Violazioni dati: le aziende non hanno controlli di accesso AI adeguati

IBM ha pubblicato il suo Cost of a Data Breach Report, che ha rivelato che l’adozione dell’AI sta superando di gran lunga la sicurezza e la governance dell’AI. Sebbene il numero complessivo di organizzazioni che hanno subito violazioni legate all’AI sia una piccola rappresentazione della popolazione oggetto della ricerca, è la prima volta che la sicurezza, la governance e i controlli di accesso per l’AI sono stati studiati in questo rapporto, il che suggerisce che l’AI è già un obiettivo facile e di alto valore.

• Il 13% delle organizzazioni ha segnalato violazioni di modelli o applicazioni di intelligenza artificiale, mentre l’8% delle organizzazioni ha riferito di non sapere se fosse stato compromesso in questo modo.
• Di quelli compromessi, il 97% riferisce di non disporre di controlli di accesso basati sull’intelligenza artificiale.
• Di conseguenza, il 60% degli incidenti di sicurezza legati all’intelligenza artificiale ha portato alla compromissione dei dati e il 31% ha portato a interruzioni operative.

I risultati di quest’anno mostrano che le organizzazioni stanno trascurando la sicurezza e la governance dell’AI a favore dell’adozione immediata della stessa. I sistemi non governati hanno maggiori probabilità di essere violati e sono più costosi quando lo sono.

Tuttavia, il rapporto ha rivelato che le organizzazioni che utilizzano ampiamente l’intelligenza artificiale e l’automazione durante le loro operazioni di sicurezza hanno risparmiato in media 1,9 milioni di dollari in costi di violazione e ridotto il ciclo di vita della violazione di una media di 80 giorni.

Il report 2025, condotto da Ponemon Institute, sponsorizzato e analizzato da IBM, si basa sulle violazioni dei dati subite da 600 organizzazioni a livello globale da marzo 2024 a febbraio 2025. I risultati principali del rapporto sulla sicurezza e le violazioni dell’intelligenza artificiale, il costo finanziario di una violazione e l’interruzione operativa sono i seguenti:

Le violazioni e l’era dell’intelligenza artificiale

•  Politiche di governance dell’AI. Il 63% delle organizzazioni violate non dispone di una policy di governance dell’AI o sta ancora sviluppando una policy. Tra le organizzazioni che dispongono di politiche di governance dell’AI, solo il 34% esegue audit regolari per l’AI non autorizzata.
• Il costo della shadow AI. Un’organizzazione su cinque ha segnalato una violazione a causa della shadow AI e solo il 37% dispone di policy per gestire l’AI o rilevare la shadow AI. Le organizzazioni che hanno utilizzato alti livelli di shadow AI hanno osservato una media di 670.000 dollari di costi di violazione più elevati rispetto a quelle con un livello basso o assente. Gli incidenti di sicurezza che coinvolgono la shadow AI hanno portato a un aumento delle informazioni di identificazione personale (65%) e della proprietà intellettuale (40%) rispetto alla media globale (rispettivamente 53% e 33%).
• Attacchi più intelligenti con l’intelligenza artificiale. Il 16% delle violazioni studiate ha coinvolto aggressori che utilizzavano strumenti di intelligenza artificiale, il più delle volte per attacchi di phishing o impersonificazioni con deepfake.

 Il costo finanziario di una violazione

• Costi della violazione dei dati. Il costo medio globale di una violazione dei dati è sceso a 4,44 milioni di dollari, la prima diminuzione in cinque anni, mentre il costo medio di una violazione negli Stati Uniti ha raggiunto la cifra record di 10,22 milioni di dollari.
• I cicli di vita delle violazioni globali hanno raggiunto il minimo storico. Il ciclo di vita medio globale delle violazioni (il tempo medio per identificare e contenere una violazione, inclusi i servizi di ripristino) è sceso a 241 giorni, con una riduzione di 17 giorni rispetto all’anno precedente, poiché le organizzazioni più studiate hanno rilevato la violazione internamente. Le organizzazioni che hanno rilevato la violazione internamente hanno anche osservato un risparmio di 900.000 dollari sui costi della violazione rispetto a quelli divulgati da un utente malintenzionato.
• Le violazioni nel settore sanitario rimangono le più costose. Con una media di 7,42 milioni di dollari, le violazioni sanitarie sono rimaste le più costose rispetto a tutti i settori studiati, anche se questo settore ha registrato una riduzione dei costi di 2,35 milioni di dollari rispetto al 2024. Le violazioni in questa industria richiedono più tempo per essere identificate e contenute: 279 giorni, ovvero più di 5 settimane in più rispetto alla media globale di 241 giorni.
• Stanchezza dovuta alle richieste di pagamento del riscatto. L’anno scorso, le organizzazioni hanno respinto le richieste di riscatto, con un numero maggiore di persone che hanno scelto di non pagare (63%) rispetto all’anno precedente (59%). Poiché sempre più organizzazioni si rifiutano di pagare i riscatti, il costo medio di un incidente di estorsione o ransomware rimane elevato, in particolare se divulgato dall’aggressore (5,08 milioni di dollari).
• Gli investimenti nella sicurezza subiscono una battuta d’arresto a causa dei crescenti rischi legati all’AI. C’è stata una riduzione significativa del numero di organizzazioni che hanno dichiarato di voler investire nella sicurezza a seguito di una violazione, del 49% nel 2025 rispetto al 63% del 2024. Meno della metà di coloro che prevedono di investire nella sicurezza dopo la violazione si concentrerà su soluzioni o servizi di sicurezza basati sull’intelligenza artificiale.

