Il rischio interno accompagna le organizzazioni da sempre, fin da quando il lavoro si è strutturato attorno a persone, ruoli e gerarchie.
Ogni nuovo dipendente inserito in azienda amplia in modo inevitabile la superficie di rischio: le sue azioni, che siano intenzionali o frutto di errore, possono portare alla perdita di dati sensibili o al passaggio degli stessi in mani ostili.
Nelle grandi imprese, con organici che possono arrivare a 50.000 o 100.000 dipendenti, diventa di fatto impossibile avere una visione completa sull’operato di ogni individuo.
Anche ipotizzando un contesto in cui tutti agiscono in buona fede, resta il fattore umano: le persone commettono errori, soprattutto quando sono sottoposte a pressioni crescenti legate a produttività e tempistiche ristrette.
A rendere il quadro ancora più complesso contribuisce il clima di incertezza associato all’Intelligenza Artificiale.
Secondo un sondaggio Reuters/Ipsos pubblicato da USA Today a giugno 2026, il 53% degli adulti statunitensi teme che l’AI possa causare la perdita del lavoro per sé o per un membro della propria famiglia.
Questa pressione si traduce spesso in una corsa disordinata verso l’adozione di nuovi servizi capaci, almeno in teoria, di aumentare l’efficienza individuale.
Il mercato è ormai saturo di strumenti AI, che vengono spesso utilizzati senza comprendere bene i rischi legati alle funzioni considerate più innovative.
L’adozione rapida, e talvolta superficiale, di queste tecnologie introduce infatti nuovi vettori di rischio. un singolo dipendente che usa uno strumento senza comprenderne le implicazioni può esporre dati critici, ad esempio caricandoli su piattaforme cloud esterne o integrandoli con servizi non autorizzati.
I due approcci per limitare rischio interno e uso improprio dell’AI
Negli ultimi anni, il settore della cybersecurity ha cercato di affrontare il problema attraverso due approcci distinti: il DLP (Data Loss Prevention) e l’UEBA (User and Entity Behavior Analytics).
Il primo si basa sulla definizione manuale di regole statiche che controllano il flusso dei dati. In pratica, i team di sicurezza configurano centinaia o migliaia di policy per bloccare azioni considerate rischiose.
Un esempio tipico è il limite di 5 MB per il caricamento su un drive condiviso: un file da 5,1 MB viene bloccato, mentre uno da 4,9 MB passa senza problemi.
Allo stesso modo, il sistema può generare un alert quando un documento contenente dati personali, come informazioni PII (Personally Identifiable Information), viene scaricato.
Tuttavia, questo approccio mostra rapidamente i suoi limiti in ambienti dinamici, dove ruoli, progetti, strumenti e priorità cambiano in continuazione.
Di fatto, la gestione manuale delle policy non riesce a scalare alla velocità richiesta dalle organizzazioni moderne.
Il modello UEBA, invece, cerca di applicare modelli matematici al comportamento umano, utilizzando machine learning e analisi comportamentale per identificare eventuali anomalie.
Per esempio, se un dipendente che lavora abitualmente dalle 9 alle 17 accede alla rete a mezzanotte, scatta l’allerta e segnala l’evento come sospetto.
Sebbene questo approccio sia teoricamente più avanzato, nella pratica si rivela spesso impreciso.
I sistemi UEBA tendono a generare un numero elevato di falsi positivi, sovraccaricando i team di sicurezza con migliaia di alert. Il risultato è una riduzione dell’efficacia operativa e un aumento del rischio di ignorare segnali realmente critici.
I report di IBM Security e Microsoft
Come evidenziato da diverse analisi di settore e da report di aziende come IBM Security e Microsoft, che negli ultimi anni hanno sottolineato l’aumento degli incidenti legati a insider threat nei loro resoconti annuali, questi approcci tradizionali non sembrano in grado di risolvere il problema in modo strutturale.
Una delle principali criticità è che il rischio interno è stato storicamente trattato come un problema di rilevazione, confinato al SOC (Security Operations Center), anziché come una sfida trasversale, che coinvolge più reparti aziendali, tra cui figurano risorse umane, ufficio legale e management. Il tutto sempre considerando come l’AI stia rendendo la gestione molto più difficile.
Per la prima volta, le organizzazioni hanno accesso a tecnologie in grado di applicare capacità di reasoning su larga scala al comportamento umano.
L’AI consente di analizzare grandi volumi di dati provenienti da fonti eterogenee, come log di sistema, email aziendali, piattaforme SaaS come Salesforce, Slack e Microsoft 365, e strumenti di collaborazione come Google Workspace. Questo approccio permette di costruire un contesto più ricco e accurato attorno alle azioni degli utenti.
