Rendere la vita difficile agli attaccanti significa anche intercettare ciò che sfugge ai controlli

La sicurezza si costruisce attraverso le piccole decisioni che prendiamo ogni giorno. Per questo il Cybersecurity Awareness Month 2026 si concentra sulle abitudini che rendono più difficile la vita agli attaccanti: utilizzare password robuste, attivare l’autenticazione multifattore (MFA), riconoscere e segnalare le truffe e mantenere aggiornato il software. Tuttavia, la sensibilizzazione alla sicurezza deve affrontare anche i rischi che emergono quando i dipendenti introducono nel proprio lavoro nuove applicazioni e nuovi servizi.

L’intelligenza artificiale viene già utilizzata per trovare risposte e svolgere numerose attività, ma le policy e le linee guida aziendali non sempre si sono evolute con la stessa rapidità. Quando non esistono alternative approvate in grado di soddisfare le loro esigenze, oppure quando l’impiego dell’AI viene vietato indiscriminatamente, i dipendenti possono ricorrere a servizi che l’azienda non ha ancora valutato, rendendo più difficile per il team di sicurezza mantenere la necessaria visibilità. Diventa quindi importante ampliare le attività di sensibilizzazione con esempi che aiutino le persone a capire quali informazioni stanno condividendo, chi potrebbe visualizzarle e quali azioni un’applicazione può compiere per loro conto.

Quest’ultimo aspetto diventa ancora più critico nel caso degli agenti AI: chiedere a uno strumento di aiutarci a scrivere un’email è molto diverso dall’autorizzarlo ad accedere alla casella di posta e ad agire in nostra vece. Concedere a questi strumenti l’accesso a email, file e calendari significa assegnare autorizzazioni che un attaccante potrebbe sfruttare in caso di compromissione dell’account o furto delle credenziali.

Se un assistente può consultare tutte le riunioni aziendali quando avrebbe bisogno soltanto dell’agenda di un singolo utente, una violazione potrebbe esporre informazioni riguardanti l’intera organizzazione. Gli account AI devono pertanto essere protetti con la stessa attenzione riservata a qualsiasi altro account che gestisca dati sensibili, attivando l’MFA ovunque sia disponibile e verificando periodicamente le autorizzazioni utilizzate per collegare altri servizi.

La formazione deve quindi spiegare perché, di fronte a una richiesta di accesso inattesa, sia importante fermarsi e verificare che le autorizzazioni richieste siano coerenti con l’attività da svolgere. Allo stesso tempo, le aziende devono riconoscere che l’AI viene già utilizzata, anche quando il team di sicurezza non ha approvato tutte le applicazioni, e comprendere quali servizi siano effettivamente impiegati e quale livello di accesso possiedano.

Comprendere i casi d’uso per decidere come proteggerli

Chatbot, componenti aggiuntivi, estensioni e integrazioni AI utilizzati al di fuori dei processi approvati rientrano nel fenomeno noto come shadow AI. Queste pratiche possono persistere anche in presenza di policy aziendali specifiche. Se un’azienda non è a conoscenza dei collegamenti esistenti con le proprie risorse, rischia di escludere dalle verifiche di sicurezza alcuni punti di accesso che potrebbero essere sfruttati dagli attaccanti.

Per ottenere una visibilità adeguata, le aziende devono monitorare le applicazioni connesse al proprio ambiente cloud, le autorizzazioni concesse attraverso gli account aziendali e le integrazioni non gestite. In questo modo è possibile individuare servizi sconosciuti e verificare a quali informazioni possano accedere e con quali autorizzazioni. Mettere in relazione queste integrazioni con le attività degli account consente inoltre di rilevare i comportamenti che richiedono ulteriori verifiche.

L’obiettivo è trasformare queste informazioni in azioni concrete: esaminare le autorizzazioni concesse a un’integrazione rischiosa, revocare un permesso non necessario oppure indagare su un possibile utilizzo improprio di un account. La supervisione deve proseguire anche dopo l’approvazione di un’applicazione, perché i suoi livelli di accesso e le sue configurazioni possono cambiare nel tempo.

Queste informazioni contribuiscono anche a migliorare le attività di sensibilizzazione alla sicurezza. Conoscere i servizi utilizzati dai dipendenti permette di offrire indicazioni basate su situazioni reali, individuare i casi in cui mancano alternative approvate e chiarire quali dati possano essere condivisi con l’AI, quali debbano rimanerne esclusi e a chi rivolgersi in caso di dubbio.

Formazione e monitoraggio possono così rafforzarsi a vicenda: i dipendenti segnalano i nuovi casi d’uso, mentre il team di sicurezza mantiene la capacità di individuare quelli che rischiano di passare inosservati.

Anche una connessione cifrata può trasportare minacce

Conoscere un’applicazione e le autorizzazioni di cui dispone non è però sufficiente per rilevare tutte le minacce che possono transitare attraverso le sue connessioni. Il WatchGuard Global Threat Report H1 2026 rivela che il 95% del malware osservato a livello di rete è arrivato attraverso connessioni TLS cifrate, mentre soltanto il 20% dei dispositivi Firebox analizzava questo traffico.

La cifratura protegge i dati durante il loro trasferimento, ma può anche nascondere contenuti dannosi ai controlli di sicurezza. La visibilità sugli ambienti cloud deve quindi essere accompagnata dalla verifica degli ambiti nei quali viene applicata l’ispezione HTTPS e del traffico eventualmente escluso dall’analisi. Questa attività comporta la decifratura del traffico, la sua scansione alla ricerca di minacce e la successiva ricifratura, tenendo conto delle verifiche di compatibilità e delle eccezioni necessarie in ciascun ambiente.

Questi dati non indicano che il malware abbia origine dalla shadow AI, ma mettono in evidenza un ulteriore limite della visibilità: identificare un servizio non equivale a esaminare ciò che viene scambiato attraverso le sue connessioni. Individuare applicazioni e punti di accesso aiuta a ridurre l’esposizione, mentre ispezionarne le connessioni consente di rilevare minacce che altrimenti potrebbero rimanere nascoste.

Il Cybersecurity Awareness Month rappresenta quindi un’occasione per verificare se le iniziative di sensibilizzazione aziendali affrontino anche queste nuove abitudini e se i controlli adottati permettano di gestire i rischi che ne derivano. Rendere la vita difficile agli attaccanti significa anche sapere quali applicazioni vengono utilizzate, quali dati gestiscono e quali autorizzazioni mantengono nel tempo, evitando che si creino zone d’ombra nella postura di sicurezza aziendale.