La coda lunga delle violazioni: l’interruzione operativa

Secondo il rapporto IBM 2025, quasi tutte le organizzazioni studiate hanno subito un’interruzione operativa a seguito di violazioni dei dati. Questo livello di interruzioni ha influenzato i tempi di recupero. Tra le organizzazioni che hanno riportato i tempi di contenimento, la maggior parte ha impiegato in media più di 100 giorni per farlo.

Tuttavia, le conseguenze di una violazione continuano a estendersi oltre il contenimento. Sebbene in calo rispetto all’anno precedente, quasi la metà delle organizzazioni ha riferito di aver pianificato di aumentare il prezzo di beni o servizi a causa della violazione e quasi un terzo ha riportato aumenti di prezzo del 15% o più.

Informazioni sul Cost of a Data Breach

Il Cost of a Data Breach Report ha indagato su quasi 6.500 violazioni dei dati negli ultimi 20 anni. Dalla relazione inaugurale del 2005, la natura delle violazioni si è evoluta notevolmente. A quei tempi, il rischio era in gran parte fisico. Oggi, il panorama delle minacce è soprattutto digitale e sempre più mirato, con violazioni causate da una serie di attività dannose.

Con la rapida diffusione dell’adozione aziendale dell’AI, per la prima volta, la ricerca Cost of a Data Breach ha studiato lo stato della sicurezza e della governance dell’AI, il tipo di dati colpito nelle violazioni di sicurezza che coinvolgono l’AI, i costi delle violazioni associate agli attacchi guidati dall’AI e la prevalenza e il profilo di rischio della shadow AI (uso improprio e non autorizzato dell’AI). Le principali scoperte dei report precedenti includono:

• 2005: quasi la metà (45%) di tutte le violazioni dei dati è stata causata da dispositivi informatici smarriti o rubati, come un laptop o una chiavetta USB, e solo il 10% delle violazioni è stato causato da sistemi elettronici violati.
• 2015: le violazioni dovute a un’errata configurazione del cloud non erano nemmeno una minaccia classificata, oggi sono un obiettivo principale.
• 2020: il ransomware ha iniziato a crescere e nel 2021 ha rappresentato una media di 4,62 milioni di dollari di costi di violazione, e quest’anno quel numero ha raggiunto una media di 5,08 milioni di dollari (quando l’incidente è stato rivelato dall’aggressore).
• 2025: La sicurezza dell’intelligenza artificiale, che è stata inclusa per la prima volta nella ricerca quest’anno, sta rapidamente emergendo come un obiettivo di alto valore.

Focus Italia 

• Le aziende italiane mitigano i rischi associati agli attacchi AI principalmente attraverso controlli di accesso all’AI (39%), convalida dei dati di addestramento (33%), audit regolari (29%) e tecnologie di governance dell’AI (26%).
• La causa primaria per un data breach in Italia è dovuta principalmente ad attacchi di phishing (17%) per un costo medio di 4,09 milioni di euro, attacchi denial of service (13%) con un costo medio 3,03 milioni di euro, insider threat (13%) con un costo medio di 4,24 milioni di euro.
• I fattori che aumentano il costo totale delle violazioni sono quelli provenienti dalla catena di fornitori con un costo medio di 179.964€, dalla complessità dei sistemi di sicurezza con un costo medio di 162.267€, e dall’utilizzo d\ella shadow AI come il download di applicazioni AI oppure le applicazioni internet basate su AI non autorizzate con un costo medio di 161.541€.
• I fattori che diminuiscono il costo di un data breach sono l’Encryption con un risparmio medio di circa 249.000€, gli strumenti di Quantum Security con 217.000 e il software di data security e data protection che portano ad un contenimento di 207.000€.
• Riguardo lo stato dell’utilizzo dell’AI e dell’automazione nella Security, il 31% delle aziende intervistate ha dichiarato un uso estensivo della AI e automazione nella security, il 45% ha dichiarato di farne un uso limitato e il rimanente 24% ha dichiarato di non farne ancora uso.
• Il tempo medio per identificare (MTTI) un data breach varia sensibilmente con l’adozione dell’AI e della security automation passando da un 155gg per chi non utilizza AI a 109gg per chi ne fa un uso estensivo. Si osserva un aumento percentuale simile anche nei tempi di contenimento: chi utilizza ampiamente queste tecnologie riesce a contenere una violazione in media in 40 giorni, rispetto ai 60 giorni di chi non le utilizza.

Dichiarazioni 

“I dati mostrano che esiste già un divario tra l’adozione e la supervisione dell’AI e che gli attori delle minacce stanno iniziando a sfruttarlo”, ha dichiarato Suja Viswesan, Vice President, Security and Runtime Products, IBM. “Il rapporto sulle violazioni dei dati ha rivelato una mancanza di controlli di accesso di base per i sistemi di intelligenza artificiale, lasciando esposti dati altamente sensibili e modelli vulnerabili alla manipolazione. Man mano che l’intelligenza artificiale diventa più profondamente integrata nelle operazioni aziendali, la sicurezza dell’intelligenza artificiale deve essere considerata fondamentale. Il costo dell’inazione non è solo finanziario, è la perdita di fiducia, trasparenza e controllo”.