⚠️ SHADOW IT e SHADOW AI: cosa sono e perché evitarli

Immaginate di essere in ufficio durante una call con un collega che segue insieme a voi un progetto. Parlando, realizzate che vi servirebbe una bella app per organizzare e dividervi il lavoro con indicazione delle attività fatte, dello status dei singoli passaggi del progetto e così via. Cercando su internet ne trovate una valida e decidete di installarla nel vostro computer aziendale. Insieme al vostro collega iniziate a mappare tutti i progetti che gestite insieme. Ci mettete dentro gli appunti, documenti, le mail scambiate con i clienti. Insomma, diventa a tutti gli effetti un vostro gestionale con cui vi trovate particolarmente bene. Qualche tempo dopo, il reparto IT della vostra azienda riceve la notizia che quell'applicazione è stata violata e che dei malintenzionati sono riusciti a esportare interi database di dati con credenziali, documenti, flussi di progetto e via dicendo. Davanti a quella notizia, l'azienda non fa nulla. Normalmente avrebbe inviato mail di avviso a tutta l'azienda dicendo di cambiare subito le credenziali, avrebbe coinvolto l'ufficio privacy e il DPO per gestire la notifica al garante, sarebbero partite comunicazioni ai clienti per spiegare l'accaduto. Invece non accade nulla di tutto ciò, perché il reparto IT non aveva idea che ci fosse qualcuno che stava usando quella app, dato che non era fra i software aziendali e dato che voi non glielo avete mai detto. Poco tempo dopo la situazione precipita, viene fuori che vari dati dei clienti sono stati resi pubblici, viene fatta una sanzione dal garante privacy, e tutto per colpa vostra. Vi siete appena resi colpevoli di shadow IT. Ciao a tutti e benvenuti in questo nuovo video. Oggi praticamente gli hacker siamo noi utenti, oggi siamo noi i malintenzionati, anche se facciamo le cose in buona fede. Tra l'altro per festeggiare questa nuova ansia che sbloccheremo, ho una maglietta che praticamente potrebbe diventare, non so, lo slogan del canale, perché c'è scritto "caffè, ansia e paranoie". E questo è esattamente il nostro spirito, praticamente ormai lo sappiamo. Comunque oggi parleremo di un pericolo molto sottovalutato, ma da tenere assolutamente in considerazione, soprattutto per chi svolge un lavoro d'ufficio. Cioè, appunto, parleremo di shadow IT. Ne parlo anche perché ultimamente sta assumendo una nuova forma che sta portando alle aziende sia benefici che rischi, ovvero lo shadow AI. Quindi ho pensato di approfittarne per trattare insieme questi due temi. Partiamo intanto dal primo e partiamo proprio dal termine shadow IT. Shadow significa ombra e IT è l'acronimo di information technology. Potremmo tradurlo in italiano come informatica ombra, espressione orribile che sostanzialmente serve a descrivere quel fenomeno per cui qualche dipendente in azienda utilizza dispositivi, spazi cloud, software, applicazioni e così via senza aver chiesto l'autorizzazione ai capi o al reparto informatico. Possiamo pensare che sia una cosa recente, ma pensate che in realtà il fenomeno esiste già dal passaggio fra il fare tutto a mano e fare le cose al computer. Quando è esplosa la rivoluzione dei personal computer, molte aziende li guardavano un po' con sospetto. Quindi aspettavano a comprarli per l'ufficio. Ma le persone che ne avevano acquistato uno da tenere a casa lo usavano invece entusiasticamente ed eventualmente anche per motivi lavorativi, senza dire niente a nessuno. Quando poi il computer è stato sdoganato a essere usato di nascosto era internet, e quando anche internet è arrivato in azienda come presenza fissa è stato il turno degli smartphone. Oggi stiamo assistendo all'ennesima rivoluzione, perché ad essere usata spesso di nascosto è l'intelligenza artificiale. Per questo si parla anche di shadow AI, intelligenza artificiale nell'ombra. Il fenomeno comunque cambia nella forma ma non cambia nella sostanza. Abbiamo sempre un'azienda che per motivi di budget o di sicurezza sceglie di non adottare una determinata