Nel Mese europeo della cybersicurezza, l’incontro Beyond The Edge del 7 ottobre ha messo in discussione la parola d’ordine degli ultimi anni: consapevolezza. La tesi emersa è netta. Oggi le organizzazioni sanno più di quanto riescano a gestire, e il collo di bottiglia si è spostato dalla conoscenza alla capacità di agire.
L’intelligenza artificiale trova vulnerabilità a un ritmo mai visto, mentre le correzioni arrivano in media dopo gli attacchi. La formazione anti-phishing sposta pochissimo i risultati. E nelle caselle di posta aziendali lavorano già agenti non umani di cui nessuno ha ancora fatto l’inventario.
Un dato su tutti. Secondo Anthropic sono 516 su 6.157 le vulnerabilità trovate dall’AI e segnalate che risultano già corrette.
Nel corso dell’evento sono stati sottolineati cinque cambi di rotta. Il primo riguarda la formazione allo spirito critico, non solo al phishing.
Infatti anche chi segue corsi specifici riconosce e segnala una quota minima delle e-mail di phishing: il limite è l’attenzione, non la conoscenza. La proposta è allenare il senso critico verso qualsiasi contenuto digitale, con gamification e format diversi per pubblici diversi.
Si è poi sottolineato che i prossimi investimenti vanno ai sistemi “di mezzo”
Visti i risultati della formazione, che migliora di appena 1,7 punti, la priorità diventa ciò che sta tra l’infrastruttura e la persona, ovvero i filtri automatici, la classificazione dei contenuti e i bollini che certificano le comunicazioni verificate. È il momento della Data Loss Prevention contestuale, che non si limita a bloccare, ma contrassegna i contenuti scritti da persone e quelli certificati come sicuri.
L’AI trova le vulnerabilità, ma correggerle resta un lavoro umano. Occorre verificare, testare e installare gli aggiornamenti correttivi (le patch) su tutti i sistemi senza fermare i servizi. Una patch sbagliata può bloccare intere filiere. Con l’exploit che arriva in media sette giorni prima della correzione, la strada è automatizzare il ciclo e semplificare le infrastrutture.
Per quanto riguarda gli agenti AI, questi si moltiplicano dentro e fuori le aziende e iniziano a parlarsi tra loro. Spesso non sappiamo se un’e-mail sia stata scritta da una persona o da un agente. Serve un inventario con il loro ciclo di vita e una catena di responsabilità chiara: chi firma per loro.
Si è inoltre sottolineato che meno dati significano meno rischio. Un codice fiscale o un indirizzo rubati non si possono cambiare. Per chi gestisce milioni di dati personali
la difesa più solida è raccoglierne meno. Mi serve davvero questo dato, perché, e come evito di spostarlo da un sistema all’altro?
La tecnologia corre e le norme inseguono. Per i relatori la NIS2 è già in parte superata dai fatti, e dirsi conformi non equivale a essere sicuri. La regolazione europea nasce reattiva; quella statunitense del NIST è più preventiva, ma anche questa è messa alla prova dall’AI.
Allargando la platea, la NIS2 diventa una barriera d’ingresso uguale per tutti: vince chi gestisce meglio i costi della conformità.
E’ necessario poi passare dalla sicurezza come costo alla sicurezza che produce valore.
Tutti la fanno, pochi ci investono. Chi la trasforma in una voce del conto economico ha un vantaggio. Un esempio è quello di un aeroporto che può contare le persone in un’area dai log del SIEM generati a ogni apertura dei varchi, senza installare telecamere.
Le VPN si sono diffuse non per proteggersi, ma per vedere cataloghi di streaming esteri. Rispondere a un bisogno diverso può rendere le persone più protette. Questa è la sfida di un’app di sicurezza attivata da circa il 30% degli assicurati, che ora va resa un’abitudine.
Beyond The Edge è il ciclo di incontri in cui esperti, aziende e istituzioni si confrontano sui rischi emergenti di tecnologia e scienza: un intervento con dati aggiornati, poi una tavola rotonda aperta. Wallife è la MGA che assicura e protegge le persone dai rischi derivanti dal progresso scientifico e tecnologico e distribuisce le sue coperture attraverso partner come Fastweb, TIM ed Euronics.
