Ridefinire l’Autorità nella C‑Suite: Cosa Richiede Davvero Coltivare una Relazione con l’AI

Ho trascorso 25 anni dal lato dell’acquirente nelle operazioni di sicurezza e non ho mai perso sonno per una regola del firewall. Tuttavia, ho perso sonno per l’AI. L’automazione tradizionale, per quanto complessa, segue una logica tracciabile. Invece, con questa scala senza precedenti dell’AI agentica, i sistemi vengono affidati a decisioni di giudizio che gli ingegneri non riescono sempre a spiegare completamente – questa perdita di trasparenza è esattamente il motivo per cui molti CISO sono bloccati.

97% di leader della sicurezza sono fiduciosi che l’AI possa gestire il triage, ma solo il 35% la utilizza davvero in quel contesto. Questo punto di svolta è un problema di fiducia, e la fiducia può essere risolta solo come è sempre stata, attraverso struttura, evidenza e tempo.

Puoi Vedere l’Automazione, ma Puoi Fidarti dell’AI?

Con l’automazione tradizionale, i professionisti possono sapere con certezza cosa accadrà prima che accada. Questa trasparenza è il motivo per cui i team SOC hanno trascorso un decennio a costruire fiducia nei flussi di lavoro automatizzati senza molte discussioni interne, tuttavia l’AI agentica ha infranto lo schema introducendo uno strato di giudizio appreso – un sistema che pesa il contesto, effettua previsioni e giunge a conclusioni attraverso un processo che non è sempre pienamente leggibile, anche per le persone che lo hanno creato. 

Solo 21% delle organizzazioni affermano di avere un modello di governance maturo per l’AI agentica, nonostante il 74% preveda di utilizzare agenti AI almeno “moderatamente” entro il 2027. Quando i professionisti della sicurezza non riescono a spiegare in modo trasparente questo tipo di “black box AI”, è una testimonianza della difficoltà di governare gli strumenti AI. Non è perché gli strumenti non siano adeguatamente protetti, ma perché il funzionamento interno dello strumento AI si basa sul giudizio piuttosto che su un diagramma di flusso.

Nelle sale riunioni, i leader valutano l’AI come valuterebbero l’automazione, chiedendo “posso vedere la logica”, piuttosto che chiedere “come posso guadagnare fiducia in un decisore la cui logica evolve?”. La maggior parte dei CISO probabilmente conosce già la risposta, ma la sfida è applicarla nella pratica.

Trattare l’AI Come un’Assunzione ad Alto Rischio

Pensate all’onboarding di un nuovo analista senior. Un CISO non consegnerebbe le chiavi della produzione a un analista appena assunto il primo giorno, per quanto impressionante fosse il suo curriculum. Lo inizierebbe con compiti a basso rischio, osserverebbe come gestisce l’ambiguità e amplierebbe la sua autorità man mano che la guadagna. L’AI merita lo stesso onboarding, basato su una fiducia fondata su evidenze che si costruisce nel tempo.

Abbiamo già visto gli effetti in azione quando un agente Meta AI autonomo ha innescato un incidente di sicurezza a livello aziendale dopo aver agito senza approvazione umana, esponendo dati sensibili dell’azienda e degli utenti a dipendenti non autorizzati per circa due ore prima che il problema fosse contenuto. La causa principale è stata la mancanza di supervisione umana nel punto decisionale in cui sarebbe stata necessaria un’approvazione esplicita. Questo è esattamente il tipo di fallimento che le barriere rigide sono progettate per prevenire, e ricorda che la disciplina dell’ambito conta più della sofisticazione del modello.

L’AI merita la stessa attenzione, e possiamo considerarla come una crescita basata su evidenze:

• Comprendere la logica decisionale prima di distribuirla. Non è necessario vedere ogni peso del modello, ma è fondamentale sapere su quali dati ragiona, quali risultati ottimizza e dove probabilmente si trovano i suoi punti ciechi.
• Stabilire barriere rigide fin dal primo giorno. Definire esattamente su cosa il sistema può agire in modo autonomo e cosa richiede l’intervento umano. Un ambito ristretto è la base su cui si costruisce la fiducia.
• Ampliare i confini solo man mano che le evidenze si accumulano. Ogni decisione corretta è un dato, e ogni errore è anch’esso un dato. Allargare l’apertura in proporzione al record, non in base all’entusiasmo del fornitore o ai cicli di budget.

Seguire questi passaggi come protocollo aiuterà a mitigare le paure dei CISO, incluso impedire a un sistema autonomo di operare oltre il punto in cui qualcuno lo ha effettivamente verificato e merita fiducia.

Il Modello a Tre Livelli: Dove l’AI Guadagna il Suo Posto

SANS’ Secure AI Blueprint descrive una struttura di governance basata su tre percorsi: proteggere l’AI, utilizzare l’AI, governare l’AI, coprendo sei categorie di controllo tra cui accesso, dati, distribuzione, inferenza, monitoraggio e sicurezza del modello. Questo è un punto di partenza utile, e per andare oltre, è utile strutturare questa relazione suddividendo il SOC in tre livelli per risolvere il problema di fiducia nell’AI.

1. Risultato. Questo è il livello in cui risiede il rischio aziendale. Cosa considera l’organizzazione un risultato accettabile? Qual è la tolleranza per falsi negativi rispetto a falsi positivi? È una decisione umana, punto. Nessun modello ha voce in capitolo su ciò che l’organizzazione è disposta a rischiare.
2. Giudizio. Qui vengono stabilite le priorità e si effettuano compromessi in presenza di ambiguità. Questo avviso dovrebbe essere escalato subito o trattenuto per più contesto? Vale la pena interrompere la notte di qualcuno per questa anomalia? Il giudizio può essere informato dall’AI, e sempre più dovrebbe esserlo, ma l’autorità finale resta umana. Questo è il livello a cui la maggior parte delle organizzazioni è tentata di delegare troppo presto, e sarà quello che le farà bruciare se lo faranno.
3. Esecuzione. Qui l’AI dovrebbe svolgere il lavoro pesante, a una velocità che nessun team umano può eguagliare. Arricchire un avviso, correlare segnali tra una dozzina di strumenti, redigere un’azione di contenimento, eseguire il playbook una volta che un umano o uno strato di giudizio fidato ha approvato il percorso. Velocità di macchina, deterministica una volta attivata, senza alcun ego.

Maturare la Partnership, Non Solo Gestire lo Strumento

Quando la relazione dell’AI all’interno del SOC è costruita come una partnership anziché come la gestione di uno strumento, i CISO possono cominciare a considerare l’AI come un compagno di squadra in evoluzione, il che porta a un cambiamento fondamentale nel modo in cui il CISO impiega il proprio tempo.

I SOC che riescono a bilanciare questa relazione sono quelli con il processo di costruzione della fiducia più disciplinato. Tale disciplina consente a un’operazione di sicurezza di scalare alla velocità di una macchina nel livello di esecuzione senza perdere il giudizio umano che le decisioni a livello di risultato richiedono ancora, e lo richiederanno sempre.

Abbiamo superato il momento in cui l’AI era vista come il nuovo strumento scintillante per impressionare le boardroom. Le capacità e il potenziale dell’AI hanno guadagnato l’autorità di essere trattate come tutti in un SOC hanno sempre trattato le tecnologie avanzate, una decisione verificata alla volta.