei luoghi in cui l’IA viene utilizzata all’interno dell’azienda, compresi i progetti non autorizzati di “IA ombra”. «Non si può davvero governare ciò di cui non si conosce l’esistenza», ha affermato Mayham. Ciò significa identificare i sistemi di intelligenza artificiale, monitorare i flussi di dati e individuare i punti ciechi prima che si trasformino in rischi, ha affermato.
- Definire l’uso responsabile —Una volta raggiunta la chiarezza, i CISO dovrebbero guidare il raggiungimento di un consenso sul significato di “uso responsabile” dell’IA. "Ciò varierà a seconda del settore e dei requisiti normativi, ma un uso responsabile dovrebbe fungere da stella polare per tutti gli altri sforzi", ha affermato Routh.
- Integrare la governance nell’attività aziendale —Successivamente, Routh e Youngblood hanno affermato che i CISO dovrebbero essere in grado di spiegare in che modo stanno integrando la governance — politiche in materia di IA, supervisione, responsabilità e conformità normativa — nelle operazioni quotidiane, affinché sia la sicurezza informatica che la sicurezza in generale diventino responsabilità fondamentali dell’azienda, anziché aspetti secondari.
- Stabilite le priorità —È inoltre importante evitare di voler fare tutto e di più. Sprague ha affermato che i CISO dovrebbero essere in grado di analizzare il panorama delle minacce, individuare i punti in cui l’intelligenza artificiale rappresenta il rischio maggiore per le priorità aziendali e spiegare in che modo intendono colmare specifiche lacune nella copertura dei rischi. «È una questione di ottimizzazione», ha affermato, «perché sappiamo tutti che i budget destinati alla sicurezza informatica non crescono allo stesso ritmo della superficie di attacco».
- Formare, formare, formare —Infine, secondo Youngblood e Sprague, i CISO devono tenere aggiornati e allineati i consigli di amministrazione e i dipendenti in merito al panorama delle minacce in continua evoluzione, alle misure di mitigazione adottate dall’azienda e al modo in cui queste si articolano con le priorità aziendali. Tali colloqui devono essere accurati e fornire ai membri del consiglio di amministrazione e ai dirigenti una comprensione chiara e completa di ciò che sta accadendo e delle ragioni alla base di tali eventi. «Se i CISO non assumono un ruolo guida nella formazione e si limitano invece a ripetere continuamente che va tutto bene, stanno rendendo un disservizio», ha aggiunto Routh.
Soprattutto, ogni discussione in seno al consiglio di amministrazione o a livello dirigenziale dovrebbe sottolineare come il piano di un CISO favorisca l’innovazione, anziché limitare le attività o dire «no», ha affermato Sprague.
«Non siate quella Debbie Downer che ripete sempre: “No, non possiamo farlo”», ha ammonito. «In qualità di consulente in materia di rischi legati all’intelligenza artificiale, il Suo obiettivo è quello di essere la persona che offre soluzioni che consentano all’organizzazione di dire “sì” in tutta sicurezza.»
