Il vostro sistema di sicurezza sa già chi è a rischio, ma non è in grado di comunicarvelo

Una grande azienda fa notizia. Una violazione, iniziata con un’e-mail di phishing, si è diffusa attraverso un account compromesso; i dati sono stati sottratti prima che qualcuno riuscisse a collegare i puntini. Il vostro amministratore delegato inoltra l’articolo al vostro responsabile della sicurezza informatica (CISO) ponendo una domanda single: siamo preparati ad affrontare una situazione del genere?

Il vostro CISO si rivolge al team di sicurezza. Il team di sicurezza apre diverse schede: la piattaforma degli endpoint, il gateway di posta elettronica, il provider di identità. Ognuno di essi ha qualcosa. Rilevamenti. Clicchi su "Dati". Accessi anomali segnalati il mese scorso. È tutto vero, ma nulla di tutto ciò è collegato a un nome, né tra di loro, né a un quadro coerente di chi, all’interno dell’organizzazione, sia effettivamente a rischio in questo momento.

Questa è la risposta sincera alla domanda dell’amministratore delegato: non lo sappiamo ancora. Ci dia tempo fino a mercoledì.

I dati risultano coerenti in tutti i principali rapporti sulle violazioni: la maggior parte degli incidenti coinvolge persone. Il problema non è l'individuazione. Il problema è la correlazione. Nessuno di questi strumenti è stato progettato per indicarvi quali dipendenti specifici rappresentino il rischio maggiore, in questo preciso momento, considerando contemporaneamente tutti gli aspetti.

Perché i segnali non tornano

I rilevamenti relativi agli endpoint sono disponibili nella console EDR. Gli eventi relativi ai rischi di identità sono gestiti dalla piattaforma IAM. Le violazioni relative ai dati sensibili sono registrate nello strumento di sicurezza dei dati. Se chiedete a qualsiasi analista della sicurezza di fornirvi una panoramica dei rischi a livello trasversale, la risposta sincera sarà: ci vogliono un foglio di calcolo e un pomeriggio.

Secondo i dati della piattaforma Mimecast, l’8% e dei dipendenti responsabile dell’80% e degli incidenti di sicurezza rimane nascosta in piena vista — non perché il loro comportamento sia invisibile, ma perché i segnali sono sparsi tra strumenti che non sono mai stati progettati per comunicare tra loro. Secondo il rapporto “State of Human Risk Report 2026” di Mimecast, solo il 28% e delle organizzazioni combina attualmente la sensibilizzazione alla sicurezza con il monitoraggio continuo dei rischi; la maggior parte di esse prende decisioni in materia di rischio umano disponendo solo della metà degli strumenti necessari.

L'intelligenza artificiale non ha creato questo problema. L'ha moltiplicato. Man mano che gli attacchi basati sull’intelligenza artificiale diventano sempre più sofisticati e gli agenti autonomi introducono vie di esposizione dei dati del tutto nuove, il divario tra le organizzazioni in grado di rispondere alla domanda sulla propria preparazione e quelle che non lo sono si sta ampliando più rapidamente che mai. La correlazione non può attendere.

È proprio questa lacuna che il Human Risk Command Center è stato istituito per colmare.

Cosa contraddistingue l’intelligenza sui rischi legati alle persone di Mimecast

Prima di approfondire le funzionalità offerte dal Centro di comando, è opportuno comprendere quali sono i meccanismi che ne consentono il funzionamento. Mimecast opera da oltre 20 anni nel campo della protezione della posta elettronica aziendale, analizzando ogni giorno 1,8 miliardi di messaggi per conto di 42.000 clienti in tutto il mondo. Tale portata consente di ottenere qualcosa che nessuna soluzione puntuale, volta a realizzare un dashboard sui rischi per le persone nel 2026, potrà mai eguagliare: un grafico sociale in continuo apprendimento che mappa le relazioni comunicative e i modelli comportamentali all’interno della più vasta rete mondiale di organizzazioni protette. Ogni segnale proveniente dalle e-mail, ogni anomalia, ogni relazione tra mittente e destinatario alimenta un modello che diventa sempre più accurato nel tempo — e tali informazioni costituiscono uno degli elementi alla base della nostra valutazione del rischio a livello individuale.

Come si presenta concretamente un sistema unified di analisi dei rischi umani

Il Centro di comando aggrega i segnali comportamentali provenienti dall’intero stack di sicurezza — sicurezza della posta elettronica, degli endpoint, delle identità e dei dati — e li normalizza in relazione al singolo utente.

Il risultato è un “Human Risk Score” per ciascun dipendente: un indice composito aggiornato in tempo reale e ponderato, calcolato sulla base di sei categorie comportamentali: identità, malware, gestione dei dati sensibili, posta elettronica, phishing e formazione. I punteggi vengono aggiornati continuamente man mano che si verificano nuovi eventi e diminuiscono automaticamente con il miglioramento del comportamento. Il Centro di comando calcola inoltre un “Fattore di attacco” specifico per ciascun utente, che misura la frequenza e la gravità con cui un utente è preso di mira da attori malintenzionati esterni, indipendentemente dal suo comportamento. Tale distinzione è importante e determina la risposta.

