L’intelligenza artificiale ha modificato la velocità, la portata e la complessità dei rischi informatici. Gli autori degli attacchi possono utilizzare l’IA per automatizzare le attività di ricognizione, individuare le vulnerabilità, sviluppare campagne di ingegneria sociale convincenti e accelerare alcune fasi del processo di attacco. Allo stesso tempo, le organizzazioni stanno implementando sistemi di IA generativa e agentica in grado di accedere a dati sensibili, applicazioni aziendali e flussi di lavoro critici.
Conoscere il proprio livello di maturità in materia di sicurezza significa capire se il personale, i processi e la tecnologia sono in grado di prevenire, rilevare, rispondere e riprendersi da queste minacce. Significa anche stabilire se la propria organizzazione possa adottare l’IA senza creare a sua volta rischi non gestiti.
Un programma di sicurezza che due anni fa sembrava maturo potrebbe non essere più adeguato alle sfide future.
La maturità in materia di sicurezza misura la coerenza e l’efficacia con cui un’organizzazione gestisce i rischi legati alla sicurezza informatica. Non si limita a verificare se siano stati acquistati strumenti di sicurezza, ma esamina se i controlli siano adeguatamente governati, implementati, testati e migliorati.
Un’organizzazione matura non si limita a reagire quando qualcosa va storto. Conosce bene le proprie risorse, i dati, le identità, i fornitori e le vulnerabilità. Le responsabilità in materia di sicurezza sono chiaramente definite, i controlli vengono testati regolarmente e le decisioni si basano sulle informazioni aggiornate relative alle minacce e ai rischi aziendali.
La maturità della sicurezza comprende in genere:
La domanda fondamentale non è se un'organizzazione disponga di controlli di sicurezza, ma se tali controlli funzionino in modo efficace e coordinato quando sottoposti alle pressioni del mondo reale.
L'IA ha cambiato entrambi i lati dell'equazione della sicurezza informatica. Sta fornendo agli aggressori nuovi modi di operare, offrendo al contempo ai difensori l'opportunità di analizzare le informazioni e rispondere più rapidamente.
Il National Cyber Security Centre (NCSC) del Regno Unito avverte che l’IA sta già aiutando gli aggressori a individuare le vulnerabilità e a condurre ricognizioni a una velocità e su una scala maggiori. Attività che un tempo richiedevano tempo e competenze considerevoli possono essere sempre più accelerate o parzialmente automatizzate, riducendo il tempo a disposizione dei difensori per identificare e contenere un attacco. Leggi la valutazione dell’NCSC sull’IA e la difesa informatica.
L’IA non sta facendo scomparire i metodi di attacco consolidati. Li sta rendendo, invece, più veloci, più economici e più accessibili.
L’IA generativa è in grado di produrre e-mail, messaggi, documenti e siti web di phishing credibili, senza gli errori ortografici o le formulazioni goffe che in passato smascheravano molte campagne. Gli autori degli attacchi possono adattare rapidamente i contenuti a un determinato dipendente, fornitore, dirigente o organizzazione.
Anche gli audio e i video generati dall’IA rendono l’usurpazione d’identità più convincente. I dipendenti non possono più fare affidamento esclusivamente sull’aspetto professionale di un messaggio o sul fatto che chi chiama abbia la voce di qualcuno che conoscono.
L’IA può aiutare gli autori degli attacchi a elaborare grandi quantità di informazioni disponibili pubblicamente, analizzare la documentazione tecnica e identificare potenziali punti deboli lungo tutta la superficie di attacco esterna di un’organizzazione.
Ciò rende le finestre di esposizione sempre più importanti. Una vulnerabilità o una configurazione errata che rimane inosservata per settimane può ora essere identificata e presa di mira molto prima.
L'IA può fornire assistenza nella creazione di script, nello sviluppo di malware e in alcune fasi della catena di attacco. Gli autori di attacchi meno esperti possono utilizzarla per portare a termine attività che in precedenza richiedevano conoscenze specialistiche, mentre i gruppi già affermati possono impiegarla per ampliare la portata delle proprie operazioni.
Gli autori degli attacchi hanno ancora bisogno di un punto di accesso all’organizzazione, ma l’IA può aiutarli a individuare e sfruttare tale punto in modo più efficiente.
L’IA non sta solo cambiando le minacce esterne, ma sta introducendo nuovi rischi interni.
I dipendenti potrebbero inserire informazioni sensibili in strumenti di IA pubblici senza autorizzazione. I team aziendali potrebbero collegare applicazioni di IA ai dati aziendali prima che i team di sicurezza li abbiano esaminati. I modelli di IA possono essere esposti a iniezioni di prompt, avvelenamento dei dati, integrazioni non sicure e autorizzazioni eccessive.
