Mark Nicholson, Leader di Modernizzazione Cibernetica di Deloitte negli Stati Uniti – Intervista: Una Conversazione di Ritorno

Mark Nicholson, Leader di Modernizzazione Cibernetica di Deloitte negli Stati Uniti, è un Principal di Deloitte con oltre due decenni di esperienza all’intersezione di sicurezza informatica, intelligenza artificiale e gestione del rischio aziendale. Guida le iniziative di Cyber AI e la strategia commerciale per la pratica di sicurezza di Deloitte, aiutando le grandi organizzazioni a modernizzare i loro framework di sicurezza e allineare gli investimenti in sicurezza con i paesaggi di rischio in evoluzione. Prima di Deloitte, ha co-fondato e ricoperto il ruolo di COO di Vigilant, Inc., una società di consulenza per la sicurezza informatica focalizzata sull’intelligence sulle minacce e il monitoraggio degli eventi dannosi. La sua carriera precedente in ruoli di vendita e sviluppo aziendale in diverse società tecnologiche ha fornito una solida base sia negli aspetti tecnici che commerciali della sicurezza informatica.

Deloitte è una delle più grandi società di servizi professionali del mondo, che offre servizi di revisione, consulenza, tasse e consulenza a organizzazioni di quasi ogni settore. La sua pratica di sicurezza informatica si concentra sull’aiutare le imprese a navigare in ambienti di minaccia sempre più complessi, consentendo al contempo la trasformazione digitale attraverso tecnologie come l’intelligenza artificiale. La società fornisce servizi che spaziano dalla strategia di sicurezza, alla resilienza, alla gestione del rischio e alla sicurezza aziendale, posizionando la sicurezza informatica sia come funzione protettiva che come strumento strategico per l’innovazione e la crescita.

Questo segue a un’intervista precedente pubblicata nel 2025.

Lei è stato coinvolto nella sicurezza informatica fin dai primi giorni del monitoraggio delle minacce moderne, compresa la co-fondazione di Vigilant e l’aiuto a portare le prime capacità di Security Information and Event Management (SIEM) e di intelligence sulle minacce sul mercato. Come è cambiato il modo in cui le organizzazioni rilevano e rispondono alle minacce dall’evoluzione di quei primi sistemi di monitoraggio ai piattaforme di difesa cibernetica guidate dall’AI di oggi?

Quando abbiamo iniziato a costruire piattaforme di monitoraggio ai primi giorni del SIEM, la sfida principale era quella di ottenere i dati in un unico posto e dar loro un senso. Ricordo quando gli analisti stampavano i log dei firewall ogni mattina e li esaminavano manualmente per cercare di trovare anomalie. Anche quando il SIEM è maturato, c’era un problema di scala. La velocità umana non era all’altezza del grande numero di eventi rilevati. Nonostante l’uso dell’automazione, i difensori cibernetici avevano ancora un problema di correlazione dei dati e di analisi, costantemente impegnati a redigere nuove regole, spesso in risposta a fallimenti di monitoraggio.

Una delle speranze è che l’AI cambi quella dinamica in modo fondamentale. Oltre a schierare capacità agentiche per automatizzare le operazioni di sicurezza di livello 1, l’AI promette di aiutare a spostare la rilevazione e la risposta da “dopo il fatto” a “mentre sta accadendo” sfruttando la regolazione dinamica delle algoritmi di monitoraggio. In alcuni casi, le organizzazioni cibernetiche potranno anche sentirsi a proprio agio nel lasciare che l’AI inizi azioni di rimedio.

Ma la parte difficile non scompare, si sposta. Man mano che i sistemi diventano più autonomi e complessi, la fiducia e l’osservabilità diventano un campo di battaglia: cosa sta facendo il sistema, perché lo sta facendo e come possiamo essere sicuri che non sia stato manipolato? L’opportunità con l’AI è enorme, ma aumenta anche le poste in gioco quando l’ambiente opera alla velocità della macchina.

Ha notato che l’AI sta abilitando gli avversari ad automatizzare la ricognizione, generare exploit e accelerare i cicli di attacco. In termini pratici, di quanto ha compresso l’AI il tempo tra la scoperta della vulnerabilità e lo sfruttamento?

