Dall’umano all’ibrido: all’interno del rapporto Exabeam 2025 sul rischio insider alimentato dall’AI

Il rischio si è capovolto verso l’interno—and che cambia l’architettura

Se la principale minaccia è all’interno, “più firewall” non è la risposta. È identità, accesso e comportamento. Pensare alla verifica continua di chi sta facendo cosa, con quali dati e se quel pattern è normale. A livello regionale, la maggior parte dei mercati considera ora gli insider come la principale preoccupazione; l’unico outsider è APJ (Asia-Pacifico e Giappone), dove molti temono ancora più gli attaccanti esterni. Per i leader, la traduzione pratica è spostare la spesa verso:

• Controlli di identità più forti (MFA che funziona, accesso basato su rischi, privilegi minimi che vengono effettivamente applicati).
• Monitoraggio dei dati consapevole su SaaS, endpoint, archiviazione e posta elettronica in modo che i movimenti anomali siano visibili.
• Analisi del comportamento che imparano i pattern normali per persona, team e sistema—and allertano sulle deviazioni significative.

L’implicazione organizzativa: la sicurezza e i proprietari dei dati devono lavorare insieme. Se non si può rispondere a “chi ha toccato quali dati sensibili questa settimana e se era tipico per loro?” si è ciechi al percorso di violazione moderno (account compromesso → staging dei dati silenzioso → esfiltrazione rapida).

L’AI ha ridefinito il concetto di “insider”

AI ombra è il nuovo AI ombra. Il personale incolla codice, contratti, elenchi di clienti o prompt con contesto sensibile in modelli non approvati. È per questo che la 76% figura è importante: significa che non è un problema di nicchia. Trattare GenAI come accesso privilegiato—approvare strumenti specifici, registrare l’utilizzo dove legale e prevenire che classi di dati protette (PII regolamentato, segreti commerciali) entrino mai in modelli di terze parti. Accoppiare la politica con l’abilitazione: dare alle persone opzioni di AI approvate in modo che non si sentano costrette a fare di testa loro.

C’è anche un nuovo attore all’interno: agenti AI. I team stanno collegando gli agenti ai flussi di lavoro con credenziali e chiavi API reali. Questi sono “insider non umani”. Non si stancano e raramente si lamentano—fino a quando non si allontanano. Ciò richiede due controlli che gli esecutivi dovrebbero riconoscere:

• Ambito: ogni agente ha bisogno di un proprietario, un lavoro chiaro e privilegi minimi.
• Osservabilità: ogni agente merita la stessa traccia di audit e rilevamento delle anomalie di un umano.

UEBA (User & Entity Behavior Analytics) è il rilevamento che si concentra sul comportamento, non solo firme e esecutivi dovrebbero familiarizzare con questo. Costruisce una baseline per ogni utente o entità (inclusi bot, account di servizio e agenti) imparando:

• Norme di serie temporale: tempi di accesso tipici, volumi di dati o destinazioni.
• Contesto di gruppo peer: come si comporta un analista finanziario rispetto ad altri analisti finanziari.
• Pattern di sequenza: ordinamenti insoliti (ad esempio, primo accesso VPN → cambio di privilegi immediato → download bulk).
  Quando l’attività si allontana dai pattern appresi, UEBA valuta il rischio e mette in evidenza gli outlier. Tecnicamente, questo si basa su statistiche e apprendimento automatico (metodi non supervisionati e semi-supervisionati) che prosperano sui dati di log senza necessità di etichette perfette. In parole piane: UEBA trasforma mucchi di eventi in “è questo normale per loro in questo momento?”

Chiudere il divario analitico—and il divario culturale

Ecco l’esposizione reale: solo il 44% delle organizzazioni utilizza UEBA anche se il rischio insider è ora il problema principale. Allo stesso tempo, il 74% dei pratici afferma che i leader sottovalutano le minacce insider. Quel divario culturale rallenta l’assunzione, la strumentazione e la politica. Chiudere entrambi i divari sembra:

Rendere il comportamento un segnale di prima classe. Consolidare i log di identità, endpoint, amministrazione SaaS, posta elettronica e movimento dei dati in modo che una persona (o agente) abbia una storia unica attraverso i sistemi. Investire nella correlazione prima dei dashboard. Se il SOC non può cucire l’identità attraverso gli strumenti, perderà l’abuso silenzioso e l’esfiltrazione a rallentatore.

Bilanciare la privacy con il rilevamento—per design. L’ostacolo più comune ai programmi insider è la resistenza alla privacy. Risolverlo con analisi a scopo limitato, accesso basato su ruolo alla telemetria, finestre di conservazione chiare e documentazione trasparente di ciò che si analizza e perché. Fatto correttamente, le barriere della privacy abilitano una maggiore rilevazione perché sbloccano i flussi di dati di cui hanno bisogno i team.

Misurare i risultati, non il numero di strumenti. Gli esecutivi dovrebbero chiedere tre numeri ogni mese:

1. Tempo di rilevamento del comportamento anomalo
2. Tempo di contenimento degli incidenti insider
3. Percentuale di incidenti catturati dall’analisi del comportamento rispetto alla fortuna o agli audit dopo il fatto.

Legare il budget al miglioramento di quelle metriche, non al numero di prodotti puntuali “distribuiti”.

Trattare GenAI come un sistema di produzione. Stabilire elenchi di controllo, categorie di dati rosse e registrazione per prompt e output dove legale. Dare un posto al tavolo al prodotto e al legale in modo che “muoversi velocemente” non significhi mai “spray dati in scatole nere”.

Stabilire una baseline per tutti e tutto. Persone, account di servizio, script RPA e agenti AI ricevono ognuno la propria baseline. Si sta cercando la deriva—nuovi dati toccati, orari insoliti, destinazioni strane o sequenze che non corrispondono al lavoro da svolgere.

Riepilogo

Da Dall’umano all’ibrido: come l’AI e il divario analitico stanno alimentando il rischio insider è più di uno scatto della situazione attuale—è un’anteprima di dove la sicurezza deve andare dopo. Le minacce insider, amplificate dall’AI, non sono più eccezioni ma l’ipotesi di base. Per i CISO e i CEO, il percorso in avanti significa spostarsi dalle difese perimetrali alle strategie centrate sull’identità, trattare GenAI con la stessa cautela degli account privilegiati e dare agli esseri umani e agli agenti AI le proprie basi comportamentali. Le organizzazioni che avranno successo saranno quelle che unificheranno la telemetria, abbracceranno le metriche basate sui risultati e allineeranno la leadership con le operazioni. In questo senso, il rapporto di Exabeam è meno un avvertimento e più un manuale per costruire la resilienza in un futuro definito dall’AI.