tecnologia, mentre qualche dipendente, spesso per essere più efficiente, non per creare dei problemi, la utilizza di nascosto. Dico di nascosto, ma in realtà lo scenario più tipico è quello del dipendente che non sa di dover chiedere il permesso per usare un software gestionale o per consultare le mail del lavoro sul proprio telefono, per fare una bozza di documento usando l'intelligenza artificiale e cose di questo tipo. Mancano proprio le procedure che dicono al personale come si deve comportare quando scopre un nuovo strumento e pensa che possa essergli utile sul lavoro. A me lo shadow IT ricorda molto il fenomeno dei desire path, i sentieri del desiderio. Presente quando vedete un parco, un giardino con un bel viale tutto pavimentato ed elegante, che però viene bellamente ignorato perché le persone preferiscono usare dei sentierini che sono stati palesemente creati da qualcuno che li utilizza spesso. Di solito sono sentieri che tagliano un pezzo di prato perché per le persone ha più senso passare da lì piuttosto che passare dal viale ufficiale. Ecco, dicevo che a me lo Shadow IT ricorda un po' questo fenomeno, perché i software che i dipendenti usano sottobanco sono quelli che per loro sono effettivamente più utili, sono le stradine a cui vogliono veramente passare. Lo vedo molto ad esempio nelle aziende che adottano Microsoft come ecosistema senza sapere che poi i dipendenti le cose le caricano su Google Drive perché è più intuitivo e comodo rispetto al cloud di Microsoft. Lo stesso dicasi per l'intelligenza artificiale. L'azienda magari dice: ok, abbiamo attivato per voi un bell'account Copilot, utilizzate quello se volete usare l'IA. E poi i dipendenti di nascosto scrivono a ChatGPT perché funziona meglio. E fin qui comunque potrebbe Potreste ancora dirmi: eh vabbè, se lo scopo finale è quello di lavorare meglio, qual è il problema? Lo Shadow IT purtroppo di problemi ne porta diversi. Intanto i dati si sparpagliano. Un documento aziendale che finisce sul Drive personale di un dipendente esce in qualche modo dal perimetro che l'azienda riesce a proteggere. Non viene incluso nel backup, per esempio, non segue le regole su chi può vedere quel documento e chi no. E se quella persona un domani dovesse lasciare l'azienda, quel file resterebbe nel suo Drive personale. Personale, quindi potrebbe girare ancora anche fuori. Dal punto di vista della privacy, poi, magari quel documento sul Drive personale contiene i dati dei clienti come l'anagrafica, i dati di pagamento, le informazioni sulla loro salute, sui loro problemi giudiziari e così via. Questo comporta che l'azienda perde il controllo su dove sono finiti quei dati, e questo in Europa è un problema perché il GDPR, il regolamento europeo sulla protezione dei dati, pone la responsabilità su come vengono trattati i dati e dove vengono conservati sul titolare, cioè sull'azienda. Magari l'azienda fa tutto bene, usa solo fornitori che hanno i server in Europa, cancella i dati appena scade il termine di conservazione, poi si trova comunque coinvolta in un data breach, una violazione dei dati, perché il dipendente di turno ha deciso di caricare dei documenti riservati in un cloud con i server in Asia che viene violato un giorno sì e uno no. Oltre a questo, lo shadow IT allarga erga quella che nella sicurezza informatica viene chiamata superficie di attacco. Immaginiamo che l'azienda sia come una casa con delle porte e delle finestre. Il reparto IT fa il giro di tutte le porte e delle finestre e controlla che siano regolarmente chiuse e che possa usarle solo chi è autorizzato. Intanto però i dipendenti scavano dei tunnel per l'esterno con un cucchiaio e fanno dei buchi da cui poter uscire e rientrare liberamente, perché non so, perché la porta per loro non è comoda. Il reparto IT non sa nemmeno che ci sono questi altri buchi, quindi non li controlla, non li rende sicuri. Ed è proprio da lì che un malintenzionato cercherà di entrare con tutta probabilità. Per capire la portata del problema vi dico solo che