L'IA ha bisogno di accesso. Ma quanto?

Perché identità e accesso stanno diventando fondamenta critica per l'IA aziendale

La gestione dell'identità e degli accessi si è tradizionalmente concentrata su un insieme di domande familiari: chi è l'utente? Quale dispositivo stanno usando? A quali applicazioni e dati dovrebbero essere autorizzati ad accedere?

L'IA sta aggiungendo un'altra dimensione a questo quadro. Man mano che si integra nei processi aziendali, sempre più applicazioni, carichi di lavoro, API e servizi di IA si connettono ai sistemi e ai dati aziendali.

Ciò significa che le organizzazioni devono pensare non solo a quali dipendenti dovrebbero avere accesso, ma anche a quali applicazioni, carichi di lavoro e servizi di IA dovrebbero essere affidabili, a cosa dovrebbero essere autorizzati ad accedere, quali azioni dovrebbero poter svolgere e quanta autonomia dovrebbero avere nell'interazione tra sistemi aziendali.

La questione della sicurezza sta quindi cambiando. L'IA ha bisogno di accesso per creare valore, ma quanto accesso dovrebbe avere?

L'IA crea valore attraverso l'accesso

I sistemi di IA dipendono dalle informazioni per fornire risposte utili, supportare decisioni o automatizzare i processi aziendali. Queste informazioni possono risiedere su piattaforme di collaborazione, applicazioni cloud, database, sistemi ERP per i clienti e ambienti operativi.

L'accesso alle informazioni rilevanti è quindi fondamentale per ciò che l'IA può offrire. Allo stesso tempo, ogni sistema, fonte di dati o applicazione aggiuntiva collegata all'IA introduce un altro rapporto di accesso che deve essere compreso e gestito.

Considera un assistente IA usato per supportare i dipendenti. Per essere davvero utile, potrebbe aver bisogno di accedere a documenti interni, informazioni sui clienti o applicazioni aziendali. Ma ciò non significa che ogni dipendente che usa l'assistente debba indirettamente accedere a tutto ciò che l'IA può raggiungere.

Lo stesso vale per un'applicazione AI collegata a diversi sistemi aziendali tramite API. Può richiedere informazioni da quei sistemi per svolgere la sua funzione, ma ciò non significa necessariamente che debba avere accesso permanente o illimitato a tutti.

Proteggere l'IA aziendale va quindi oltre la protezione della piattaforma di IA stessa. Le organizzazioni devono anche comprendere e controllare il crescente numero di relazioni di accesso che lo circondano.

Da riflettere: sai quali sistemi aziendali e dati le tue applicazioni di IA possono accedere e se ne hanno bisogno di tutti?

Quando l'identità non sarà più solo umana

Le identità delle macchine non sono una novità. Le aziende gestiscono già account di servizio, applicazioni, carichi di lavoro e processi automatizzati. Ciò che l'IA cambia è la scala e la complessità potenziali di queste interazioni, così come il livello di autonomia che alcune di queste identità possono avere all'interno dei processi aziendali.

Un processo abilitato dall'IA può coinvolgere un dipendente, un'applicazione di IA, diverse API, molteplici fonti di dati e altri servizi automatizzati. Ognuno può avere la propria identità e diritti di accesso differenti. Man mano che queste interazioni si moltiplicano, capire quale identità accede a quale risorsa – e per quale scopo – diventa più difficile.

Questo rende l'identità una parte sempre più importante dell'infrastruttura che supporta l'IA. Essere connessi alla rete aziendale da soli non è più motivo sufficiente per fidarsi di un utente, dispositivo, applicazione o carico di lavoro. Le organizzazioni devono capire chi o cosa richiede l'accesso, quale risorsa viene richiesta e se tale accesso è appropriato in quel particolare contesto.

Zero Trust offre un approccio architettonico per affrontare questa sfida.

