In questo articolo Indice dei contenuti 2 sezioni
L’automazione nella cyber security è diventata una presenza fissa nei centri operativi, eppure basta un singolo errore dell’algoritmo per incrinare il rapporto fra chi analizza gli incidenti e gli strumenti che dovrebbero aiutarlo. Una segnalazione sbagliata, un blocco applicato dove non serviva, una minaccia reale lasciata passare. Da quel momento l’analista tende a ricontrollare ogni decisione presa dalla macchina, e il vantaggio che l’automazione avrebbe dovuto garantire si scioglie.
Il punto è che la sfiducia non è gratuita. Ha un prezzo misurabile, e lo si paga esattamente nel momento peggiore, cioè quando un attacco è in corso e ogni minuto conta. Se il team verifica manualmente ciò che il sistema ha già valutato, l’incident response rallenta. E un rallentamento, nella pratica quotidiana della difesa, significa regalare tempo a chi sta dall’altra parte.
Quando il doppio controllo diventa un varco
Il paradosso è evidente. Gli strumenti automatici nascono per accorciare i tempi di rilevamento e reazione, per filtrare il rumore di fondo degli alert e lasciare agli esseri umani solo le decisioni che contano davvero. Ma se l’analista non si fida, ogni output viene trattato come un’ipotesi da verificare, non come un’informazione su cui agire. Il risultato è un doppio lavoro che nessuno aveva previsto in fase di progettazione. In una finestra temporale stretta, quella in cui un attaccante si muove lateralmente o inizia a esfiltrare dati, la differenza fra una risposta immediata e una risposta filtrata da tre livelli di controllo manuale può essere sostanziale. Gli attaccanti non chiedono permesso e non aspettano che il team di sicurezza abbia finito di validare la segnalazione numero quarantasette della giornata. Sfruttano proprio quelle esitazioni.
C’è poi un aspetto più sottile. La sfiducia raramente resta circoscritta allo strumento che ha sbagliato. Tende a estendersi, a contaminare la percezione generale dell’automazione, fino a trasformarsi in una forma di resistenza culturale. Il sistema resta installato, viene pagato, produce report. Solo che nessuno lo usa davvero per quello che dovrebbe fare.
Progettare la fiducia, non solo la tecnologia
Per i CISO questa dinamica sposta il problema su un piano diverso da quello puramente tecnico. Scegliere una piattaforma, configurare le regole, definire i playbook: tutto questo è necessario ma non basta. Serve ragionare su come quella tecnologia verrà percepita da chi la utilizza ogni giorno, perché è lì che si decide se l’investimento produrrà valore oppure solo attrito. Progettare l’automazione significa quindi progettare anche la fiducia. Un’affermazione che sembra astratta, ma che si traduce in scelte molto concrete: rendere comprensibili i criteri con cui il sistema prende una decisione, permettere agli analisti di capire il perché di un’azione automatica, costruire percorsi in cui l’errore venga riconosciuto e corretto invece che nascosto sotto il tappeto.
La fiducia nei sistemi automatici, del resto, funziona più o meno come quella fra persone. Si costruisce lentamente, con la coerenza dei risultati, e si perde in fretta. Un solo episodio negativo pesa più di cento decisioni corrette, soprattutto in un contesto dove lo sbaglio può costare un incidente di sicurezza.
Il tema riguarda l’equilibrio fra velocità e controllo, fra delega alla macchina e supervisione umana. Un equilibrio che non si trova una volta per tutte, ma va rivisto mano a mano che gli strumenti evolvono e che i team imparano a convivere con loro. Nella cyber security, chi gestisce l’automazione deve mettere in conto che la variabile umana pesa quanto l’algoritmo.
Fonte: TecnoAndroid