Storicamente, c’era spesso una finestra di tempo tra la scoperta della vulnerabilità e lo sfruttamento. C’era certamente urgenza, ma in generale, a meno che non si venisse colpiti da un giorno zero, c’era tempo per capire la minaccia, applicare patch e mitigare prima che un attaccante potesse distribuire exploit su larga scala. L’AI ha praticamente eliminato quella finestra.

Gli avversari possono automatizzare la ricognizione, scansionare continuamente l’esposizione e utilizzare strumenti abilitati dall’AI per accelerare parti dello sviluppo degli exploit e del targeting. In molti casi, ciò che un tempo si svolgeva nel corso di settimane può ora comprimersi in ore, e in scenari altamente automatizzati, può essere più veloce di quanto la maggior parte dei programmi di sicurezza sia in grado di gestire.

La morale è semplice: i team di sicurezza hanno bisogno dell’automazione e dell’AI sul lato difensivo, abbinati a controlli solidi, se vogliono stare al passo.

I team di sicurezza stanno passando sempre più da modelli “human-in-the-loop” a modelli di supervisione “human-on-the-loop”. Come si presenta questo passaggio all’interno di un moderno Centro Operativo di Sicurezza (SOC) e come le organizzazioni dovrebbero ripensare i ruoli degli analisti man mano che l’AI assume compiti più autonomi?

In un SOC tradizionale, gli analisti sono al centro di ogni punto di decisione. Gli allarmi arrivano, gli analisti li triano, li indagano e decidono quali azioni devono essere intraprese. Quell’approccio funzionava quando il volume degli allarmi e il ritmo degli attacchi erano gestibili. Ma nell’ambiente odierno, la scala dell’attività è semplicemente troppo grande perché gli esseri umani agiscano come un gatekeeper per ogni decisione.

Il passaggio a human-on-the-loop significa che i sistemi AI possono eseguire molte delle attività di routine che in precedenza gli analisti gestivano, come la triage degli allarmi, la raccolta del contesto, la correlazione dei dati e l’esecuzione di determinate azioni di rimedio. Il ruolo umano diventa quello di supervisione e convalida piuttosto che di esecuzione manuale.

Operativamente, ciò sposta il tempo degli analisti lontano dalla “macinazione degli allarmi” e verso lavori di maggior valore come la caccia alle minacce, l’ingegneria della rilevazione, la simulazione degli avversari e il miglioramento dell’architettura difensiva. Gli esseri umani rimangono essenziali, ma il loro ruolo evolve verso la supervisione, il giudizio e la strategia piuttosto che agire come principale processore di dati di sicurezza.

Stiamo sentendo molto parlare di “Secure AI by Design”. Dal suo punto di vista, perché questo concetto deve estendersi oltre la sicurezza del modello stesso fino ai sistemi di identità, all’architettura dei permessi e ai livelli di orchestrazione?

Molte discussioni sulla sicurezza dell’AI si concentrano pesantemente sul modello stesso, come la protezione dei dati di training, la prevenzione dell’avvelenamento del modello o la difesa contro gli attacchi di iniezione di prompt. Queste sono questioni reali, ma sono solo una parte del rischio.

Nella pratica, i sistemi AI operano come parte di ecosistemi digitali molto più ampi. Accedono ai dati, interagiscono con API, attivano flussi di lavoro e operano sempre più attraverso agenti che possono agire con un certo grado di autonomia.

Quando ciò accade, l’identità e i permessi diventano il piano di controllo. Gli agenti AI sono effettivamente nuove identità digitali all’interno dell’azienda. Se queste identità non sono governate correttamente, possono introdurre rischi significativi.

La sicurezza dell’AI per design deve quindi estendersi alla governance dell’identità, ai controlli di accesso, ai livelli di orchestrazione e ai sistemi di monitoraggio che tengono traccia di ciò che questi agenti stanno facendo. Le organizzazioni devono trattare gli agenti AI come utenti umani, con permessi definiti, audit e supervisione, altrimenti la superficie di attacco si espande rapidamente.

