La costante crescita dei carichi di lavoro nelle strutture informatiche aziendali ha reso la gestione del backlog un tema centrale per i responsabili della sicurezza delle informazioni. Negli ultimi anni, la tentazione di accumulare segnalazioni e rimandare le decisioni operative ha trovato copertura nella presunta mancanza di tempo e risorse.
Tuttavia, come emerso in un’intervista approfondita condotta dal produttore David Spark con Varsha Agrawal, responsabile della sicurezza delle informazioni presso Prosper Marketplace, e l’ex-CISO Steve Zalewski per il format CISO Series Podcast, l’introduzione delle tecnologie basate su intelligenza artificiale sta cambiando la natura stessa di questo accumulo di lavoro, imponendo una revisione dei processi di remediation e di governance aziendale.
Indice degli argomenti:
La gestione del backlog nell’era dell’intelligenza artificiale
La riflessione prende le mosse dalle analisi dell’esperto Joshua Copeland, il quale ha evidenziato come l’obiettivo dell’adozione dell’intelligenza artificiale non debba essere la riduzione del personale, ma la ridefinizione delle capacità del team quando il fattore tempo cessa di rappresentare un vincolo rigido. Citando le parole di Copeland riportate da Spark: «La domanda non è quante persone possiamo tagliare, ma di cosa dovrebbe essere capace questo team ora che il tempo non è più un limite».
Analizzando questa impostazione, Agrawal evidenzia come la storica giustificazione della mancanza di tempo abbia spesso rappresentato un alibi per non prendere decisioni chiare. Per circa vent’anni, la presunta impossibilità temporale è servita a mascherare il fatto che determinati compiti presenti nel backlog non venivano svolti semplicemente perché non ritenuti prioritari o dotati di valore reale.
L’automazione e l’accelerazione garantite dai modelli di intelligenza artificiale eliminano questa copertura: la velocità di esecuzione impone oggi di valutare ciascuna attività per stabilire se meriti davvero di essere portata a termine.
Dal ticket in backlog al rilascio diretto della soluzione
L’evoluzione tecnologica modifica le competenze richieste agli analisti della sicurezza. Secondo Agrawal, la priorità per un team moderno non risiede nell’estendere la lista delle attività da compiere, ma nello sviluppare capacità operative differenti.
In primo luogo emerge la necessità di saper rifiutare la mole di materiale generato in modo automatico dai modelli linguistici, definibile come spazzatura informatica o slop. Quando uno strumento automatizzato genera centinaia di ore di lavoro potenziale in pochi minuti, la priorità diventa individuare ciò che non deve essere eseguito.
In secondo luogo, il personale umano deve assumersi la responsabilità diretta della scelta finale, trasformandosi nel punto decisionale per tutte le procedure realizzate dai sistemi automatizzati.
Infine, Agrawal individua un cambiamento sostanziale nella gestione operativa delle vulnerabilità. Nel modello tradizionale, il reparto di sicurezza si limitava a identificare un problema, aprire un ticket e inserirlo nel backlog assegnato agli sviluppatori, delegando a questi ultimi i tempi e i modi della risoluzione.
Con il supporto dell’intelligenza artificiale, che è in grado di suggerire la correzione specifica del codice, il team di sicurezza deve superare la logica dell’accumulo di ticket e inviare direttamente una proposta di modifica pronta per essere unita al codice principale.
Efficienza ed efficacia nei flussi di lavoro di sicurezza
A integrazione dell’analisi operativa, Zalewski introduce una distinzione formale tra i concetti di efficienza e di efficacia. L’efficienza riguarda l’eliminazione dei compiti ripetitivi e complessi che storicamente hanno saturato il backlog dei tecnici. I sistemi di intelligenza artificiale attuali sono in grado di farsi carico di una quota consistente di processi complessi ma routinari, come il triage iniziale degli avvisi nei centri di controllo della sicurezza.
L’efficacia riguarda invece l’applicazione dell’intuito e della creatività umana ai problemi complessi. Secondo Zalewski, il modello di interazione tra uomo e macchina deve evolvere verso una struttura in cui gli agenti di intelligenza artificiale eseguono flussi di lavoro articolati in autonomia, richiedendo l’intervento umano unicamente quando si rende necessaria una decisione strategica.
Oltre il backlog: il rischio di vendor lock-in e la fiducia nell’AI
Un ulteriore elemento analizzato riguarda il rapporto con i fornitori di tecnologia e il fenomeno della dipendenza vincolante dai vendor. Facendo riferimento a un’osservazione di Gary Pearson di Verbix, la criticità principale dei fornitori di intelligenza artificiale non risiede nella tecnologia in sé, ma nella cessione involontaria di flussi di lavoro, modelli dati ed esperienze utente verso roadmap esterne.
Pearson specifica infatti che «il pericolo non è mai stato la tecnologia in sé; è quanta parte del business cedi al fornitore i cui incentivi non coincidono con i tuoi».
Interpellata su come evitare di trovarsi vincolati a scelte inadeguate, Agrawal osserva che nel settore dell’intelligenza artificiale le valutazioni tradizionali al momento della firma del contratto risultano inefficaci. I modelli vengono aggiornati costantemente, la struttura dei costi varia dalle licenze per utente al consumo per token e la stabilità degli stessi fornitori è incerta.