L’IA agentica aumenta ulteriormente questo rischio. A differenza di un chatbot convenzionale che genera una risposta, un agente di IA può essere in grado di accedere alle applicazioni, recuperare dati, creare file, inviare comunicazioni o avviare processi aziendali. Se quell’agente viene compromesso, manipolato o configurato in modo errato, le conseguenze possono andare ben oltre una risposta imprecisa.
I controlli di sicurezza tradizionali rimangono essenziali, ma l’IA sta mettendo in luce i punti deboli nel modo in cui vengono gestiti e interconnessi.
Un’organizzazione potrebbe disporre di protezione degli endpoint ma non avere una visibilità affidabile sui dispositivi non gestiti. Potrebbe utilizzare l’autenticazione a più fattori pur consentendo l’accumulo di privilegi eccessivi. Potrebbe eseguire scansioni alla ricerca di vulnerabilità ma avere difficoltà a identificare quali esposizioni creino un percorso di attacco praticabile verso le risorse critiche.
L’adozione dell’IA crea lacune simili. L’organizzazione potrebbe disporre di una politica generale di utilizzo accettabile, ma non di regole specifiche per l’IA. Potrebbe approvare una piattaforma di IA senza comprendere dove vengano archiviati i prompt, i documenti caricati e i risultati generati. Potrebbe creare agenti di IA senza applicare gli stessi controlli di identità e accesso previsti per gli utenti umani.
La maturità della sicurezza nell’era dell’IA dipende quindi da due capacità correlate:
Ignorare uno dei due aspetti comporta una lacuna significativa.
Sebbene i diversi modelli utilizzino una terminologia diversa, la maggior parte delle organizzazioni può riconoscersi in cinque fasi generali.
Livello 1: Reattivo
Le attività di sicurezza sono in gran parte guidate da incidenti, audit o scadenze urgenti di conformità. La visibilità delle risorse è incompleta, le responsabilità non sono chiare e i diversi strumenti operano in modo indipendente. L’uso dell’IA potrebbe già essere in atto senza una supervisione centrale.
In questa fase, l’organizzazione non dispone di un quadro affidabile della propria esposizione al rischio né della propria capacità di risposta.
Livello 2: Fondamentale
Sono in atto controlli di sicurezza di base, tra cui la protezione degli endpoint, i backup, la scansione delle vulnerabilità e l’autenticazione a più fattori. Esistono politiche, ma l’implementazione potrebbe essere incoerente e i test rimangono limitati.
L’IA potrebbe essere inclusa nelle politiche di utilizzo accettabile, ma l’organizzazione non ha ancora stabilito un inventario completo di strumenti, modelli, agenti e integrazioni di IA.
Livello 3: Gestito
I processi di sicurezza sono documentati, misurati e allineati al rischio aziendale. L’organizzazione mantiene una migliore visibilità su risorse, identità, dati e fornitori. I piani di risposta agli incidenti vengono testati e il monitoraggio della sicurezza copre i sistemi critici.
L’adozione dell’IA segue un processo di approvazione, con responsabilità definite, valutazioni dei rischi e controlli relativi a dati, accessi e piattaforme di terze parti.
Livello 4: Adattivo
Le informazioni sulle minacce, i dati sull’esposizione, la criticità delle risorse e il rischio legato alle identità vengono combinati per guidare le decisioni. L’organizzazione convalida continuamente i propri controlli e assegna priorità alle misure correttive in base ai percorsi di attacco che presentano il maggior rischio aziendale.
L’IA viene utilizzata con cautela nell’ambito delle operazioni di sicurezza per migliorare l’analisi, la definizione delle priorità e la risposta, mantenendo la supervisione umana per le decisioni importanti.
Livello 5: Predisposizione all’IA e resilienza
La sicurezza è integrata nella strategia aziendale, nella progettazione tecnologica e nell’adozione dell’IA. I controlli si adattano al mutare delle minacce e dei sistemi. I modelli e gli agenti di IA sono gestiti per tutto il loro ciclo di vita e l’accesso si basa sul principio del privilegio minimo.
L’organizzazione verifica regolarmente se il proprio personale, i propri processi e la propria tecnologia sono in grado di resistere ad attacchi basati sull’intelligenza artificiale. Le lezioni apprese da esercitazioni, incidenti e informazioni sulle minacce vengono utilizzate per migliorare continuamente la resilienza.
Raggiungere questo livello non significa che l’organizzazione sia invulnerabile. Significa che è in grado di identificare i cambiamenti, rispondere in modo efficace e riprendersi senza dover ricostruire il proprio programma di sicurezza durante una crisi.
Una valutazione della maturità in materia di sicurezza informatica dovrebbe partire da prove concrete, non da supposizioni. Le politiche e i diagrammi dell’architettura sono utili, ma non dimostrano che i controlli siano implementati correttamente o che funzioneranno in modo efficace durante un attacco.
