Tra la rapida ascesa dell’intelligenza artificiale “ombra” ( ) e il numero crescente di truffe e attacchi informatici basati sull’intelligenza artificiale, questo è un momento cruciale (come, ad esempio, ieri) in cui le aziende devono dare priorità alla formazione in materia di intelligenza artificiale – e i CISO possono assumere un ruolo guida in tal senso.
Secondo un sondaggio condotto da su un campione di ISC2 tra gli oltre 15.000 responsabili della sicurezza informatica (CISO) e altri professionisti e responsabili delle decisioni nel campo della sicurezza informatica, il 90% dichiara di dover affrontare una carenza di competenze all’interno della propria organizzazione, mentre oltre la metà degli intervistati ritiene che tale carenza esponga la propria organizzazione a un rischio significativo. Qual è la principale lacuna nelle competenze segnalata all’organizzazione internazionale di formazione e certificazione nel settore della sicurezza informatica? IA.
I CISO svolgono un ruolo fondamentale nel promuovere la consapevolezza in materia di IA, nel rafforzare le competenze, nello sviluppo di programmi di formazione " " e nella definizione di linee guida per un utilizzo sicuro. Senza questi sforzi, minacce teoriche come la “shadow AI” – ovvero il ricorso da parte dei dipendenti a strumenti o app di intelligenza artificiale senza l’approvazione del reparto IT o, peggio ancora, l’ e a loro completa insaputa – diventano praticamente inevitabili, afferma Jordan Rae Kelly, amministratore delegato senior e responsabile della sicurezza informatica per le Americhe presso la società di consulenza gestionale FTI Consulting.
«Le aziende e i dipendenti troveranno il modo di utilizzare l’intelligenza artificiale e, se non saranno informati o non avranno una buona conoscenza di tali tecnologie, l’azienda perderà il controllo su come vengono utilizzate le proprie informazioni e su ciò che è in grado di proteggere», afferma. Ad esempio, un dipendente potrebbe utilizzare strumenti di analisi basati sull’intelligenza artificiale per analizzare i dati dei clienti, i dati di vendita o i feedback dei clienti, tutte operazioni che mettono a rischio i dati sensibili.
La visibilità su tutti i dispositivi di un’organizzazione è essenziale per tenere sotto controllo questo tipo di rischi, ma ciò fa ricadere l’intero onere e la responsabilità della sicurezza aziendale su reparti di sicurezza a corto di personale e sottoposti a forte pressione. Una sicurezza completa richiede un lavoro di squadra.
Per stare al passo con il panorama dell’intelligenza artificiale in continua evoluzione, i CISO devono dare priorità alla formazione a tutti i livelli: all’interno del proprio dipartimento, tra i dirigenti di alto livello ( ) e in tutta l’organizzazione. E ciò deve avvenire prima, durante e dopo lo sviluppo di politiche di governance dell’IA . Queste quattro linee guida rappresentano un buon punto di partenza.
1. Allinearsi alle priorità aziendali prima di affrontare le politiche in materia di intelligenza artificiale
Per poter definire in modo efficace le modalità di gestione dell’IA, i CISO devono innanzitutto acquisire una conoscenza approfondita del modello di business dell’organizzazione in materia di IA, afferma Ali Aqel, consulente di sicurezza informatica ed esperto in materia di sicurezza dell’IA presso la società di selezione del personale ALKU.
«I dipendenti troveranno il modo di utilizzare l’intelligenza artificiale e, se non saranno informati o non avranno una buona padronanza di tali tecnologie, l’azienda perderà il controllo.»Jordan Rae Kelly, amministratore delegato senior e responsabile della sicurezza informatica per le Americhe presso FTI Consulting
«Un CISO deve collaborare con il settore aziendale e con i diversi reparti dell’organizzazione tecnologica per comprendere quali carichi di lavoro verranno utilizzati per l’intelligenza artificiale, quali tipi di servizi verranno impiegati, quali funzionalità questi offriranno e quali siano i requisiti aziendali e funzionali necessari per l’intelligenza artificiale», afferma.
Nel contesto dell’utilizzo dell’intelligenza artificiale, i carichi di lavoro delle applicazioni comprendono le operazioni e le attività che le applicazioni basate sull’intelligenza artificiale devono eseguire; ad esempio, i carichi di lavoro relativi alle applicazioni di elaborazione e analisi dei dati possono includere attività quali la pulizia, l’organizzazione e la trasformazione di grandi set di dati, al fine di renderli idonei all’addestramento dei modelli di intelligenza artificiale. «Una volta acquisita una chiara comprensione di questo aspetto», afferma Aqel, «il team di sicurezza può iniziare a definire e armonizzare tutti i requisiti, gli standard, le politiche e i processi che ruotano attorno a tale requisito relativo all’intelligenza artificiale».
Comprendendo i modelli di business dell’organizzazione, i CISO possono iniziare a progettare programmi di formazione e sensibilizzazione sui rischi incentrati sulle minacce e sulle opportunità più rilevanti legate all’intelligenza artificiale ( ), afferma.
[Leggi anche: 4 priorità di leadership critiche per i CISO nell'era dell'IA]
Come ulteriore vantaggio, i CISO possono quindi rivolgersi ai propri direttori finanziari e ad altri dirigenti, illustrando in che modo tali programmi di formazione sull’intelligenza artificiale favoriscano la crescita del fatturato e/o prevengano le perdite. «Una delle competenze che manca all’interno della professione è proprio quella capacità di contestualizzare la sicurezza informatica… come fattore trainante per il business», osserva Andy Woolnough, vicepresidente esecutivo per gli affari aziendali di ISC2 , in una recente puntata di “” del podcast “ : Solution Spotlight” . «Deve riuscire a convincere il direttore finanziario; è proprio così semplice.»
