Come l'AI sta accelerando gli attacchi informatici
Fino a pochi anni fa, trasformare una falla software in un attacco richiedeva skill tecniche verticali e tempistiche molto lunghe. Oggi l'AI generativa e gli agenti autonomi trovano la vulnerabilità e producono l'exploit, cioè il codice che la sfrutta, in tempi molto ridotti. IVASS lo scrive con chiarezza: non servono nemmeno competenze tecniche e questo allarga la distanza tra chi attacca e l’organizzazione che si difende. I numeri lo confermano. Secondo Ivanti, ogni anno vengono divulgate oltre 45.000 CVE (Common Vulnerabilities and Exposures, il codice che identifica ogni falla nota) e il tempo medio di sfruttamento di una vulnerabilità è sceso a soli 5 giorni. Dall'altra parte però, il tempo medio impiegato dalle imprese per correggere le vulnerabilità critiche supera i cinque mesi: un divario che rende la finestra di esposizione sempre più ampia.
Gli aggressori usano modelli linguistici avanzati per creare campagne di phishing (truffe digitali via e-mail) iper-personalizzate e prive di errori grammaticali, capaci di ingannare anche i dipendenti più attenti. Un attacco automatizzato può saturare i server aziendali, sottrarre dati sensibili dei clienti o bloccare l'erogazione delle polizze in pochi minuti. Di conseguenza, le strategie difensive basate su interventi manuali o verifiche periodiche risultano del tutto inefficaci nel contesto attuale.
I rischi per il settore assicurativo secondo IVASS
Nel binomio Intelligenza Artificiale e cybersicurezza, le assicurazioni sono un bersaglio ideale: custodiscono dati personali, sanitari e finanziari.
Per IVASS le nuove tecnologie mettono a rischio la riservatezza, l'integrità e la resilienza dei sistemi informatici e delle informazioni che gestiscono. L'Istituto richiama il regolamento DORA (Digital Operational Resilience Act, la norma europea sulla resilienza operativa digitale), che resta pienamente applicabile e va letto come condizione di continuità del business, non come semplice adempimento.
La comunicazione individua diverse aree critiche: governance, igiene informatica, inventario delle risorse, gestione delle vulnerabilità, monitoraggio e test di resilienza. Preoccupano soprattutto i sistemi esposti su internet, il software open source (con codice pubblico), le tecnologie obsolete e le vulnerabilità zero-day, cioè quelle per cui non esiste ancora una patch.
C'è poi la catena dei fornitori: l'integrazione di servizi cloud e software esterni amplia la superficie d'attacco. IVASS avverte che filiere articolate su più livelli, trasformano un problema locale in un incidente che colpisce più organizzazioni.
Ne discende una conseguenza precisa per il CdA: deve inserire questi rischi nel RAF (Risk Appetite Framework, ovvero il quadro di riferimento per la determinazione della propensione al rischio) e pretendere dai fornitori requisiti contrattuali su sicurezza, monitoraggio e aggiornamenti.
Il CdA non può delegare queste decisioni al reparto IT, ma deve assumersi la responsabilità diretta delle scelte strategiche e degli investimenti finanziari.
Le opportunità: AI per la gestione delle vulnerabilità e il monitoraggio delle anomalie
L'evoluzione tecnologica non favorisce solo i cybercriminali: la stessa tecnologia offre strumenti straordinari di difesa. IVASS invita le compagnie a gestire le vulnerabilità con strumenti basati sull’AI, per colmare il divario di velocità tra attacco e risposta. Lo stesso vale per il monitoraggio: algoritmi capaci di analizzare enormi volumi di dati individuano comportamenti anomali in tempo reale, soprattutto sugli asset più rilevanti.
Il vantaggio maggiore è la capacità di stabilire le priorità. Un sistema di AI che filtra e ordina le segnalazioni, libera tempo per ciò che conta. Serve però un presupposto: sapere che cosa si sta proteggendo. IVASS chiede di sincronizzare il monitoraggio con l'inventario delle risorse informatiche, per esempio un CMDB (Configuration Management Database, l'archivio che censisce i sistemi e le loro relazioni). Chi non ha queste informazioni può affidarsi a servizi gestiti come MDR (Managed Detection and Response, rilevazione e risposta gestite da specialisti) o a un SOC (Security Operations Center, centro di controllo attivo 24 ore su 24).
Piattaforme come quelle sviluppate da partner specializzati (tra cui Cyberoo, Sophos e Proofpoint) identificano comportamenti anomali, come un accesso insolito alle banche dati, e bloccano la minaccia prima che generi un danno effettivo.
Resta però decisivo che l'impresa conosca i propri asset critici e mantenga il controllo sulle decisioni più importanti.
Come integrare l'AI in sicurezza senza aumentare l'esposizione
Uno strumento di AI per la difesa è a sua volta un sistema da governare. Per gestire correttamente l'integrazione, IVASS richiede al CdA di implementare quattro azioni fondamentali:
- coerenza con la strategia aziendale sull'Intelligenza Artificiale;
- valutazione preventiva del rischio;
- monitoraggio delle prestazioni con la verifica di eventuali deterioramenti del modello;
- supervisione umana appropriata.
In pratica, per valutare il rischio di questi strumenti conviene chiedersi: a quali dati accede il sistema? Quanti falsi positivi e falsi negativi produce? Chi decide quando l'algoritmo segnala un'anomalia? Le risposte alimentano la relazione richiesta dall'Istituto.
Quanto alle competenze, IVASS richiede che nell'organo amministrativo ci siano componenti con adeguate conoscenze tecnologiche e di Intelligenza Artificiale e di stanziare un budget per la formazione continua degli amministratori. I membri del CdA e i dirigenti devono quindi seguire percorsi formativi specifici, come i programmi erogati da Reti Academy, per comprendere i rischi tecnologici e prendere le decisioni con consapevolezza.
Valuta la resilienza della tua compagnia con un assessment gratuito
Rispondere alle direttive IVASS entro la scadenza del 31 dicembre 2026 impone un'analisi precisa dello stato attuale della tua infrastruttura. Le compagnie devono presentare una relazione dettagliata che identifichi i gap di sicurezza, le azioni correttive e il piano degli investimenti approvato dal CdA e dal Collegio Sindacale.
Reti supporta le imprese assicurative nella definizione di strategie integrate di cybersicurezza, governance e formazione. I nostri esperti valutano il livello di maturità dei tuoi sistemi, verificano l'allineamento con i requisiti IVASS e DORA e individuano le priorità d'intervento.
Per un periodo limitato, offriamo un assessment gratuito dedicato ai membri del CdA e ai C-Level del settore assicurativo. Contattaci oggi per valutare il livello di resilienza della tua organizzazione e individuare le aree su cui intervenire!
