L’intelligenza artificiale sta cambiando la cybersecurity più rapidamente di quanto le organizzazioni riescano a ridefinire le competenze necessarie per difendere i propri sistemi. I professionisti della sicurezza non si occupano più soltanto di reti, endpoint, applicazioni e minacce informatiche convenzionali. Operano sempre più in ambienti in cui i sistemi di IA possono essere al tempo stesso un asset aziendale critico e un potente strumento nelle mani degli attaccanti.
Questo cambiamento solleva una domanda importante per datori di lavoro, organismi di certificazione e professionisti della cybersecurity: come dovrebbe essere definita, valutata e certificata la competenza in cybersecurity quando l’IA sta cambiando sia lo scenario delle minacce sia gli strumenti utilizzati per difendersi?
Le qualifiche tradizionali in cybersecurity resteranno importanti. Ma l’era dell’IA sta creando un nuovo livello di competenza che comprende attacchi basati sull’IA, difesa assistita dall’IA, sicurezza dei modelli, integrità dei dati, processi decisionali automatizzati, tecniche avversarie e governance degli strumenti di sicurezza basati sull’IA.
La competenza in cybersecurity sta entrando in una nuova fase
La cybersecurity è sempre stata una professione in rapida evoluzione. Cloud computing, tecnologie mobili, tecnologia operativa, prodotti connessi e catene di fornitura sempre più complesse hanno continuamente ampliato le competenze richieste ai professionisti della sicurezza.
L’intelligenza artificiale accelera notevolmente questa evoluzione.
I professionisti della cybersecurity devono comprendere sempre più non solo come possono essere attaccati i sistemi informativi convenzionali, ma anche come i sistemi di IA introducono nuove vulnerabilità e come l’IA stessa può cambiare l’economia e la velocità delle operazioni cyber.
Il risultato è un profilo professionale più ampio, in cui cybersecurity, tecnologia dell’IA, gestione dei rischi e governance si intersecano sempre di più.
L’IA sta cambiando entrambi i lati dell’equazione della cybersecurity
Una delle caratteristiche distintive del contesto emergente è che l’intelligenza artificiale può rafforzare sia gli attaccanti sia i difensori.
I team di sicurezza possono utilizzare l’IA per analizzare grandi volumi di eventi, individuare comportamenti anomali, assegnare priorità alle vulnerabilità, automatizzare attività di sicurezza ripetitive e supportare le indagini sugli incidenti.
Gli attaccanti possono utilizzare capacità analoghe per accelerare la ricognizione, migliorare l’ingegneria sociale, generare contenuti dannosi, individuare potenziali vulnerabilità e automatizzare parti delle campagne di attacco.
L’IA può aiutare i team di sicurezza a elaborare grandi volumi di informazioni, individuare anomalie e concentrare l’attenzione sulle potenziali minacce.
Gli attaccanti possono utilizzare l’IA per migliorare ricognizione, phishing, automazione e sfruttamento con maggiore velocità e su scala più ampia.
Un professionista della cybersecurity dovrebbe essere in grado di comprendere che cosa sta facendo la tecnologia di sicurezza basata sull’IA, valutarne i limiti e le evidenze e prendere decisioni difendibili, anziché limitarsi a utilizzare lo strumento.
La sicurezza dei sistemi di IA sta diventando una disciplina della cybersecurity
Le organizzazioni stanno introducendo sistemi di IA in processi aziendali, prodotti, infrastrutture e contesti decisionali. Tali sistemi richiedono a loro volta protezione.
La sicurezza dell’IA introduce questioni tecniche che potrebbero non aver fatto parte dei programmi tradizionali di certificazione in cybersecurity.
Individuare le minacce che interessano modelli di IA, applicazioni, interfacce, dataset e sistemi connessi.
Valutare i controlli di sicurezza associati alle applicazioni basate sull’IA e agli ambienti di deployment.
Comprendere gli attacchi volti a manipolare il comportamento, gli input o le prestazioni dei modelli di IA.
Valutare rischi quali data poisoning, informazioni di addestramento manipolate e dataset compromessi.
Comprendere la prompt injection, la manipolazione non autorizzata e i rischi derivanti dalle interfacce delle applicazioni di IA.
Indagare comportamenti anomali dell’IA, eventi di sicurezza e compromissioni che coinvolgono sistemi basati sull’IA.
Gli strumenti di IA non eliminano la necessità di competenza umana
L’IA può elaborare enormi volumi di informazioni e assistere i professionisti nell’individuare schemi che altrimenti potrebbero essere difficili da rilevare.
