Forza lavoro digitale: perché i corsi di formazione sulla sicurezza tradizionali non sono più sufficienti

I corsi di formazione tradizionali sulla consapevolezza in materia di sicurezza informatica si basano su contenuti e formati didattici standardizzati, che vengono proposti sporadicamente – solitamente solo una volta all’anno. Il loro obiettivo è aumentare la consapevolezza in materia di sicurezza informatica dei dipendenti di un’azienda. Il problema: sempre più spesso l’effetto sperato non si verifica.

Gli autori degli attacchi ricorrono sempre più spesso all’intelligenza artificiale (IA) per supportare le loro operazioni di ingegneria sociale, phishing e spear-phishing. Di conseguenza, la velocità e la varietà degli attacchi aumentano costantemente e sono ormai difficilmente contrastabili in modo efficace tramite programmi di apprendimento statici. A ciò si aggiunge il fatto che le aziende affiancano sempre più spesso ai propri dipendenti agenti basati sull’intelligenza artificiale, privi di capacità di riflessione e comprensione dei rischi – il che li rende un bersaglio allettante per i criminali informatici.

L'esempio di EchoLeak illustra la nuova dimensione della minaccia

Un esempio lampante del nuovo panorama delle minacce è il cosiddetto attacco «EchoLeak», basato sulla tecnica Zero-Click Indirect Prompt Injection. Gli hacker sfruttano il fatto che Copilot elabori dati in background provenienti da e-mail, chat e documenti, senza che l’utente debba intervenire attivamente. Inviando alla vittima un’e-mail o un documento contenente comandi nascosti, come testi invisibili, commenti HTML o metadati, Non appena Copilot esegue le sue attività di routine – ad esempio riassumendo un’e-mail in cui è presente un comando nascosto – l’IA legge questi comandi e li esegue senza che la vittima se ne accorga.

Questo esempio dimostra chiaramente che, se le aziende vogliono proteggere efficacemente il proprio personale digitale, non è più sufficiente limitarsi a trasmettere conoscenze. I corsi di formazione e addestramento devono contribuire attivamente a migliorare in modo duraturo i comportamenti a rischio effettivi dell’intero personale digitale.

Una piattaforma di sicurezza integrata anziché misure isolate

Per proteggere efficacemente la forza lavoro digitale da attacchi di questo tipo e simili, occorre ben più che programmi di formazione isolati, sporadici e statici. È necessaria una piattaforma di sicurezza unificata per l’intera forza lavoro digitale che, proprio come i difensori, si affidi ad agenti di IA. Questa piattaforma deve essere in grado di individuare tutti gli agenti di IA presenti nella rete aziendale, limitarne i diritti, nonché monitorarne e analizzarne le operazioni e le attività in tempo reale e, se necessario, bloccarle.

Allo stesso tempo, deve rilevare, analizzare e classificare in tempo reale i comportamenti a rischio di ogni singolo collaboratore sul posto di lavoro, per poi fornire una formazione personalizzata in base ai punti deboli di ciascuno. A tal fine, la piattaforma non deve considerare il comportamento a rischio umano e la vulnerabilità al rischio degli agenti di intelligenza artificiale come due problemi distinti. Deve unire entrambi e analizzarli congiuntamente. Solo un indicatore di rischio integrato e un piano di intervento integrato possono evidenziare dove le aziende devono prestare maggiore attenzione e intervenire con urgenza.

La governance operativa come necessità strategica

Poiché gli agenti di IA contribuiscono ormai in misura significativa alla definizione dei processi aziendali e svolgono le attività lavorative insieme alle loro controparti umane, le aziende devono istituire una governance operativa, nonché strumenti e processi adeguati. Questi aiutano a proteggere le persone e gli agenti di IA da tentativi di manipolazione nell’ambito della loro interazione. La sola formazione sulla consapevolezza in materia di sicurezza informatica non è più sufficiente.

Solo attraverso un approccio integrato di questo tipo è possibile realizzare una trasformazione sostenibile: passando dal semplice rafforzamento della consapevolezza in materia di sicurezza dei collaboratori umani alla riduzione attiva dei rischi per l’intero personale digitale – persone e agenti di IA in egual misura.

Fonte: www.knowbe4.com

Questo articolo è apparso originariamente su m-q.ch - https://www.m-q.ch/de/digitale-belegschaft-warum-klassische-sicherheitsschulungen-nicht-mehr-genuegen/