Il Command Center integra 19 soluzioni di terze parti e proprietarie in tutte e sei le categorie di valutazione — tra cui CrowdStrike, SentinelOne, Okta, Microsoft Entra ID, CyberArk, Netskope e altre — oltre a quattro integrazioni native di Mimecast che coprono la sicurezza della posta elettronica, la simulazione di attacchi di phishing, la formazione e la gestione dei dati sensibili. Per le organizzazioni che già utilizzano questi strumenti, il Command Center consente di mettere a frutto tali informazioni all’interno del vostro attuale sistema di sicurezza senza dover stipulare un nuovo contratto né creare nuove pipeline di dati. È disponibile per i clienti Mimecast senza costi aggiuntivi e la maggior parte delle integrazioni diventa operativa in pochi minuti.

«È del tutto possibile che un’e-mail venga segnalata in Mimecast e che successivamente si eseguano operazioni al di fuori dell’ambiente Mimecast.» Potremmo bloccare un sito web con Netskope poiché un utente ha cliccato su un link contenuto in un’e-mail. Siamo riusciti a isolare un computer grazie a CrowdStrike, in seguito a un'e-mail rilevata da Mimecast. Le piattaforme non possono più esistere in modo autonomo. Nessun fornitore è in grado di farlo da solo. «È uno sport di squadra.»

— Wayne Cross, Direttore della sicurezza informatica e delle operazioni infrastrutturali, Borden Ladner Gervais LLP

Dall’intuizione all’azione

La differenza tra sapere chi è a rischio e intervenire concretamente è proprio il punto in cui la maggior parte dei programmi si arena. Il Centro di comando è stato progettato per colmare tale lacuna — in modo automatico, in tempo reale, senza che sia necessario l’intervento umano per collegare manualmente i vari elementi.

Ecco come si traduce tutto ciò nella pratica.

L'utente abituale che ha appena subito un vero e proprio episodio di phishing. Un dipendente ha già cliccato in passato su link di phishing simulati. La settimana scorsa ne hanno individuata una vera e propria — segnalata dal sistema di sicurezza e-mail di Mimecast. Il loro “Human Risk Score” supera una soglia. Il Centro di comando li aggiunge automaticamente a una lista di monitoraggio, rafforza in tempo reale le loro politiche di sicurezza relative alle e-mail e attiva un promemoria comportamentale mirato della durata di 30 secondi tramite Mimecast Engage — inviato direttamente nella loro casella di posta entro poche ore dall’incidente, anziché durante la sessione di formazione del mese successivo.

Il dirigente altamente qualificato con un profilo comportamentale irreprensibile. Un dirigente di alto livello presenta un punteggio di Human Risk basso: non ha mai cliccato su un link simulato, la formazione è aggiornata e non sono state riscontrate violazioni relative a dati sensibili. Tuttavia, il loro indice di vulnerabilità agli attacchi è elevato: sono oggetto di un numero elevato di tentativi di phishing sofisticati e mirati. La risposta giusta non è aumentare la formazione. Le sue difese sono più solide. Il Centro di comando evidenzia esplicitamente questa distinzione, consentendo così ai team di sicurezza di applicare l’intervento adeguato — politiche più rigorose, controlli aggiuntivi, monitoraggio più attento — senza confondere erroneamente un problema di targeting con un problema comportamentale.

L'agente di intelligenza artificiale che nessuno ha approvato. Un membro del team finanziario utilizza MCP per collegare uno strumento di intelligenza artificiale non autorizzato al sistema CRM dell’azienda. L'azione genera un evento relativo a dati sensibili, che viene trasmesso al Command Center insieme a un segnale di rischio elevato relativo all'identità proveniente da Okta, che segnala modelli di accesso insoliti. Il Centro di comando mette in relazione entrambi i segnali con il profilo di rischio esistente dell’utente e provvede automaticamente ad aumentare il punteggio e a rafforzare i controlli. Man mano che gli agenti basati sull’intelligenza artificiale si diffondono in tutta l’azienda, la persona che sta dietro all’agente rimane l’elemento determinante che cambia tutto. Mimecast’s L’Agent Risk Center estende tale visibilità agli stessi agenti autonomi, integrando i rischi legati alle persone e agli agenti in un single quadro d’insieme che consente di agire in modo concreto.

Per i team che intendono ampliare ulteriormente i dati relativi al Human Risk, l’API pubblica Human Risk invia punteggi ed eventi comportamentali direttamente alle piattaforme SIEM, SOAR e di gestione delle identità: il Human Risk diventa così un input attivo per i playbook automatizzati e i dashboard personalizzati, non solo un elemento che il team addetto alla sensibilizzazione verifica ogni venerdì.

Torna a mercoledì

La domanda dell’amministratore delegato riguardava il grado di preparazione. La risposta sincera — nella maggior parte delle organizzazioni — è che i dati necessari per rispondere a tale domanda esistono già. Si trova nella piattaforma degli endpoint. Il gateway di posta elettronica. Il fornitore di identità. Lo strumento per la sicurezza dei dati.

L’Human Risk Command Center è stato creato per le organizzazioni che non intendono più aspettare fino a mercoledì.

Siete pronti a scoprire il quadro dei rischi legati al personale della vostra organizzazione? Esplorate l’Human Risk Command Center oppure leggete il rapporto “The State of Human Risk 2026” per comprendere a che punto si trova il vostro programma.