Costruire la fiducia nell'era della disinformazione, della misinformazione e delle informazioni dannose: sfide e soluzioni

Molte organizzazioni si trovano a dover affrontare la realtà che i propri dipendenti sono già vittime di inganni. È probabile che questo fenomeno si estenda anche ai clienti, agli investitori e ai membri del consiglio di amministrazione.

Per anni, gli avvertimenti si sono concentrati sull'impatto dei deepfake, come ad esempio falsi amministratori delegati nelle videochiamate, voci clonate che autorizzano pagamenti ed e-mail fraudolente.

Queste tattiche non sono nuove, ma negli ultimi anni l'intelligenza artificiale le ha rese più economiche da attuare, più difficili da individuare e molto più convincenti all'interno dei normali flussi di lavoro aziendali.

Questa tendenza implica che il principio Zero Trust sia diventato altrettanto rilevante per l'elaborazione delle informazioni quanto lo era per l'accesso.

Nel campo della sicurezza informatica , il principio Zero Trust parte da un presupposto semplice: nessun utente, dispositivo, applicazione o richiesta dovrebbe essere considerato affidabile per impostazione predefinita.

Nell'era della disinformazione generata dall'intelligenza artificiale, le aziende devono applicare la stessa mentalità alle informazioni che circolano al loro interno.

La nuova crisi di fiducia

Dipendenti, clienti, investitori e partner prendono decisioni basandosi su ciò che vedono, leggono e ascoltano. Se queste informazioni sono false, manipolate o decontestualizzate, le conseguenze possono rapidamente degenerare, passando dalla semplice confusione a danni concreti per l'azienda. Per questo motivo, la disinformazione, le informazioni fuorvianti e le informazioni dannose devono essere considerate rischi aziendali.

La disinformazione – contenuti falsi diffusi involontariamente – è sempre stata un problema. La disinformazione, specificamente progettata per ingannare, è diventata più facile da produrre su larga scala che mai. La malinformazione – informazioni vere, ma spesso deliberatamente decontestualizzate e utilizzate come arma – potrebbe essere la più insidiosa delle tre. Un rivale, un gruppo criminale o una campagna attiva non hanno più bisogno di infiltrarsi in una rete per causare danni significativi. Possono influenzare coloro che sono associati a un'organizzazione e che ne sono interessati semplicemente plasmando ciò che queste persone vedono e credono.

Ciò che rende la situazione particolarmente difficile per le aziende è che rispecchia una difficoltà che gli individui già affrontano. In un ambiente saturo di contenuti generati dall'intelligenza artificiale, le abitudini che le persone devono adottare per proteggersi – riflettere prima di interagire, mettere in discussione la fonte, verificare prima di agire – sono le stesse abitudini che le organizzazioni devono instillare nelle proprie attività.

In sostanza, l'istinto di fiducia si è trasformato in una debolezza. Per affrontare questo problema è necessaria una risposta strutturale che vada oltre una semplice campagna di sensibilizzazione.

L'importanza della fiducia verificata

È qui che il principio Zero Trust diventa la strategia. Tradizionalmente, le organizzazioni hanno considerato Zero Trust come una questione di riduzione dei privilegi, garantendo che solo gli utenti autorizzati abbiano accesso alle applicazioni appropriate. Ma in un ambiente informativo guidato dall'intelligenza artificiale, questo principio deve evolversi. Con l'aumento di minacce come i programmi di intelligenza artificiale dannosi , le aziende non possono più concentrarsi esclusivamente su chi richiede l'accesso. Devono anche indagare sul tipo di informazioni utilizzate, sull'azione intrapresa e sulla veridicità dell'intento che sottende tale azione.

Il passo successivo consiste nell'andare oltre la verifica e l'autenticazione, ponendosi domande come: "Queste informazioni sono attendibili?", "Quest'immagine è reale o generata dall'IA?" e "Questo contenuto è stato alterato?". Il principio Zero Trust fornisce alle aziende un quadro di riferimento per rispondere a queste domande. Obbliga le organizzazioni a verificare prima di agire, a limitare l'esposizione ove possibile e a ridurre il rischio che informazioni false, manipolate o decontestualizzate si diffondano incontrollate all'interno dell'azienda.