Molte imprese stanno sovrapponendo strumenti AI ai flussi di lavoro di sicurezza legacy progettati per la velocità umana. Quali sono i più grandi cambiamenti architettonici che le organizzazioni devono apportare per sfruttare realmente l’AI nella difesa cibernetica?

Un modello comune è quello di aggiungere l’AI ai processi e ai flussi di lavoro legacy progettati per le operazioni guidate dagli esseri umani. Non è un approccio cattivo, soprattutto poiché la visione computerizzata è diventata una realtà. Ad esempio, Deloitte ha creato un agente che può essere addestrato per sostituire l’essere umano nel processo di governance e amministrazione dell’identità senza gettare via le soluzioni software esistenti create a scopo che sarebbero state difficili da sostituire. Ciò può portare a risparmi di costo drammatici.

Il beneficio futuro, tuttavia, è che le imprese probabilmente inizieranno a ripensare i flussi di lavoro di sicurezza dall’inizio alla fine: modernizzare la base dei dati in modo che gli strumenti di sicurezza possano accedere a dati di alta qualità e ben strutturati; costruire l’orchestrazione in modo che le funzioni di rilevamento, risposta e identità operino come un sistema coordinato, non come strumenti disconnessi.

L’identità prevale come uno dei controlli più critici. Man mano che vengono introdotti più automazione e agenti AI, il numero di identità non umane cresce notevolmente. Gestire efficacemente queste identità diventa essenziale per mantenere il controllo.

L’AI nativa per la sicurezza è in definitiva una miscela di migliori dati, migliore orchestrazione e governance che tiene conto sia degli attori umani che di quelli macchina.

Man mano che i sistemi AI diventano più autonomi, la superficie di attacco si estende in aree come l’orchestrazione degli agenti, le catene di API e le pipeline di decisione automatizzate. Quale di queste superfici emergenti la preoccupa di più?

Se dovessi scegliere un’area che merita immediata attenzione, è l’identità e i permessi di accesso all’interno dei sistemi guidati dagli agenti.

Man mano che le organizzazioni introducono più AI agente, stanno creando una popolazione crescente di attori autonomi che operano all’interno dell’azienda. Questi agenti potrebbero avere accesso a dati, API e flussi di lavoro incredibilmente potenti, il che li rende un percorso attraente per un attaccante se i permessi non sono progettati, monitorati e verificati rigorosamente. È importante trattare ogni agente come un nuovo dipendente: nominarlo, definirlo, monitorarlo ed essere in grado di disconnetterlo rapidamente se necessario.

Le catene di API e le pipeline di decisione automatizzate introducono rischi, troppo, ma la governance dell’identità è spesso il controllo fondamentale. Se non si può rispondere chiaramente a chi è un agente, cosa può toccare e cosa ha fatto, non si controlla veramente.

Dal punto di vista della sala del consiglio, come stanno pensando attualmente i dirigenti e i direttori ai rischi cibernetici guidati dall’AI, e dove vede la più grande lacuna tra la realtà tecnica e la comprensione a livello di consiglio?

I consigli sono sempre più consapevoli che, mentre l’AI porta enormi opportunità, può anche portare rischi significativi. La maggior parte dei direttori capisce che l’AI plasmerà la trasformazione aziendale e inizia a fare domande sulla governance, la sicurezza e la resilienza.

La lacuna si verifica spesso nella velocità e nella complessità. Molti dibattiti del consiglio di amministrazione ancora si concentrano su framework di sicurezza tradizionali – che rimangono importanti – ma non riflettono sempre quanto rapidamente le minacce guidate dall’AI possano evolversi e scalare.

L’altra disconnessione è che “È sicura la nostra AI?” suona come una singola domanda, ma la risposta si trova attraverso la governance dei dati, l’integrità del modello, la gestione dell’identità e l’orchestrazione su più sistemi. I consigli che stanno colmando la lacuna stanno spingendo per la segnalazione basata sui controlli che rende queste parti in movimento visibili e verificabili, e investono tempo per costruire la competenza dei direttori, in modo che la supervisione tenga il passo con la tecnologia.

