Agentic AI, identità e resilienza: aziende ancora in ritardo

L’intelligenza artificiale agentica (Agentic AI) sta entrando nei processi aziendali più rapidamente di quanto le organizzazioni riescano ad adeguare i propri sistemi di sicurezza.

Il risultato è una nuova superficie di rischio, popolata da agenti software, identità macchina e flussi di lavoro autonomi capaci di accedere a dati e applicazioni senza la supervisione continua di una persona.

A evidenziare il divario è il whitepaper IDC “Resilience Operations: The Discipline that Makes Readiness Provable”, voluto da Commvault.

La ricerca, condotta su 539 decisori IT e responsabili della resilienza in Nord America, mostra che il 90% degli intervistati considera prioritario migliorare la gestione delle identità per affrontare i rischi introdotti dall’AI.

Circa l’85% delle aziende coinvolte ha già subito almeno un incidente informatico.

Le identità non umane aumentano più velocemente dei controlli

Il problema non riguarda soltanto il numero degli agenti AI, ma anche le autorizzazioni loro assegnate.

Molte identità non umane dispongono infatti di accessi permanenti ai dati aziendali e possono essere create automaticamente in funzione delle esigenze operative.

Questa crescita potrebbe portare le identità macchina a superare rapidamente quelle umane, mettendo sotto pressione strumenti e procedure progettati originariamente per dipendenti, collaboratori e amministratori di sistema.

Il 58,7% degli intervistati ritiene necessari miglioramenti significativi, se non una revisione completa, dell’attuale modello di identity management.

“L’AI sta cambiando radicalmente il modo in cui le aziende operano, prendono decisioni e gestiscono il rischio”, osserva Vidya Shankaran, Field CTO di Commvault.

Secondo la manager, molti sistemi costruiti per governare le persone non sono ancora preparati a gestire “una popolazione crescente di agenti AI, identità macchina e flussi di lavoro autonomi”.

Accessi dinamici ancora poco diffusi

I dati più critici emergono analizzando i controlli già adottati. Soltanto il 26,7% delle imprese coinvolte nella ricerca ha implementato sistemi di accesso basati su ruoli dinamici, progettati per adattarsi alle esigenze dell’AI e degli strumenti di analytics.

Ancora più limitata appare la preparazione al ripristino delle infrastrutture di identità.

Appena il 24,7% degli intervistati ha documentato e verificato la capacità di proteggere, individuare compromissioni e recuperare gli ambienti Active Directory ed Entra ID.

A questo si aggiunge una difficoltà organizzativa: il 98,4% dei partecipanti ritiene migliorabile la collaborazione tra i team IT e quelli dedicati alla sicurezza, mentre quasi la metà segnala la necessità di interventi rilevanti.

La resilienza delle identità diventa quindi parte integrante della business continuity. Ripristinare dati e applicazioni può non essere sufficiente quando le credenziali, le autorizzazioni o i sistemi di autenticazione risultano compromessi.

Senza un’infrastruttura identitaria affidabile, anche un ambiente tecnicamente recuperato potrebbe non essere considerato sicuro.

Il minimum viable business resta indefinito

La ricerca mostra inoltre che il 57,7% delle aziende non ha definito completamente il proprio “minimum viable business”, ossia l’insieme minimo di sistemi, processi e funzioni necessari per continuare a servire i clienti durante un’interruzione.

Permangono anche lacune nell’orchestrazione del recovery, nella disponibilità di ambienti cleanroom e nella capacità di verificare preventivamente i piani di ripristino. Non si tratta, quindi, soltanto di acquistare tecnologie di backup, ma di stabilire quali attività debbano essere riattivate per prime, con quali dipendenze e attraverso quali identità autorizzate.

ResOps, la resilienza diventa una disciplina condivisa

Per colmare questo divario IDC individua nelle Resilience Operations, o ResOps, un possibile modello di riferimento. L’approccio punta a riunire business, cybersecurity, infrastrutture, protezione dei dati e recovery intorno a procedure condivise, verificabili e sottoposte a test periodici.

“IDC prevede che ResOps maturerà da disciplina emergente a capacità enterprise mainstream nei prossimi tre-cinque anni”, dichiara Frank Dickson, Group Vice President della practice Security & Trust di IDC.

Le organizzazioni che definiranno in anticipo governance, strumenti e procedure di verifica, secondo Dickson, saranno maggiormente preparate ad assorbire le interruzioni, proteggere i clienti e mantenere operative le attività in uno scenario di minacce sempre più articolato.

Per il canale cresce lo spazio per servizi integrati

Per system integrator, managed service provider e reseller, la crescita dell’AI agentica apre un’area di intervento che supera la tradizionale separazione tra identity management, cybersecurity e protezione del dato.

Le aziende avranno bisogno di assessment delle identità umane e macchina, revisione dei privilegi permanenti, introduzione di accessi dinamici, protezione di Active Directory ed Entra ID e test coordinati dei processi di recovery. A questi servizi potranno affiancarsi consulenza sulla governance, progettazione di cleanroom e definizione del minimum viable business.

Commvault ha inoltre annunciato l’IDC Cyber Readiness Assessment, uno strumento che consentirà alle organizzazioni di valutare la maturità delle capacità di protezione, rilevamento, risposta e ripristino, ottenendo un profilo personalizzato delle aree da migliorare. La disponibilità è prevista nei prossimi mesi.

La sfida per il canale sarà trasformare queste valutazioni in progetti continuativi. Nell’era degli agenti autonomi, infatti, la resilienza non può più essere verificata soltanto dopo un incidente: deve diventare una capacità misurabile, aggiornata e provata prima che l’interruzione si verifichi.