Il vincolo organizzativo e la valutazione della fiducia
Il vincolo più complesso da gestire non è rappresentato dai dati o dalle clausole contrattuali, bensì dal condizionamento culturale del personale. Quando le persone si abituano a lavorare secondo le modalità imposte da un determinato software, il costo e la difficoltà di transizione verso una piattaforma alternativa diventano elevatissimi. Questo fattore organizzativo viene raramente inserito nelle valutazioni di gestione del rischio di terze parti.
Parallelamente, Zalewski invita a riconsiderare il concetto di affidabilità applicato agli strumenti automatizzati, sottolineando la necessità di distinguere tra fiducia incondizionata e sicurezza nell’addestramento. Come affermato da Zalewski: «Non puoi usare la parola “AI” e “fiducia” insieme, è un concetto incompatibile. Devi parlare di “AI” e di “sicurezza” nella risposta che fornisce».
L’obiettivo per le aziende deve essere la comprensione precisa dei limiti di azione del sistema e del grado di accuratezza delle sue risposte.
Governance aziendale e superamento delle metriche di facciata
Il tema della gestione del rischio si estende al rapporto con i consigli di amministrazione. L’esperto David Nolan di Tremont ha evidenziato come le risposte fornite ai vertici aziendali siano spesso fuorvianti, citando la reazione di fronte a domande sulla certezza di non subire violazioni informatiche: «Chiunque dica di sì, o si sbaglia o sta cercando di venderti qualcosa». Nolan ha sottolineato come le tradizionali rappresentazioni grafiche basate su indicatori cromatici rossi, gialli e verdi offrano una falsa sensazione di controllo senza garantire una reale supervisione.
Commentando questa dinamica, Agrawal riconosce che l’utilizzo delle rappresentazioni cromatiche semplificate è stato introdotto per uniformare la sicurezza alle altre funzioni aziendali. Tuttavia, questo formato ha finito per trasformare i consigli di amministrazione in un pubblico passivo. Per superare questa impostazione, la responsabilità del CISO consiste nel presentare chiaramente il rischio d’impresa e richiedere al vertice aziendale una presa di posizione formale sull’accettazione del rischio o sullo stanziamento dei fondi necessari alla sua mitigazione.
La gestione delle decisioni e il bilanciamento del rischio
Nel corso del confronto è stato analizzato uno scenario ipotetico in cui un reparto di sicurezza deve scegliere se rilasciare un sistema di intelligenza artificiale privo di garanzie di protezione per rispettare le scadenze imposte dal vertice, oppure bloccare l’attivazione causando forti attriti operativi.
Sia Zalewski sia Agrawal hanno convenuto che l’atteggiamento di ostruzionismo rigido risulta deleterio per la credibilità della funzione di sicurezza. Quando l’azienda richiede il rilascio di una soluzione, la strategia corretta prevede la formalizzazione dei rischi e l’acquisizione dell’accettazione esplicita da parte della direzione. In questo modo si modifica la dinamica della conversazione, trasformando la sicurezza da ostacolo all’innovazione a funzione di supporto alle decisioni aziendali.
L’evoluzione del rapporto con i fornitori di tecnologia
L’analisi della gestione operativa si completa con l’esame delle dinamiche di vendita nel mercato della cybersecurity. Molti creatori di prodotti faticano a comprendere le reali esigenze dei reparti di sicurezza, i quali si trovano già a gestire un numero elevato di fornitori e strumenti differenti.
Agrawal chiarisce che l’introduzione di un ulteriore strumento volto unicamente a segnalare problemi senza risolverli produce un impatto negativo sulla struttura: «Se mi dici che mi venderai un’altra cosa che andrà ad aggiungersi al mio backlog già straripante, per me ha un valore negativo. Non la comprerò. Quello che voglio è che tu risolva un problema per me: voglio comprare la soluzione a un problema, non il problema stesso».
Cicli di bilancio e corrispondenza d’uso
Dal punto di vista strategico, i fornitori devono comprendere l’organizzazione temporale dei budget aziendali. Presso Prosper Marketplace, come indicato da Agrawal, la pianificazione finanziaria avviene nel quarto trimestre dell’anno. Le proposte commerciali presentate a metà del ciclo contrattuale costringerebbero i responsabili a declassare progetti già approvati, mentre è preferibile concordare la valutazione dello strumento in concomitanza con la scadenza dei contratti in essere.
Sull’approccio che i fornitori dovrebbero adottare, Zalewski sintetizza la richiesta fondamentale dei responsabili della sicurezza con un’indicazione diretta: «Fatti carico di un problema, non mostrarmi un altro problema». Un fornitore deve comprendere le modalità pratiche con cui le sue tecnologie vengono utilizzate sul campo, adattando lo strumento all’operatività quotidiana anziché pretendere che l’azienda modifichi i propri flussi di lavoro.
Il nuovo profilo del responsabile della sicurezza
La trasformazione dei processi interni e della gestione del backlog richiede figure di guida capaci di coniugare competenze strategiche e comprensione tecnica approfondita. La capacità di incidere sull’architettura tecnologica dell’azienda rimane il fattore abilitante per esercitare una governance efficace.
Richiamando l’esperienza diretta nel settore, Agrawal sintetizza l’orientamento necessario per la leadership della sicurezza attraverso un’indicazione precisa: «Il miglior consiglio per un CISO: mettete in produzione qualcosa che porti il vostro nome. Non potete governare chi costruisce se non siete mai stati costruttori voi stessi».
Partecipa alla community