2. Sensibilizzare i dirigenti attraverso un dialogo sullo sviluppo delle politiche in materia di intelligenza artificiale
I CISO svolgono un ruolo fondamentale nel sensibilizzare i vertici aziendali in merito ai rischi e ai benefici dell’intelligenza artificiale, e tali discussioni fondamentali devono avvenire nel momento in cui (o, meglio ancora, prima che) le organizzazioni inizino a elaborare le linee guida relative all’intelligenza artificiale, afferma Kelly. I CISO dovrebbero guidare tali discussioni incentrandole su una serie di aspetti relativi alla sicurezza.
«[I team di sicurezza] devono comprendere ciò che stanno traducendo, sviluppando e proteggendo.»Ali Aqel, consulente in materia di sicurezza informatica ed esperto in sicurezza dell’intelligenza artificiale, ALKU
«Dovrebbero affrontare argomenti importanti per il sistema di sicurezza informatica dell’azienda, quali la protezione dei dati, la proprietà intellettuale e il modo in cui vengono valutati i risultati dei modelli di intelligenza artificiale e viene effettuata la loro convalida», afferma. «Dovrebbero definire in modo molto preciso in che cosa consista la sperimentazione e dovrebbero svolgere un ruolo nelle valutazioni condotte dall’ su aspetti quali la parzialità e l’equità».
Promuovere queste discussioni è fondamentale perché aiutano i dirigenti a comprendere i rischi e i vantaggi dell’IA e, in ultima analisi, a ottenere il loro sostegno nella gestione dei rischi legati all’IA, afferma Aqel.
Man mano che l’intelligenza artificiale continua a evolversi, i CISO dovrebbero tenere informati i vertici aziendali con aggiornamenti sulle nuove minacce, sulle opportunità e sulle tendenze emergenti. Briefing o relazioni periodiche possono contribuire a mantenere informati i dirigenti.
3. Acquisire conoscenze di base sui fondamenti dell’intelligenza artificiale all’interno del team di sicurezza
I CISO devono garantire che il proprio team di sicurezza possieda una conoscenza di base delle funzionalità dell’intelligenza artificiale, afferma Aqel.
«Devono comprendere ciò che stanno traducendo, sviluppando e proteggendo. «Devono comprendere i diversi modelli di intelligenza artificiale, quali l’ , il machine learning, , il deep learning, l’elaborazione del linguaggio naturale e i modelli specializzati», afferma. «È fondamentale che il personale addetto alla sicurezza comprenda questi aspetti, poiché deve sapere come simulare i controlli di sicurezza previsti per tali modelli.»
Aqel raccomanda ai team di sicurezza di dedicare almeno quattro ore al mese, suddivise in sessioni di un’ora, alla formazione sull’intelligenza artificiale. Tale formazione potrebbe svolgersi in diverse modalità: sessioni a porte chiuse in cui i team approfondiscono un argomento specifico, corsi di formazione formali tramite risorse quali Pluralsight, oppure corsi di formazione o certificazioni offerti dal fornitore di soluzioni di intelligenza artificiale dell’organizzazione. È importante, aggiunge Aqel, che i team di sicurezza dispongano di un budget dedicato a sostenere la formazione dei dipendenti sulle tecnologie emergenti come l’intelligenza artificiale.
4. Promuovere la formazione sull’intelligenza artificiale a livello aziendale
La formazione di tutti i dipendenti sull’uso sicuro dell’intelligenza artificiale contribuisce a sviluppare la consapevolezza e la comprensione dei rischi specifici associati alle tecnologie di intelligenza artificiale – dagli attacchi avversari e dall’avvelenamento dei dati alle questioni etiche e alla conformità normativa . Ciò consente all’organizzazione di salvaguardare meglio i propri sistemi di intelligenza artificiale, proteggere i dati e garantire il rispetto delle normative di settore.
Contribuisce inoltre a infondere in tutti i dipendenti, a ogni livello, un senso di impegno: Ognuno fa parte della squadra quando si tratta di tutelare l’organizzazione.
Le aree di interesse nel programma di formazione di un’organizzazione variano a seconda dell’azienda, afferma Kelly. Ad esempio, molti sistemi di intelligenza artificiale utilizzati per l’analisi dei dati si basano su dati che spesso contengono informazioni sensibili o che consentono l’identificazione personale. I dipendenti dovrebbero ricevere una formazione sull’importanza di proteggere tali dati e di rispettare determinate normative, al fine di evitare violazioni e conseguenze legali.
Affinché tali programmi abbiano successo, secondo Kelly dovrebbero essere arricchiti da esempi applicabili ai dipendenti che seguono la formazione. Ciò potrebbe includere un’e-mail che sembra provenire dall’indirizzo CEO della propria azienda, in cui si richiede un bonifico urgente per una nuova iniziativa aziendale, avvisando i dipendenti dei possibili segnali di allarme (indizi rivelatori quali formulazioni insolite, incongruenze relative al mittente o richieste di informazioni sensibili) che indicano un tentativo di phishing , un caso di Business Email Compromise o altre forme di ingegneria sociale .
«Questo li aiuta a comprendere davvero nei minimi dettagli in che modo le decisioni relative ai rischi legati all’intelligenza artificiale si applicheranno concretamente all’organizzazione», afferma.
