Cybersicurezza autonoma: il futuro della difesa informatica

Cristiano Voschion, Country Manager Italia di Check Point Software Technologies, su come l’intelligenza artificiale sta trasformando la cybersicurezza.

La cybersicurezza sta vivendo una trasformazione senza precedenti grazie all’intelligenza artificiale. Sistemi sempre più autonomi sono in grado di rilevare, analizzare e neutralizzare le minacce informatiche senza intervento umano. Aprendo la strada a una protezione digitale più intelligente, efficace e silenziosa.

Ora la sicurezza sta dunque entrando in una nuova fase. Proprio come le auto stanno imparando a guidare da sole, i sistemi di sicurezza stanno imparando a decidere cosa indagare. Quali dati sono importanti e quali azioni intraprendere, senza attendere l’intervento umano. Il settore si sta muovendo verso la sicurezza IT autonoma.

Quando la cybersicurezza “semplicemente funziona”

Un esempio lampante viene dal mondo della sicurezza delle e-mail. Gli analisti hanno notato che molti clienti accedevano raramente ai loro portali di sicurezza, e quando è stato chiesto loro il motivo, la spiegazione era semplice. Non accedevano perché non ne avevano bisogno. Il sistema gestiva le minacce in modo così efficace che la supervisione sembrava superflua. La protezione avveniva in background.

Questo è il miglior complimento che qualsiasi soluzione di sicurezza possa ricevere. Funziona in modo così perfetto che le persone smettono di pensarci. Per molti versi, è come un sistema di navigazione affidabile. Non è necessario continuare a controllare se funziona, basta fidarsi che ti porterà a destinazione in modo sicuro.

Automazione vs autonomia

È importante tracciare una linea di demarcazione tra automazione e autonomia.

• L’automazione è basata su regole. Segue script e istruzioni scritti da persone: “Se vedi X, allora fai Y”.
• L’autonomia è basata sulle decisioni. Il sistema stesso determina cosa è importante, raccoglie il contesto e sceglie le azioni, adattandosi alle condizioni in tempo reale.

Il cruise control, per esempio, è automazione, un’auto a guida autonoma è autonomia.

Per anni, l’automazione è stata vista come la risposta all’aumento del volume delle minacce. Ma nella pratica, spesso ha creato nuove sfide. I team di sicurezza dovevano scrivere le regole, aggiornarle costantemente e gestire le eccezioni quando gli aggressori riuscivano a sfuggire. L’onere si è spostato, ma non è mai scomparso.

L’autonomia cambia il modello. Non richiede una nuova regola per ogni nuova minaccia. Al contrario, utilizza l’intelligenza, sempre più alimentata dall’IA, per riconoscere i modelli, adattarsi e agire anche in situazioni non familiari.

LLM: il cervello della cybersicurezza a guida autonoma

I modelli linguistici di grandi dimensioni (LLM) sono al centro di questo cambiamento. Offrono ai sistemi di sicurezza la capacità di analizzare il linguaggio, il contesto e l’intento. Cosa che i filtri tradizionali non potrebbero mai fare.

Nella protezione delle e-mail, gli LLM fanno una differenza decisiva:

• Rilevano i tentativi discreti e a volte impercettibili di impersonificazione, in cui un aggressore imita il tono o lo stile di un collega.
• Identificano i modelli di ingegneria sociale, anche quando non sono presenti link o allegati dannosi.
• Comprendono il contesto della comunicazione, segnalando anomalie che non corrispondono al comportamento normale.

Un’e-mail di spear-phishing che sembra normale a un occhio umano potrebbe contenere incongruenze nell’uso del linguaggio, nella reputazione del mittente o nel contesto. Un LLM, addestrato a individuare questi segnali, riconosce immediatamente il pericolo e impedisce che raggiunga la posta in arrivo. Questa è l’autonomia nella pratica. Il sistema non aspetta una nuova regola o firma, ma ragiona sulla situazione e agisce immediatamente.

Trasparenza e portali self-service per gli utenti finali

Uno degli elementi più importanti, ma spesso trascurati dell’autonomia, è la fiducia. Affinché le persone accettassero le auto a guida autonoma, avevano bisogno di rassicurazioni. Spiegazioni sul perché l’auto avesse frenato improvvisamente o avesse preso una strada diversa. La sicurezza non è diversa.

Gli utenti non vogliono solo una protezione silenziosa. Vogliono anche capire cosa sta succedendo e perché. È qui che entrano in gioco i portali self-service basati sull’intelligenza artificiale.