Negli ultimi anni sono nate diverse aziende specializzate nella gestione del rischio interno tramite AI, in particolare tra il 2024 e il 2025, con soluzioni pensate per clienti enterprise e del settore finanziario.
Queste piattaforme utilizzano agenti AI per raccogliere telemetria, correlare segnali e fornire interpretazioni dinamiche dei comportamenti, senza basarsi su policy statiche predefinite.
Si tratta di un cambiamento radicale rispetto ai modelli tradizionali, che richiede anche un’evoluzione culturale all’interno delle organizzazioni stesse.
L’importanza della corretta classificazione delle minacce
Un elemento fondamentale nella gestione del rischio interno è la corretta classificazione delle minacce. Le organizzazioni tendono spesso a raggruppare fenomeni molto diversi sotto un’unica etichetta. In realtà, esistono almeno tre macro categorie principali, ovvero:
- insider malevoli che sottraggono proprietà intellettuale, spesso con azioni di vero e proprio spionaggio industriale, o commettono frodi;
- attori esterni che utilizzano credenziali compromesse per accedere ai sistemi, categoria in cui ricadono i classici cyber attacchi portati avanti da hacker;
- insider non malevoli che causano incidenti per errore o negligenza.
Secondo diverse indagini quest’ultima categoria rappresenta circa il 75% dei casi.
Nello specifico, alcuni studi interni di Ponemon Institute, sembrano indicare un 55% di incidenti legati a negligenza, mentre un ulteriore 20% risulta riconducibile a leggerezze associate alla gestione delle credenziali e al conseguente furto delle stesse.
In ogni caso, monitorare in modo indiscriminato i dipendenti non sembra essere una strategia efficace. Secondo gli esperti, risulta più utile concentrarsi sui cosiddetti “low-hanging fruit”, ovvero le aree a maggior rischio.
In particolare, i dipendenti che hanno accesso a dati critici, come database dei clienti o sistemi CRM, rappresentano un punto di attenzione prioritario.
Inoltre, esiste una finestra temporale particolarmente delicata: il periodo che precede l’uscita di un dipendente dall’azienda.
Il tempo che intercorre tra la decisione di lasciare il lavoro e l’ultimo giorno di attività è spesso quello in cui si registrano i comportamenti più rischiosi.
I segnali premonitori possono includere interazioni con recruiter su piattaforme come LinkedIn, invio di candidature, richieste di ferie improvvise, prenotazioni di viaggi o accettazione di nuove offerte di lavoro.
In casi reali, sistemi basati su AI hanno identificato dipendenti ad alto rischio prima ancora che annunciassero le dimissioni, prevenendo la sottrazione di dati sensibili.
Un altro aspetto cruciale riguarda la governance. Il pericolo interno non può essere gestito esclusivamente dal SOC, ma richiede un approccio coordinato tra diverse funzioni aziendali.
È necessario definire in modo chiaro chi ha accesso a quali dati, chi è responsabile del programma e quali sono le procedure di escalation.
In molte organizzazioni, emergono conflitti tra i vari team, spesso dovuti a una mancanza di chiarezza sulle responsabilità.
Le implementazioni più efficaci vedono nel CISO (Chief Information Security Officer) la figura centrale per coordinare tutto l’ambito della sicurezza.
Il nuovo pericolo degli “utenti sintetici”
Infine, sta emergendo una nuova categoria di rischio: quella degli “utenti sintetici”. Sempre più aziende stanno adottando agenti AI autonomi sviluppati da realtà come OpenAI, Google DeepMind e Anthropic, che operano come veri e propri dipendenti digitali.
Questi agenti possono accedere a sistemi aziendali, interagire con dati sensibili e automatizzare processi complessi. Tuttavia, spesso non sono soggetti agli stessi controlli e livelli di monitoraggio riservati agli utenti umani.
Queste nuove entità rappresentano una sfida significativa, soprattutto perché le loro capacità e i loro livelli di accesso evolvono rapidamente.
Le policy statiche, già inefficaci per gli utenti umani, risultano del tutto inadeguate in questo contesto. È quindi necessario sviluppare framework basati sull’analisi dinamica del comportamento e dell’intento.
Le domande chiave per un ambiente sicuro diventano: chi è questa entità, quale dovrebbe essere il suo comportamento normale e perché eventuali deviazioni stanno avvenendo.
Se è vero che il rischio interno è legato in modo intrinseco alle aziende e alle organizzazioni, le moderne tecnologie hanno reso questo pericolo ricco di ulteriori sfumature, talvolta non semplici da decifrare.
Tuttavia, le tecnologie attuali offrono anche strumenti adeguati per affrontarle in modo efficace.
L’integrazione dell’AI, l’analisi contestuale e approcci cross-funzionali consente di costruire strategie flessibili, capaci di adattarsi all’evoluzione continua delle minacce e dei modelli operativi.