Dalla fiducia implicita all'accesso controllato

Zero Trust si basa sul principio che l'accesso non dovrebbe essere concesso semplicemente perché un utente, un dispositivo o un'applicazione si trova già all'interno di un ambiente affidabile. Invece, l'accesso è verificato e limitato in base a identità, contesto e bisogno.

Questa distinzione diventa particolarmente rilevante per l'IA aziendale.

Un'applicazione IA collegata a un database cliente può aver bisogno di accedere a informazioni selezionate, ma non necessariamente all'intero database. Allo stesso modo, un dipendente che utilizza un assistente AI può essere autorizzato a recuperare documenti da un'area aziendale ma non da un'altra.

L'obiettivo è rendere l'accesso più preciso invece che semplicemente più restrittivo. Utenti, applicazioni e carichi di lavoro dovrebbero avere l'accesso necessario per svolgere il loro ruolo, senza ottenere automaticamente accesso a risorse di cui non hanno bisogno. Man mano che le organizzazioni collegano l'IA a più sistemi e informazioni, questo principio del minimo privilegio diventa una parte importante per mantenere il controllo.

La sicurezza deve seguire l'interazione

La sfida dell'accesso riflette anche l'evoluzione più ampia della connettività aziendale.

Gli utenti lavorano da posizioni diverse, le applicazioni vengono eseguite su ambienti cloud e aziendali, e i dati si spostano tra sistemi, partner e sedi. I carichi di lavoro di IA possono operare su infrastrutture cloud, edge e on-premises.

In questo contesto, la sola localizzazione della rete fornisce informazioni limitate sul fatto che un'interazione debba essere affidabile. La sicurezza deve quindi tenere conto dell'identità coinvolta, della risorsa a cui si accede e del contesto dell'interazione.

È anche per questo che networking e sicurezza stanno diventando sempre più strettamente collegati. Approcci come Zero Trust Network Access (ZTNA) possono aiutare le organizzazioni a stabilire l'accesso basandosi su identità e contesto, mentre le architetture Secure Access Service Edge (SASE) combinano capacità di rete e sicurezza in ambienti distribuiti.

Il principio di base è semplice: ogni connessione dovrebbe avere una ragione per esistere, e il livello di accesso che la sostiene dovrebbe riflettere quella ragione.

Questo diventa ancora più importante man mano che l'IA passa dal recuperare e elaborare le informazioni all'azione attraverso i sistemi aziendali. Le organizzazioni dovranno sempre più gestire non solo quali sistemi e dati un'applicazione di IA può accedere, ma anche il livello di accesso che ha – se può recuperare informazioni, scrivere o modificare dati, o attivare azioni su altre applicazioni e sistemi. Man mano che i sistemi di IA diventano più capaci di agire in modo indipendente, le organizzazioni devono anche decidere come queste azioni possano essere eseguite autonomamente e dove sia richiesta l'approvazione umana.

L'IA rende più difficile gestire il minimo privilegio

Applicare il minor privilegio diventa più difficile con il cambiamento degli ambienti aziendali.

I dipendenti si spostano tra i ruoli, le applicazioni si evolvono, nuove fonti di dati sono connesse e gli ambienti cloud si espandono. I casi d'uso dell'IA che iniziano come progetti relativamente isolati possono infine essere integrati nei processi critici per il business.

I permessi possono accumularsi nel frattempo.

Un'applicazione IA inizialmente collegata a due sistemi può infine interagire con dieci. Un servizio progettato per recuperare informazioni può successivamente diventare parte di un flusso di lavoro automatizzato. Un accesso che era appropriato all'inizio di un progetto potrebbe non esserlo più man mano che il suo scopo cambia.

Ciò significa che l'accesso non può essere configurato una sola volta e lasciato invariato. Le organizzazioni hanno bisogno di visibilità su quali identità esistono, quali risorse possono accedere e se tali permessi rimangano appropriati man mano che il loro ambiente di IA si sviluppa.

Spunto di riflessione: se una delle tue applicazioni di IA cambiasse ruolo domani, quanto velocemente potresti identificare e modificare tutto ciò a cui è consentito accedere?