Organismi di standardizzazione come C2PA (Alliance for Content Origin and Trust) indicano la direzione verso cui si sta muovendo questo settore: un futuro in cui l'origine e l'integrità dei contenuti saranno incorporate nel contenuto digitale stesso, proprio come un lucchetto in un browser indica una connessione sicura. In sostanza, le aziende non avranno bisogno di verificare l'affidabilità; la fiducia sarà intrinseca all'informazione e trasmessa con essa, con l'origine del contenuto che alimenterà il processo di verifica. Pertanto, ogni singolo contenuto diventerà un segnale nel continuo processo decisionale sull'affidabilità.

Costruire la fiducia nell'era degli agenti intelligenti

Con l'introduzione degli agenti di intelligenza artificiale sul posto di lavoro, la necessità di fidarsi delle intenzioni è diventata ancora più pressante. Questi agenti si comporteranno sempre più come una persona che lavora al nostro fianco, imitando i nostri comportamenti come leggere documenti, interpretare dati, prendere decisioni e agire. La differenza, tuttavia, è che queste identità non umane si muovono alla velocità di una macchina, una velocità che i processi di verifica umani non possono assolutamente eguagliare.

Ciò significa che gli agenti di intelligenza artificiale devono essere governati fin dall'inizio da un modello di fiducia zero. Non ci si può fidare di un agente semplicemente perché fa parte dell'organizzazione, ha l'approvazione dell'utente o è connesso ai sistemi aziendali. La sua identità, i permessi, il comportamento e l'output devono essere costantemente verificati. Altrettanto importante è che gli agenti siano governati dai principi del minimo privilegio, del minimo informazione e del minimo funzionale, concedendo loro solo l'accesso, i dati e le capacità minimi necessari per un compito specifico.

Tuttavia, questi agenti creano una sfida in termini di fiducia che la sola gestione dell'identità non può risolvere. Le aziende dovranno sapere se hanno a che fare con una persona o una macchina, se l'agente si sta comportando in modo responsabile e se le sue azioni riflettono i valori e i limiti dell'organizzazione. In pratica, le aziende dovranno adottare una costituzione operativa rispetto alla quale il comportamento degli agenti venga misurato in modo coerente.

Nell'era dell'intelligenza artificiale, le organizzazioni devono esaminare costantemente e in tempo reale informazioni, contenuti, intenzioni, comportamenti e azioni, mentre la verifica dell'identità avviene in genere solo al momento dell'accesso. Tuttavia, data la portata del compito, l'IA sarà necessaria per l'audit, l'individuazione di irregolarità, la governance, ove necessario, e il mantenimento dell'integrità della catena di fiducia.

Affidarsi all'ingegneria nel mondo degli affari

Le organizzazioni che avranno successo saranno quelle che considereranno la fiducia come qualcosa da progettare e costruire, piuttosto che da dare per scontata. La disinformazione, le informazioni false e le informazioni dannose rappresentano sfide per la sicurezza, la resilienza e la leadership, e l'intelligenza artificiale rende ancora più difficile ignorarle.

Poiché la tecnologia continua a plasmare il modo in cui le informazioni vengono create, condivise e gestite, le aziende devono adottare la stessa disciplina in materia di autenticità che hanno sempre applicato all'accessibilità. Ciò significa verificare i contenuti, interrogarsi sulle intenzioni e limitare le capacità dei sistemi di intelligenza artificiale a ciò che è realmente necessario.

La fiducia non è più l'impostazione predefinita. Nell'ambiente lavorativo odierno, la fiducia deve essere un processo consapevole e continuo, che si sviluppa alla velocità di una macchina e coinvolge informazioni, intenzioni, comportamenti e azioni. La buona notizia è che il quadro di riferimento esiste già nel modello Zero Trust. Ciò che deve cambiare, tuttavia, è il modo in cui le organizzazioni implementano questo modello ed estendono il suo ambito per includere informazioni, intenzioni, comportamenti e azioni.

Abbiamo esaminato, valutato e classificato le migliori suite di sicurezza internet.