Una valutazione significativa dovrebbe rispondere a diverse domande.
La vostra organizzazione dovrebbe disporre di un inventario accurato di risorse, applicazioni, servizi cloud, identità, dati sensibili e connessioni esterne. Questo dovrebbe ora includere piattaforme di IA, funzionalità di IA integrate, identità delle macchine, modelli, agenti e i sistemi a cui possono accedere.
Se i dipendenti riescono ad adottare strumenti di IA più velocemente di quanto l’organizzazione riesca a identificarli, la “shadow AI” diventa un problema di visibilità e sicurezza dei dati.
I tradizionali conteggi delle vulnerabilità forniscono solo una visione parziale della situazione. Le organizzazioni devono comprendere quali punti deboli sono esposti all’esterno, sfruttabili e collegati a sistemi critici o identità privilegiate.
I programmi di sicurezza maturi stabiliscono le priorità delle esposizioni in base al contesto aziendale e ai possibili percorsi di attacco, anziché cercare di trattare ogni risultato tecnico allo stesso modo.
L’IA sta aumentando il numero di identità non umane che operano all’interno degli ambienti aziendali. Account di servizio, API, flussi di lavoro automatizzati e agenti di IA possono tutti richiedere l’accesso a sistemi sensibili.
Ogni identità dovrebbe avere un titolare chiaro, uno scopo definito e le autorizzazioni minime necessarie. Gli accessi devono essere rivisti man mano che cambiano i sistemi, i ruoli e i casi d’uso dell’IA.
Gli attacchi assistiti dall’IA possono progredire più rapidamente, il che rende la velocità di rilevamento sempre più importante. Le organizzazioni dovrebbero verificare se il proprio monitoraggio copre endpoint, identità, reti, ambienti cloud, applicazioni e dati critici.
Gli avvisi devono inoltre essere collegati a un processo di risposta. Generare un maggior numero di avvisi non migliora la maturità se il team di sicurezza non è in grado di analizzarli e agire rapidamente.
Un piano di risposta agli incidenti dovrebbe essere messo in pratica in base a scenari realistici. Questi potrebbero includere una campagna di compromissione delle e-mail aziendali generata dall’IA, il furto di credenziali privilegiate, un’integrazione IA compromessa o un agente che compie azioni non intenzionali.
I test aiutano a identificare responsabilità poco chiare, limitazioni tecniche e ritardi nel processo decisionale prima che questi possano influire su un incidente reale.
L’organizzazione dovrebbe sapere:
Il quadro di riferimento del NIST per la gestione dei rischi legati all’IA fornisce una struttura utile per la gestione dei rischi legati all’IA, ma deve essere integrato nel più ampio programma di sicurezza informatica dell’organizzazione.
Un’organizzazione potrebbe dover rivalutare la propria maturità in materia di sicurezza se:
Queste lacune raramente si presentano in modo isolato. Ad esempio, una scarsa visibilità delle risorse indebolisce contemporaneamente la gestione dell’esposizione, il rilevamento, la risposta agli incidenti e la conformità normativa.
Integrity360 aiuta le organizzazioni a valutare la loro attuale situazione di sicurezza, a identificare le lacune più significative e a definire una roadmap concreta per il miglioramento.
I nostri esperti esaminano la sicurezza a livello di persone, processi e tecnologia, aiutandovi a capire non solo quali controlli sono presenti, ma anche se sono progettati, implementati e testati in modo appropriato.
Integrity360 è in grado di valutare le vostre attuali capacità di sicurezza rispetto a framework riconosciuti, requisiti normativi e obiettivi aziendali. Il risultato è una visione chiara dell’attuale livello di maturità, delle lacune prioritarie e dei passi necessari per raggiungere il livello desiderato.
I nostri specialisti aiutano le organizzazioni a comprendere le implicazioni di sicurezza derivanti dall’adozione dell’IA, a stabilire una governance adeguata e a proteggere i dati, le identità e i sistemi collegati agli strumenti di IA.
Ciò include la valutazione dei casi d’uso dell’IA, l’analisi degli accessi e dei flussi di dati, l’identificazione dell’IA “ombra” e la garanzia che l’innovazione non proceda a un ritmo più veloce rispetto alla capacità dell’organizzazione di gestire i rischi.
Integrity360 aiuta le organizzazioni ad andare oltre il semplice conteggio delle vulnerabilità, identificando e dando priorità alle esposizioni che potrebbero realisticamente essere sfruttate a fini malevoli. La criticità delle risorse, l’esposizione esterna, il rischio legato alle identità, i percorsi di attacco e le informazioni disponibili sulle minacce possono essere integrati per guidare le azioni correttive.