Ma le decisioni in materia di cybersecurity comportano spesso incertezza, evidenze incomplete e priorità operative in conflitto.
Un professionista può dover stabilire se un alert rappresenta un attacco reale, se una vulnerabilità crea un rischio aziendale rilevante, se una raccomandazione automatizzata è appropriata o se un controllo di sicurezza introduce conseguenze operative inaccettabili.
Che cosa dovrebbe valutare realmente la certificazione in cybersecurity?
Ciò crea una sfida importante per gli organismi di certificazione del personale e per i titolari degli schemi.
Se l’IA è in grado di rispondere a domande tecniche, generare script, spiegare vulnerabilità e assistere nell’analisi di sicurezza, gli esami basati prevalentemente su conoscenze memorizzate potrebbero diventare meno efficaci nel distinguere una reale competenza professionale.
I futuri schemi di certificazione potrebbero quindi dover dare maggiore peso alla capacità dimostrata.
Valutare come i candidati rispondono a problemi di sicurezza realistici anziché a domande tecniche isolate.
Valutare indagine, contenimento, definizione delle priorità e processo decisionale in condizioni realistiche.
Stabilire se i candidati sono in grado di interpretare le informazioni sulle minacce e individuare percorsi di attacco credibili.
Valutare la capacità di individuare punti deboli, dipendenze e controlli appropriati.
Stabilire se i candidati sono in grado di individuare conclusioni di sicurezza generate dall’IA inesatte, incomplete o non sicure.
Valutare se il candidato è in grado di spiegare e difendere le proprie decisioni in situazioni complesse o ambigue.
Nell’era dell’IA, la certificazione in cybersecurity dovrebbe dimostrare che un professionista è in grado di valutare evidenze assistite dall’IA e prendere decisioni di sicurezza competenti — non semplicemente di utilizzare uno strumento basato sull’IA.
La ISO/IEC 17024 diventa sempre più rilevante
La ISO/IEC 17024 fornisce un quadro riconosciuto a livello internazionale per gli organismi che operano la certificazione delle persone.
I suoi principi sono particolarmente rilevanti con l’emergere di nuove certificazioni professionali legate alla cybersecurity e all’IA.
Un programma credibile di certificazione del personale dovrebbe stabilire uno schema di certificazione chiaramente definito, che individui i requisiti di competenza, i metodi di valutazione, i criteri di certificazione e i requisiti continuativi applicabili al ruolo professionale.
- il ruolo professionale oggetto di certificazione;
- i compiti che la persona certificata dovrebbe svolgere;
- le conoscenze, abilità e capacità richieste;
- il livello di giudizio professionale atteso;
- come la competenza sarà valutata in modo indipendente;
- come sarà tutelata l’integrità degli esami;
- come sarà dimostrata la competenza continuativa; e
- quando è richiesta la ricertificazione.
L’IA crea un nuovo problema di integrità degli esami
L’intelligenza artificiale incide non solo su ciò che i professionisti della cybersecurity devono sapere, ma anche sulle modalità di svolgimento degli esami di certificazione.
I sistemi di IA generativa possono rispondere a domande tecniche, spiegare concetti di sicurezza e produrre risposte sofisticate in pochi secondi.
Gli esami da remoto e le valutazioni non supervisionate potrebbero quindi incontrare difficoltà crescenti nello stabilire se una risposta rappresenti la competenza propria del candidato.
I candidati dovrebbero poter utilizzare l’IA?
Potrebbe non esistere una risposta universale.
Se una certificazione mira a dimostrare una capacità tecnica indipendente, l’accesso all’IA potrebbe dover essere limitato.
Se, tuttavia, l’uso competente dell’IA fa parte del ruolo professionale effettivo, una valutazione controllata assistita dall’IA può talvolta fornire una valutazione più realistica.
I candidati svolgono compiti definiti senza l’assistenza dell’IA laddove conoscenze indipendenti e capacità tecnica siano essenziali.
I candidati utilizzano strumenti di IA autorizzati e vengono valutati sulla verifica, sul pensiero critico e sul giudizio professionale finale.
È probabile che emergano nuovi ruoli di certificazione in cybersecurity
La convergenza tra cybersecurity e intelligenza artificiale è inoltre destinata a creare ruoli professionali sempre più specializzati.
La certificazione deve seguire la competenza — non le mode del mercato
La rapida crescita dell’intelligenza artificiale crea notevoli opportunità commerciali per i fornitori di formazione e certificazione.
Crea anche il rischio che nuove credenziali compaiano più rapidamente di quanto possano essere sviluppati quadri di competenza significativi.
