Un nuovo studio di Syskit rivela che la maggior parte delle aziende adotta strumenti AI su Microsoft 365 senza una revisione adeguata dei permessi, esponendo dati sensibili a rischi significativi.
L'integrazione di strumenti di intelligenza artificiale (AI) nelle piattaforme aziendali, come Microsoft 365 Copilot, sta procedendo a un ritmo incalzante, ma la governance e la gestione dei permessi sottostanti non tengono il passo. Un recente rapporto di Syskit, intitolato "State of Microsoft 365 Governance Report", evidenzia una preoccupante discrepanza tra l'adozione rapida di queste tecnologie e le misure di sicurezza implementate.
Lo studio, condotto su decision-maker IT e di sicurezza nel Regno Unito e negli Stati Uniti, ha rilevato che ben il 76% delle organizzazioni ha già implementato o sta testando soluzioni AI enterprise basate sui dati di Microsoft 365. Tuttavia, solo il 43% di questi rispondenti ha dichiarato di aver effettuato una revisione completa dei permessi e dei rischi legati alla condivisione eccessiva di informazioni prima di procedere con l'adozione. La restante parte ammette di aver condotto solo revisioni parziali o nessuna revisione.
La fiducia riposta nelle capacità di controllo degli agenti AI sembra superare la realtà. Nonostante il 91% degli intervistati si dichiari sicuro di poter monitorare quali agenti sono attivi e a quali dati possono accedere, solo il 22% dispone di una policy formale che definisca le autorizzazioni di accesso per questi agenti. Un allarmante 9% delle aziende concede agli agenti AI gli stessi permessi dell'utente che li ha implementati, ereditando di fatto un accesso potenzialmente illimitato.
Toni Frankola, CEO di Syskit, sottolinea come gli agenti AI abbiano eliminato le barriere che un tempo rendevano meno probabile l'accesso accidentale a file sensibili. Questi strumenti possono ora facilmente recuperare contenuti basati sui permessi esistenti, inclusi file e siti condivisi in modo esteso anni fa e mai più revisionati.
"Ciò che emerge da questi dati è che pochissime organizzazioni sono in grado di verificare a quali dati il loro AI può effettivamente accedere prima di attivarlo, e ancora meno intendono investire risorse per scoprirlo. La revisione dei permessi è un lavoro poco appariscente, ma è diventato il fattore decisivo per garantire la sicurezza di un rollout AI", ha affermato Frankola.
Il problema non è limitato all'AI, ma affonda le radici in debolezze di governance preesistenti all'interno di Microsoft 365. La ricerca indica che configurazioni errate e permessi inadeguati sono ancora diffusi. Il 41% delle organizzazioni lascia siti SharePoint accessibili a tutto il personale senza restrizioni, il 35% ammette che file di ex dipendenti rimangono disponibili agli utenti attivi e il 33% ha file condivisi con l'opzione "Tutti".
Una sfida di governance significativa è rappresentata dai contenuti orfani, ovvero dati senza un proprietario chiaramente identificato. Circa la metà delle aziende (47%) identifica team, gruppi e siti orfani come una preoccupazione primaria. Senza una gestione attiva, questi contenuti sono meno propensi a essere revisionati, rimossi o messi in sicurezza, ma gli strumenti AI possono accedervi con la stessa autorità di qualsiasi altro dato.
Inoltre, le organizzazioni sembrano avere una percezione della sicurezza dei propri controlli di accesso superiore alla loro effettiva capacità di dimostrarla. Mentre l'83% afferma di sapere esattamente chi può accedere ai dati sensibili in ogni momento, solo il 4% sarebbe in grado di fornire un report completo degli accessi a un revisore esterno entro un'ora. La maggioranza (55%) necessiterebbe di un giorno o più.
Complessivamente, nove organizzazioni su dieci (90%) hanno subito, o sospettano di aver subito, un incidente di sicurezza legato a configurazioni errate o permessi eccessivi negli ultimi due anni, e il 39% ha confermato un incidente. Il rapporto, basato su un sondaggio di 327 professionisti IT e della sicurezza in aziende con oltre 500 dipendenti, sottolinea l'urgenza di affrontare queste lacune di governance. La corretta gestione dei permessi e la definizione di policy chiare per l'uso degli agenti AI sono passaggi fondamentali per mitigare i rischi associati all'adozione di queste potenti tecnologie.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
