Il rischio cyber si misura in euro: con TrendAI sicurezza e business parlano la stessa lingua

A Milano Marittima, il 10 e 11 giugno, la divisione enterprise di Trend Micro ha riunito i partner per la nona edizione della sua Academy, la prima sotto il nuovo marchio TrendAI. Il filo conduttore è il cambio di nome, dal vecchio Trend Micro a TrendAI, dove la prima parte rimandava al microprocessore delle origini e la seconda rimanda oggi all’intelligenza artificiale. Non è un semplice restyling: è il modo in cui l’azienda intende raccontare quanto la sicurezza informatica sia già cambiata sotto la spinta dell’IA.

Storicamente riservata ai partner di canale, per la prima volta aperta anche ai clienti, e costruita attorno al tema della velocità e delle corse, l’edizione porta con sé un messaggio che l’azienda riassume così: usare l’intelligenza artificiale come opportunità da governare con consapevolezza, perché acceleri l’innovazione senza diventarne un freno. È la cornice scelta per spiegare una transizione che, nelle intenzioni, va oltre il marketing.

Un cambio di nome che parte dai dati

A illustrare la rotta tecnica italiana è Marco Fanuli, Technical Director Italy di TrendAI, che inquadra subito la scelta del nome come un passaggio maturato dall’interno. “Non è stato inseguire una parola di moda o un trend, ma un’evoluzione naturale”, afferma. Il motivo, spiega, sta nella storia dell’azienda: quasi quarant’anni passati a raccogliere dati di sicurezza dagli endpoint, il punto da cui nasce gran parte della telemetria. È quel patrimonio, sostiene, a fare la differenza nell’era dei modelli. “Nell’era dell’IA puoi avere i modelli più belli del mondo, ma se non hai i dati quei modelli non puoi addestrarli nel modo corretto”.

Il punto di partenza è una constatazione che vale ben oltre la cybersecurity. Le persone sono sommerse di messaggi, notifiche e sollecitazioni, e l’IA ha accelerato il fenomeno. Nel centro operativo di sicurezza accade lo stesso: gli analisti convivono con un flusso continuo di alert che non si azzera mai. È facile, ricorda Fanuli, finire la giornata avendo esaminato solo i primi alert della lista, senza la certezza che fossero i più importanti. Da qui l’idea di una piattaforma che faccia emergere ciò che conta davvero, ordinando le priorità non solo per gravità tecnica, ma anche per l'impatto sul business.

Dal rischio tecnico al valore economico

La quantificazione economica del rischio è il tema su cui Fanuli si accende di più, perché tocca un nodo che vede ogni giorno dai clienti, la distanza di linguaggio tra chi parla di vulnerabilità e chi decide gli investimenti. La sicurezza informatica è un argomento tecnico, ma è ormai anche un tema di business, dato che ricerche come quelle del World Economic Forum e dell’Allianz Risk Barometer collocano il rischio cyber tra le prime preoccupazioni delle aziende. Con la Cyber Risk Exposure Management (CREM) l’azienda prova a colmare quel divario, traducendo l’esposizione in una cifra. “Oggi siamo in grado di mettere un valore economico dietro ogni rischio. Da lì è più facile capire le priorità: non in base alla severità tecnica dell’incidente, ma al rischio per il business”, spiega.

La differenza diventa concreta con un esempio: una vulnerabilità critica su una macchina di test pesa poco, mentre un attacco meno appariscente su un sistema vitale, il motore di gestione dei mutui di una banca, vale molto di più. Durante una delle dimostrazioni un singolo nodo compromesso si traduceva in un impatto da 1,7 milioni di dollari, un numero che in azienda tutti capiscono. È il ponte tra il mondo tecnico e quello finanziario: dove prima la conversazione si fermava, ora c’è un linguaggio comune che permette al responsabile della sicurezza di parlare con il resto dell’organizzazione. Aiuta anche a sostenere il confronto con le normative, dalla NIS2 in giù, che negli ultimi tempi si sono moltiplicate e hanno aggiunto carico a chi gestisce la sicurezza.

L’analista come amministratore delegato di una squadra di agenti

La seconda leva è l’intelligenza artificiale agentica. Davanti a un numero di incidenti che cresce e a una carenza cronica di professionisti, la piattaforma affida a una rete di agenti il lavoro di selezione e, dove possibile, di rimedio automatico. Sotto al centro operativo, racconta Fanuli, lavorano più modelli specializzati: chi gestisce le integrazioni con terze parti, chi rileva malware specifici, chi assegna le priorità. In una delle dimostrazioni, mentre l’operatore si era allontanato, il sistema aveva gestito 156 notifiche risolvendone in autonomia circa l’80%.

Il modello non sostituisce l’analista, lo promuove. “L’analista deve passare in poco tempo dal lavorare in prima persona al fare l’amministratore delegato di un’azienda fittizia, con sotto di sé un insieme di bot”, sintetizza Fanuli. Resta l’human in the loop: una persona che delega ma anche controlla, lasciando agli agenti la remediation automatica solo quando il grado di affidabilità è sufficientemente alto, attraverso procedure predefinite.

Il punto delicato è la fiducia. Qui Fanuli usa due paragoni. Il primo è la guida autonoma: i veicoli a guida automatica possono sbagliare, ma l’ordine di grandezza degli errori è ormai paragonabile a quello umano. Il secondo viene dalla sicurezza stessa, con tecnologie come la prevenzione della perdita di dati (DLP) e i sistemi di prevenzione delle intrusioni (IPS), che da sempre convivono con i falsi positivi e che nessuno si sognerebbe di rimuovere. Il messaggio è che serve un cambio di abitudini. “Dobbiamo abituarci a lasciare andare un po’ il lavoro, esattamente come un amministratore delegato che ha fatto quel lavoro per anni e all’inizio fatica a delegare”, ammette.

Sullo sfondo c’è l’evoluzione di chi attacca. Gli avversari si sono organizzati come una filiera: c’è chi è specializzato soltanto nell’aprire la porta e poi rivende l’accesso come un servizio, e chi lo sfrutta per esfiltrare dati o lanciare un ransomware. L’IA ha alzato ulteriormente l’asticella, con malware capaci di cambiare forma a seconda del contesto, campagne di phishing sempre più credibili e perfino bot che automatizzano la trattativa con la vittima. È il contesto che rende la difesa basata sui dati non un vezzo, ma una necessità.

La scommessa di TrendAI, in fondo, è tutta qui: nell’era dei modelli accessibili a chiunque, il vantaggio competitivo non sta nell’algoritmo, ma nella telemetria che lo alimenta e nella capacità di tradurla in qualcosa che il business sappia leggere. La piattaforma Vision One è il luogo dove queste tre direttrici, dati, quantificazione del rischio e automazione agentica, convergono. La vera incognita è quanto in fretta le organizzazioni sapranno adottare un modello in cui delegare a una macchina diventa parte del mestiere dell’analista, ma per chi difende le aziende la direzione appare ormai tracciata.