I test di penetrazione, i test di sicurezza delle applicazioni, le revisioni delle configurazioni e altre attività di verifica consentono di accertare se i controlli resistono a tecniche di attacco realistiche. I test sono particolarmente importanti poiché l’intelligenza artificiale accelera l’individuazione delle vulnerabilità e riduce il tempo che intercorre tra l’identificazione e lo sfruttamento.
Attraverso la nostra divisione specializzata in gestione delle identità, Integrity360 può aiutare le organizzazioni a rafforzare la gestione delle identità e degli accessi, la governance e l’amministrazione delle identità, la gestione degli accessi privilegiati e la gestione delle identità e degli accessi dei clienti.
Ciò assume un’importanza sempre maggiore, poiché gli agenti di intelligenza artificiale e le identità delle macchine ampliano il numero di entità in grado di accedere a dati sensibili e di avviare azioni.
I servizi di rilevamento e risposta gestiti di Integrity360 forniscono monitoraggio continuo, indagini condotte da esperti e risposta rapida. Queste funzionalità aiutano le organizzazioni a rilevare attività sospette in ambienti complessi e a reagire prima che un’intrusione si trasformi in un incidente grave.
I nostri specialisti nella risposta agli incidenti aiutano le organizzazioni a sviluppare, rivedere e mettere in pratica piani di risposta. I contratti di assistenza per la risposta agli incidenti garantiscono inoltre un accesso rapido a un supporto esperto durante una crisi, riducendo i ritardi quando ogni minuto è fondamentale.
Integrity360 può aiutarti a:
Una valutazione della maturità non dovrebbe produrre un punteggio che viene archiviato e dimenticato. Dovrebbe stabilire una linea di base, definire priorità chiare e rendere misurabili i progressi.
L’IA ha reso questo approccio continuo ancora più importante. Le capacità delle minacce stanno cambiando, i team aziendali stanno adottando nuove piattaforme e gli agenti di IA stanno creando identità e connessioni che potrebbero non essere esistite pochi mesi prima.
La domanda non è più semplicemente se la vostra organizzazione disponga di una buona sicurezza informatica. Si tratta piuttosto di capire se il vostro programma di sicurezza sia in grado di continuare ad adattarsi man mano che l’IA modifica i sistemi che utilizzate, le vulnerabilità a cui siete esposti e la velocità con cui operano gli aggressori.
Conoscete il vostro attuale livello di maturità in materia di sicurezza? Rivolgetevi a Integrity360 per valutare il vostro stato di sicurezza, identificare le lacune prioritarie e sviluppare una strategia di sicurezza informatica pronta per l’IA.
Che cos'è una valutazione della maturità in materia di sicurezza informatica?
Una valutazione della maturità in materia di sicurezza informatica valuta l’efficacia con cui un’organizzazione gestisce il rischio informatico in termini di governance, personale, processi e tecnologia. Identifica le capacità esistenti, le lacune nei controlli e gli interventi di miglioramento prioritari.
In che modo l’IA ha cambiato la maturità in materia di sicurezza informatica?
L’IA ha aumentato la velocità e la portata degli attacchi, introducendo al contempo nuovi rischi attraverso strumenti, modelli e agenti basati sull’IA. Le organizzazioni mature devono difendersi dalle minacce basate sull’IA e governare il proprio utilizzo dell’IA.
Che cos’è la maturità della sicurezza dell’IA?
La maturità della sicurezza dell’IA misura l’efficacia con cui un’organizzazione identifica, gestisce e protegge i propri sistemi di IA. Comprende visibilità, protezione dei dati, controllo degli accessi, sicurezza dei modelli, supervisione umana, monitoraggio e risposta agli incidenti.
Con quale frequenza dovrebbe essere valutata la maturità di sicurezza?
Le organizzazioni dovrebbero condurre una valutazione formale a cadenza regolare e ripeterla a seguito di cambiamenti significativi, quali acquisizioni, migrazioni al cloud, incidenti gravi o l’adozione su larga scala dell’IA. I progressi rispetto alla roadmap risultante dovrebbero essere monitorati continuamente.
Qual è la differenza tra maturità della sicurezza informatica e conformità?
La conformità dimostra che un’organizzazione soddisfa requisiti specifici in un determinato momento. La maturità di sicurezza valuta se i controlli sono efficaci, ripetibili, integrati e in grado di adattarsi alle minacce in evoluzione. Un’organizzazione può essere conforme senza essere altamente matura.
In che modo Integrity360 può valutare la nostra maturità in materia di sicurezza?
Integrity360 combina valutazioni dei rischi, revisioni della governance, test di sicurezza informatica e analisi tecniche per valutare le capacità esistenti. I nostri specialisti sviluppano quindi una roadmap con priorità definite, in linea con i vostri rischi, gli obblighi normativi e gli obiettivi aziendali.