L’AI sta essere utilizzata su entrambi i lati del campo di battaglia. Stiamo entrando in una corsa agli armamenti permanente di sicurezza cibernetica AI contro AI, e se così fosse, quali vantaggi hanno i difensori che gli attaccanti potrebbero avere difficoltà a replicare?

Siamo chiaramente in un’era in cui l’AI viene utilizzata sia dagli attaccanti che dai difensori. Gli avversari stanno già applicando l’AI per accelerare la ricognizione, identificare le vulnerabilità e automatizzare parti del ciclo di attacco. Ma i difensori hanno ancora vantaggi reali se scelgono di utilizzarli.

I difensori hanno la visibilità del proprio ambiente, l’accesso alla telemetria interna e la capacità di costruire architetture stratificate che gli attaccanti devono navigare. L’AI può aiutare i difensori ad analizzare enormi volumi di dati attraverso reti, endpoint e identità, dandogli il potenziale di rilevare comportamenti anomali molto più presto.

La cosa importante è l’adozione. Se i difensori rimangono bloccati nei flussi di lavoro manuali mentre gli attaccanti si automatizzano, l’asimmetria diventa brutale. La corsa agli armamenti è reale, e i vincitori saranno coloro che schierano l’AI con una solida governance, non quelli che la pilotano solo.

Nel suo lavoro di consulenza per grandi imprese, quali sono gli errori più comuni che le organizzazioni commettono quando cercano di integrare l’AI nella loro strategia di sicurezza?

Uno degli errori più comuni che vediamo è trattare l’AI come uno strumento autonomo invece di un cambiamento architettonico. I team eseguono esperimenti isolati senza aggiornare la base dei dati, il modello di governance o i processi operativi necessari per sostenere l’impatto, portando a un plateau nei risultati.

Un altro errore è distribuire capacità AI senza tenere pienamente conto dei nuovi rischi: nuove identità, nuovi flussi di dati e percorsi decisionali automatizzati che espandono la superficie di attacco. Se questi vengono aggiunti senza i controlli appropriati, l’AI può aggiungere fragilità invece di resilienza.

Infine, molte organizzazioni sottovalutano l’importanza dell’impegno della forza lavoro. I professionisti che gestiscono le operazioni di sicurezza ogni giorno sanno dove si trova l’attrito e cosa significa “buono”. Le trasformazioni più forti coinvolgono questi team fin dall’inizio in modo che la tecnologia amplifichi il loro giudizio piuttosto che disturbarlo.

Guardando avanti tre o cinque anni, come apparirà il centro operativo di sicurezza nativo AI rispetto agli ambienti SOC di oggi?

Probabilmente apparirà molto diverso, in molti modi che non posso prevedere. È probabile che il SOC del futuro operi come una forza lavoro ibrida umana e digitale. I sistemi AI gestiranno gran parte dell’elaborazione dei dati, della correlazione e della risposta iniziale. I sistemi agentici aiuteranno ad automatizzare i flussi di lavoro attraverso la gestione delle vulnerabilità, la governance dell’identità, la risposta agli incidenti e il monitoraggio continuo dei controlli.

Gli analisti umani rimangono essenziali, ma il centro di gravità si sposta: supervisionare i sistemi AI, convalidare i casi di rilevamento (piuttosto che scriverli), indagare minacce complesse e migliorare l’architettura difensiva. L’obiettivo non è quello di rimuovere gli esseri umani, ma di elevare i loro ruoli. Invece di trascorrere tempo nella triage degli allarmi e nell’assemblaggio manuale dei dati, gli analisti si concentreranno sugli aspetti strategici della sicurezza informatica. La domanda sarà: “Come addestreremo la prossima generazione di professionisti della sicurezza quando il livello 1 e il livello 2 saranno completamente automatizzati?” Forse la risposta si trova nel miglioramento drammatico della tecnologia di simulazione e formazione che l’AI può aiutarci a sviluppare.

Le organizzazioni che costruiscono con successo una forza lavoro ibrida di successo, combinando l’esperienza umana con l’automazione guidata dall’AI, saranno probabilmente le migliori posizionate per operare alla velocità richiesta nell’ambiente di minaccia moderno.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Deloitte o leggere la nostra intervista precedente.