Quando l'IA inizia ad agire

Questa domanda diventerà ancora più rilevante man mano che le organizzazioni inizieranno a utilizzare più ampiamente gli agenti di IA.

Molte applicazioni di IA aziendale oggi aiutano principalmente gli utenti a trovare informazioni, generare contenuti, analizzare dati o supportare decisioni. Gli agenti AI possono andare oltre svolgendo compiti su diversi sistemi, come recuperare informazioni, aggiornare i record, attivare flussi di lavoro o interagire con altre applicazioni.

Di conseguenza, le organizzazioni devono considerare non solo quali informazioni un sistema di IA può accedere e recuperare, ma anche quali azioni è autorizzato a svolgere.

Un sistema di IA in grado di leggere un record cliente richiede un livello di controllo. Un sistema che può modificare il record, avviare una transazione o attivare un altro processo aziendale richiede un livello diverso di autorizzazione e supervisione.

Man mano che l'IA assume un ruolo più attivo nei processi aziendali, le organizzazioni dovranno considerare identità, autorizzazione e visibilità non solo per i propri dipendenti e applicazioni, ma anche per i sistemi di IA che agiscono per loro conto.

Domande che i leader dovrebbero porre

Man mano che l'IA si integra in più processi aziendali, i leader della tecnologia e della sicurezza dovrebbero considerare:

• Quali utenti, applicazioni, carichi di lavoro e servizi di IA possono accedere ai nostri sistemi critici?
• Abbiamo una visione centralizzata di quali identità umane e macchine hanno accesso a quali sistemi, applicazioni e dati all'interno dell'organizzazione?
• Quali fonti di dati aziendali sono attualmente collegate alle applicazioni di IA?
• Ogni servizio di IA ha accesso solo alle informazioni di cui ha bisogno?
• Come vengono autenticate e autorizzate le identità umane e macchine?
• I diritti di accesso possono cambiare man mano che cambiano ruoli, rischi o requisiti aziendali?
• Possiamo vedere quali identità stanno accedendo a risorse sensibili in diversi ambienti?
• Quali azioni sono autorizzate alle applicazioni di IA, non solo quali informazioni possono recuperare?
• Questi controlli potrebbero scalare se il numero di applicazioni e agenti di IA aumentasse significativamente?

L'obiettivo è garantire che l'accesso rimanga intenzionale e gestibile man mano che l'IA si integra più profondamente nell'azienda.

Costruire fiducia nell'IA aziendale

L'IA crea valore unendo informazioni, applicazioni e processi aziendali. Man mano che queste connessioni crescono, le organizzazioni hanno bisogno di un modo più preciso per determinare chi e cosa può accedere alle loro risorse digitali.

Zero Trust fornisce un principio architettonico utile per questo ambiente. Invece di assumere fiducia basata sulla posizione o su una connessione esistente, l'accesso si basa su identità verificata, contesto e permessi richiesti per una particolare interazione.

Man mano che l'IA evolve dal supportare i dipendenti con informazioni a svolgere più compiti nei sistemi aziendali, questi principi diventano rilevanti non solo per controllare ciò a cui l'IA può accedere, ma anche ciò che può fare.

La domanda, quindi, non è semplicemente quanto accesso abbia bisogno all'IA. Le organizzazioni devono anche determinare cosa l'IA dovrebbe poter fare con quell'accesso, mantenendo al contempo la visibilità e il controllo necessari per modificare o rimuovere tali permessi quando necessario.

Continua la conversazione

Man mano che l'IA si collega a più dati aziendali, applicazioni e processi aziendali, la gestione di identità e accesso diventa una parte importante dell'infrastruttura che la supporta.

Se desideri discutere di come Zero Trust, connettività sicura e controlli di accesso possano supportare la tua strategia di IA, i nostri specialisti sono a disposizione per aiutarti.


Immagine: creata con l'IA