Questi portali estendono l’autonomia oltre il SOC e la mettono nelle mani degli utenti finali:

• Visibilità chiara: i dipendenti possono vedere quali azioni sono state intraprese, quali e-mail sono state messe in quarantena, quali link sono stati neutralizzati e le ragioni alla base di tali decisioni.
• Spiegazioni in linguaggio semplice: gli agenti AI traducono i rilevamenti tecnici in narrazioni comprensibili agli utenti, colmando il divario tra l’IA e la comprensione umana.
• Sicurezza interattiva: invece di inviare ticket all’helpdesk, gli utenti possono interagire direttamente con gli agenti AI, confermando le azioni, chiedendo chiarimenti o persino fornendo feedback per migliorare il sistema.

Questo modello self-service rafforza la fiducia, riduce la dipendenza dai team IT e rende la sicurezza più personale e responsabilizzante. È l’equivalente di un’auto che mostra al passeggero esattamente ciò che ha “visto” prima di effettuare una manovra.

Il percorso verso le auto a guida autonoma offre lezioni preziose per la sicurezza IT

• Aspettative vs. realtà: per anni, le auto a guida autonoma sembravano essere dietro l’angolo, poi i progressi sono sembrati lenti. Ora, con i robotaxi che stanno silenziosamente prendendo piede, stanno diventando realtà. La sicurezza sta seguendo un percorso simile: anni di clamore sull’automazione stanno ora lasciando il posto a un’autonomia tangibile.
• Costruire la fiducia: l’adozione richiede una graduale costruzione della fiducia. Le persone non sono disposte a cedere immediatamente il volante. Hanno bisogno di prove che il sistema sia più sicuro della guida manuale. Anche la sicurezza deve dimostrare la propria affidabilità passo dopo passo.
• Domanda inespressa: la maggior parte delle persone non dice “Voglio un robotaxi”. Quello che dicono è “Voglio viaggiare in modo più sicuro e più facile”. In materia di sicurezza, l’equivalente è chiaro: meno avvisi, meno complessità, protezione più forte.

Il fatto che gli utenti non sentano più la necessità di effettuare il login quotidiano, perché la sicurezza “funziona e basta”, dimostra che questa transizione è già in corso.

La strada da percorrere verso una cybersicurezza ottimale

La sicurezza della guida autonoma non arriverà tutta in una volta. Si svilupperà in più fasi, attraverso diversi livelli di difesa.

• La sicurezza della posta elettronica sta già dimostrando autonomia, filtrando miliardi di messaggi senza l’intervento dell’utente.
• Le indagini SOC vengono ridefinite dall’intelligenza artificiale, che decide quali avvisi richiedono attenzione e redige persino rapporti leggibili dall’uomo.
• L’empowerment degli utenti finali sta crescendo grazie ai portali self-service e agli agenti di intelligenza artificiale, che offrono agli individui il controllo senza sovraccaricare i team IT.

La traiettoria è inequivocabile. Proprio come le auto a guida autonoma stanno rivoluzionando il settore dei trasporti, la sicurezza autonoma rivoluzionerà la protezione digitale. Una volta che le organizzazioni avranno sperimentato il sollievo offerto da sistemi in grado di difendersi da soli, in modo silenzioso, intelligente e trasparente, sarà difficile tornare ai controlli manuali.

In conclusione, la vera promessa della sicurezza IT autonoma non è solo che le macchine agiscano da sole, ma che cambino il modo di lavorare degli esseri umani. Oggi, molti team di cybersicurezza trascorrono le proprie giornate a inseguire avvisi, mettere insieme dati incompleti e lottare con i falsi positivi. Il carico di lavoro è schiacciante e l’attenzione è spesso rivolta al tenere il passo piuttosto che al progredire.

L’evoluzione

In un futuro di automazione autonoma, il ruolo della macchina sarà quello di gestire il rumore, ovvero rilevare, indagare e risolvere la stragrande maggioranza degli eventi di routine in modo silenzioso e in background.

Ciò che emerge agli esseri umani è diverso:

• Un elenco conciso di cose da fare relative a modifiche di configurazione, adeguamenti delle policy o incidenti insoliti che richiedono davvero un giudizio.
• Spiegazioni chiare di ciò che il sistema ha rilevato, di ciò che ha fatto e del motivo per cui ora necessita dell’intervento umano.
• Priorità attuabili che consentono ai team di sicurezza di prendere decisioni di elevato valore, invece di dover occuparsi di eventi di scarso valore.

Questo cambiamento trasforma il ruolo dell’uomo da operativo a strategico. Offre ai professionisti la chiarezza necessaria per concentrarsi su ciò che conta di più. Con le macchine che fungono da collaboratori piuttosto che come strumenti.

L’analogia con le auto a guida autonoma è semplice. Sono ancora gli esseri umani a stabilire la destinazione. Sono loro a decidere dove andare, quali obiettivi sono importanti e quali rischi sono accettabili. Ma la guida stessa, ovvero navigare sul terreno, evitare gli ostacoli e arrivare a destinazione in sicurezza, è gestita dall’IA.

La cybersicurezza a guida autonoma dovrebbe funzionare allo stesso modo. Le persone definiscono la strategia, le macchine gestiscono il viaggio.