l'uso di software non autorizzati ha portato a scoprire l'esistenza e anche l'esatta collocazione di basi militari, non una bensì due volte, e nella seconda era coinvolto pure il gruppo Bellingcat di cui abbiamo già parlato. Ma visto che sono due storie belle succose, ve le racconto nel prossimo prossimo video. Non si può comunque parlare dello Shadow IT senza parlare del problema delle password. I dipendenti spesso e volentieri riutilizzano le stesse password sia nella vita personale che nel lavoro. Cosa succede quindi? Che se un dipendente fa login a un'app che usa nella vita personale, come l'app per prenotare le vacanze, usando la sua solita password e la mail lavorativa, e poi quel servizio viene violato, un malintenzionato che mette le mani sulle credenziali del dipendente le proverà anche su software e applicazioni prettamente lavorativi. Quello che nasce come un problema della sfera personale di un individuo diventa un problema dell'azienda. Quando tengo dei corsi di formazione nelle aziende, facciamo sempre un giro di prova per capire quanti dipendenti usano le credenziali del lavoro nella vita privata, usando anche strumenti come Have I Been Pwned. E vi assicuro che viene fuori il mondo, proprio perché manca la consapevolezza. I dipendenti non sanno che quello che fanno è un problema. So che con voi sfondo una aperta, perché penso di avere la community più consapevole d'Italia per quanto riguarda i rischi informatici. Però davvero non è così per tutti, anzi. L'esempio che ho fatto nell'introduzione accade più spesso di quello che pensiamo. Magari un dipendente scopre l'esistenza di Trello o di altre app di gestione delle attività e inizia a usarle pensando anche di fare del bene all'azienda perché diventa più efficiente. Poi il servizio viene violato e nessuno fa nulla perché il dipendente non si era posto il problema di dover dire a qualcuno che lo stava utilizzando. Utilizzando. Un caso del genere è successo fra l'altro a un'azienda statunitense chiamata Okta, che si occupa proprio di sicurezza informatica. Nello specifico gestisce le identità digitali per conto di altre aziende. Nell'autunno del 2023 un dipendente di Okta sul portatile aziendale apre Chrome e accede al suo profilo Google personale, non quello lavorativo. Per sbaglio usa quel profilo Google per accedere anche all'account lavorativo, un account tecnico che serviva a gestire le richieste di assistenza dei clienti e salva le credenziali di accesso. Presente, no, quando Google chiede: vuoi salvare la password per il prossimo accesso? Ecco, lui dice sì e le salva nel suo account personale. A un certo punto quell'account Google personale viene compromesso da un malintenzionato che si ritrova improvvisamente in mano le credenziali di questo account tecnico. Con queste entra nel sistema di assistenza dove trova dei file caricati dai clienti per risolvere problemi tecnici, e questi file contenevano fra le altre cose anche dei token di sessione, cioè sostanzialmente dei lasciapassare temporanei che servono a entrare in un account senza rifare il login tutte le volte. Tra il 28 settembre e il 17 ottobre 2023, nell'arco di circa 3 settimane, l'attaccante accede ai file di 134 clienti di Okta, fra cui, giusto per citarne un paio, 1Password, che è appunto un password manager, e Cloudflare, che regge mezzo internet. Tutto l'attacco comunque parte da un profilo profilo personale e dalla commistione fra le due sfere personale e lavorativa, che dovrebbero essere sempre ben separate. Sicuramente Okta aveva blindato gli account lavorativi introducendo autenticazione a più fattori, password complesse e via dicendo, ma non poteva avere il controllo sugli account invece personali. Subito dopo comunque la società ha implementato il divieto assoluto dell'uso degli account personali nei portatili aziendali, e credo anche viceversa, quindi l'uso degli account lavorativi nei portatili personali. Finché abbiamo parlato di account, di password, di software in generale. Ma da un paio d'anni, come