The Pulse
Leading.AI pubblica un rapporto sulla sicurezza basato su 300 comunicazioni di violazione
L’esame di 211 raccomandazioni sulla sicurezza provenienti da tutto il mondo condotto da Leading.AI non ha individuato alcuno studio che misuri quali difese impediscano le intrusioni nelle aziende reali. Il rapporto invita i dirigenti a def
AI.info Team · Scritto con l’IA · verificato ·
L’esame di 211 raccomandazioni sulla sicurezza provenienti da tutto il mondo condotto da Leading.AI non ha individuato alcuno studio che misuri quali difese impediscano le intrusioni nelle aziende reali. Secondo il rapporto, la maggior parte delle indicazioni si concentra sul blocco degli attacchi, lasciando ai dirigenti pochi orientamenti sulle decisioni che determinano l’entità dei danni dopo una violazione. L’azienda propone che i vertici definiscano in anticipo politiche sui dati conservati, sulla conservazione dei log e sull’ampiezza della prima comunicazione alle persone interessate.
L’annuncio del 4 novembre descrive due libri open source di Leading.AI: un registro delle comunicazioni di violazione giapponesi e un rapporto sulle politiche basato su indicazioni internazionali. L’ultima edizione del registro, aggiornata il 3 novembre, contiene 300 voci; il rapporto sulle raccomandazioni è stato pubblicato il 30 ottobre. Entrambi sono in giapponese e in inglese e, secondo Leading.AI, i lettori possono citarli o riprodurli secondo i termini della licenza CC BY 4.0.
Cosa documentano le 300 comunicazioni e cosa tralasciano
Il registro elenca le violazioni di dati personali comunicate da aziende e organizzazioni giapponesi dal 1° settembre 2026, basandosi sugli annunci delle stesse organizzazioni interessate. Leading.AI afferma di mantenere la formulazione di quegli annunci, di non convertire il numero di record in numero di persone e di indicare come non comunicata la via dell’intrusione quando l’annuncio non la specifica. Delle 300 voci, 226 comunicazioni descrivevano una via d’intrusione e 74 no.
Delle 226 comunicazioni che indicavano una via d’intrusione, 179 menzionavano un fornitore esterno. Leading.AI afferma che molte comunicazioni non spiegavano come il fornitore fosse stato violato. Raggruppando i casi propagatisi dallo stesso fornitore, le 300 voci si riducono a circa 144 intrusioni indipendenti, di cui all’incirca 47 con una via d’intrusione nota. Più di 20 gruppi di casi riguardavano violazioni propagatesi da uno stesso fornitore, tra cui fornitori di servizi di invio di email e di servizi per siti web.
Il registro menziona l’uso dell’IA da parte degli aggressori in una sola delle sue 300 voci. Quella comunicazione, del Chitose Group, riferisce che è stato ipotizzato un attacco automatizzato che utilizzava l’IA e altri metodi, citando numerose operazioni da più indirizzi IP in breve tempo; l’annuncio non identifica chi abbia formulato tale ipotesi. Separatamente, il 15 ottobre JPCERT/CC ha scritto che la sua indagine su una serie di episodi di accesso non autorizzato aveva confermato che gli aggressori avevano usato l’IA per cercare vulnerabilità note e attaccare tramite API.
«Abbiamo confermato che gli aggressori hanno utilizzato l’IA per effettuare, tra le altre cose, scansioni alla ricerca di vulnerabilità note e attacchi tramite API»
JPCERT/CC, il JPCERT Coordination Center
211 raccomandazioni lasciano tre decisioni alle aziende
Leading.AI ha contato 211 raccomandazioni provenienti da governi, enti pubblici, organismi di standardizzazione, aziende di IA e di sicurezza, assicuratori, mondo accademico e altri contributori. Quattordici affrontavano il tema della misurazione dell’efficacia, ma l’azienda non ha trovato alcuno studio che confrontasse i risultati in aziende reali con e senza una determinata misura di sicurezza. Secondo la sua analisi, le raccomandazioni sono più numerose sulle correzioni delle vulnerabilità, sull’autenticazione a più fattori e sugli strumenti di rilevamento, e meno numerose su ciò che le aziende dovrebbero fare una volta che un attacco è riuscito.
Solo 13 delle 211 raccomandazioni chiedevano di ridurre la quantità di dati conservati: la minimizzazione dei dati è così l’area meno trattata tra le nove previste dalla classificazione del rapporto. Dodici di quelle 13 provenivano da governi o enti pubblici; Leading.AI non ne ha trovata nessuna proveniente da aziende di IA, aziende di sicurezza, organismi di standardizzazione o mondo accademico. Per la conservazione dei log, una sola raccomandazione fissava un numero preciso di giorni: il CERT-In indiano ne aveva indicati 180 nel 2022.
Il rapporto sulle politiche chiede ai dirigenti di decidere quanti dati personali conservare, per quanto tempo conservare i log e se la prima comunicazione di una violazione riguarderà la popolazione massima interessata o un gruppo più ristretto identificato sulla base dei record. Leading.AI afferma che queste politiche non richiedono nuovi prodotti o servizi, ma dovrebbero essere definite dai vertici aziendali anziché lasciate ai reparti informatici. Tra le domande che propone ai consigli di amministrazione figurano quanti record contenenti dati personali detiene l’azienda, per quanti giorni conserva i log di accesso e di attività e chi decide l’ampiezza della prima comunicazione.
Leading.AI intende mantenere aperti entrambi i libri
Il registro è passato dalle 31 voci della prima edizione del 10 ottobre alle 300 della quarta edizione del 3 novembre, con tre aggiornamenti dell’edizione in 24 giorni. Leading.AI afferma che manterrà aggiornati i libri su GitHub, pubblicherà il registro e le raccomandazioni su cui si basano sotto forma di file di dati e apporterà le correzioni aggiungendo note datate anziché eliminare righe. Il rapporto sulle raccomandazioni include anche uno script per ricalcolarne i dati e 16 misure che i lettori potranno verificare in una futura edizione.
Leading.AI afferma che i libri non sostengono che l’IA abbia causato le violazioni elencate, non stilano una classifica delle organizzazioni che hanno comunicato gli incidenti e non identificano quali misure di sicurezza impediscano gli attacchi; secondo l’azienda, il materiale disponibile non ne misura l’efficacia. Il rapporto chiede invece ai dirigenti di definire le politiche sui dati, sui log e sulle notifiche prima che si verifichi un incidente. I due libri sono disponibili nei repository GitHub dell’azienda.