Una certificazione credibile dovrebbe quindi partire dall’attività professionale oggetto di certificazione, non dal titolo del certificato.
Creare un titolo commerciabile di IA e cybersecurity e costruire un breve esame incentrato sulla terminologia.
Definire attività, responsabilità, competenze e metodologia di valutazione prima di creare la credenziale.
La competenza continuativa potrebbe contare più che mai
Le conoscenze in cybersecurity hanno sempre avuto una durata limitata. L’intelligenza artificiale potrebbe ridurla ulteriormente.
Un professionista certificato oggi potrebbe trovarsi, tra qualche anno, di fronte a tecnologie di IA, strumenti di sicurezza, tecniche di attacco e aspettative normative sostanzialmente diversi.
La ricertificazione e lo sviluppo professionale continuo diventano quindi componenti centrali di una certificazione credibile del personale in cybersecurity.
Richiedere una formazione continua pertinente all’evoluzione delle tecnologie di cybersecurity e IA.
Conservare evidenze che la persona certificata resti attiva nella pratica professionale pertinente.
Garantire che la competenza resti allineata alle nuove tecniche di attacco e ai nuovi rischi di sicurezza.
Mantenere la consapevolezza dell’evoluzione di architetture, controlli e metodi di attacco dell’IA.
Ove opportuno, rivalutare la capacità continuativa del professionista di svolgere le attività di sicurezza pertinenti.
Mantenere nel tempo la conformità alle aspettative professionali ed etiche applicabili.
Che cosa dovrebbero cercare le organizzazioni nelle certificazioni in cybersecurity
Anche i datori di lavoro dovrebbero diventare più selettivi nella valutazione delle credenziali in cybersecurity.
L’esistenza di un certificato non dimostra automaticamente che il titolare possieda la competenza richiesta per un determinato ruolo nella cybersecurity.
- se la certificazione ha un ambito professionale chiaramente definito;
- se i requisiti di competenza riflettono la pratica attuale della cybersecurity;
- se le competenze legate all’IA sono pertinenti al ruolo certificato;
- come vengono valutati i candidati;
- se vengono valutati la competenza pratica e il giudizio professionale;
- come vengono tutelate l’imparzialità e l’integrità degli esami;
- se è richiesta una competenza continuativa; e
- se la certificazione è accreditata in modo indipendente, ove opportuno.
Il professionista della cybersecurity del futuro
L’intelligenza artificiale automatizzerà parti del lavoro di cybersecurity, ma ciò non significa che la competenza professionale diventi meno importante.
Cambia, piuttosto, la natura della competenza.
I professionisti della cybersecurity lavoreranno sempre più al fianco di strumenti intelligenti, restando responsabili di interpretare le evidenze, comprendere i rischi, mettere in discussione le conclusioni automatizzate e prendere decisioni che possono incidere su organizzazioni, infrastrutture, clienti e società.
La certificazione si concentra in larga misura su concetti di sicurezza, tecnologie, procedure e memorizzazione tecnica.
La certificazione valuta sempre più se i professionisti sono in grado di applicare le conoscenze tecniche, mettere in discussione i risultati dell’IA e prendere decisioni di cui rispondere.
Prepararsi alla prossima generazione della certificazione in cybersecurity
Organismi di certificazione, titolari degli schemi, datori di lavoro e organizzazioni professionali dovrebbero iniziare a riesaminare i quadri di competenza esistenti in cybersecurity alla luce della realtà del lavoro supportato dall’IA.
Ciò non richiede necessariamente la sostituzione delle certificazioni in cybersecurity consolidate.
In molti casi, gli schemi esistenti possono evolversi introducendo competenze adeguate in materia di sicurezza dell’IA, metodi di valutazione rivisti e requisiti più rigorosi di competenza continuativa.
Laddove emergano attività professionali realmente nuove, tuttavia, nuovi schemi di certificazione possono essere giustificati.
Che cosa stiamo realmente certificando?
La questione centrale è, in ultima analisi, una questione di fiducia.
Le organizzazioni hanno bisogno della certezza che i professionisti della cybersecurity certificati siano in grado di svolgere con competenza ruoli chiaramente definiti, in un contesto in cui l’accesso a un’intelligenza automatizzata sta diventando quasi istantaneo.
Gli schemi di certificazione più solidi sapranno quindi distinguere tra reperimento di informazioni, utilizzo di strumenti e reale competenza professionale.
Il professionista della cybersecurity del futuro non sarà definito dalla capacità di competere con l’intelligenza artificiale, bensì dalla capacità di utilizzarla in modo intelligente, metterla in discussione quando necessario e restare responsabile quando le decisioni di sicurezza contano.