accennavo, il problema ha assunto una forma leggermente diversa e si è iniziato a parlare di shadow AI, che sostanzialmente è la stessa cosa ma riferita all'uso di strumenti di intelligenza artificiale. La differenza è che se io salvo un documento riservato aziendale nel mio computer personale, ok, OK, è una cosa sbagliata, ma quantomeno il documento è lì fermo e amen. Se invece io lo carico sul mio ChatGPT personale con il mio account gratuito chiedendo di riassumerlo, non ho la benché minima idea di dove possa finire. Non so se finirà nei dati di addestramento del modello, non so in quali server di OpenAI verrà caricato, perdo completamente il controllo di quel documento. Con gli account aziendali di questi sistemi non è la stessa cosa, perché tutti i principali fornitori di sistemi di intelligenza artificiale aziendale come OpenAI, Anthropic, Google, Microsoft e via dicendo hanno implementato alcune misure aggiuntive come la possibilità di nominarli responsabili del trattamento dati, di disattivare l'addestramento del modello e così via. Ma queste cose si fanno appunto solo con gli account aziendali. Siamo in un periodo però di transizione, alcune società ancora non hanno capito se vogliono usare l'IA o meno, se può essere utile per loro, quindi cosa fanno? Mandano avanti i dipendenti a esplorare, poi se mi stanno dicendo sì, ci è utile, allora valutano di attivare l'account aziendale. Tutto questo in barba all'AI Act, il regolamento europeo sull'intelligenza artificiale che impone alle aziende tutta una serie di misure, di obblighi. Non avete idea di quante volte mi capita questo scenario quando faccio audit nelle aziende per adeguamento a GDPR, all'AI Act, all'ISO 27001 e così via. Io chiedo: usate l'AI in azienda? E loro: Loro: ma no, no dai. E io: in che senso no dai? La usate o non la usate? E loro: ma c'è qualcuno che la usa in amministrazione, nelle risorse umane. E io: ok, ma account aziendali oppure no? E loro: no, no, usano i loro account personali gratuiti. No, no, ma la usano così, dai, tanto per fare, niente di che. Fra parentesi, questa cosa a me ricorda troppo la canzone Io e Federica quando dice: non sono fidanzato, mi vedo con una ragazza da 8 anni, ma niente di Il punto è che l'azienda deve avere il controllo di quello che fanno i dipendenti con i dati che tratta l'azienda. Fine. Non si può pensare che una società chiuda gli occhi davanti al reparto risorse umane che carica 20 CV di candidati dentro a ChatGPT dicendo: dimmi quali sono i 3 candidati migliori, così gli altri li scarto direttamente. Con questo ovviamente non intendo dire che non si debba usare l'intelligenza artificiale, anzi, ma dico che va usata come gli altri strumenti. Se ne sceglie una, si fanno gli account aziendali, si spiega bene ai dipendenti come usarla e quali sono le pratiche vietate dalla legge, si fa formazione, si aggiornano le informative e le policy, e soprattutto si vieta l'utilizzo per fini lavorativi di altri strumenti, anche se per il dipendente funzionano meglio. Diciamo che secondo me l'approccio migliore per gestire questi due fenomeni non è né chiaramente permettere tutto né vietare tutto. Come dicevo, possiamo vedere lo shadow IT e lo shadow AI come due desire path, cioè dei sentieri che i dipendenti vogliono usare più dei viali ufficiali, per quanto belli e pavimentati. Se i dipendenti aggirano tutti lo stesso strumento aziendale, forse quello strumento è fatto male, non è così efficiente come pensavamo, non li aiuta nel lavoro e loro preferiscono usare altro. Se tanti dipendenti incollano testi dentro a ChatGPT, forse conviene dare loro uno strumento ufficiale che faccia la stessa cosa ma in modo più sicuro e tracciato. Asfaltiamo 'sti benedetti sentierini e rendiamoli ufficiali, in modo che nessuno champi in qualche radice. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa pensate di questo fenomeno. Io non vedo l'ora, giuro, di raccontarvi i due casi della prossima settimana, perché per me sono veramente assurdi. A presto!