AI nella Cybersecurity: detection, automazione e risposta agli incidenti

AI e GenAI nella cybersecurity: adozione e maturità

Perché l'AI cambia il lavoro della cybersecurity

L'AI non sostituisce la disciplina della sicurezza. Cambia il modo in cui si leggono segnali, si costruiscono priorità e si rendono più rapide alcune decisioni. La differenza sta nella capacità di collegare eventi che, presi singolarmente, resterebbero ambigui.

Dal volume degli alert alla necessità di priorità operative

Un SOC maturo non si misura dal numero di alert generati, ma dalla prioritizzazione che riesce a costruire. Un tentativo di login fallito, una comunicazione verso un dominio insolito, una vulnerabilità esposta e una modifica di configurazione possono essere eventi ordinari. Se però riguardano lo stesso asset critico, nello stesso intervallo temporale, dopo un nuovo accesso remoto, il quadro cambia.

L'AI può aiutare proprio su questo terreno: correlare segnali, riconoscere pattern, arricchire eventi con contesto e suggerire una sequenza di triage. Il valore sta nella riduzione del tempo necessario per capire che cosa guardare prima, più che nella previsione astratta.

AI come supporto, non sostituzione, degli analisti

L'automazione produce valore quando alleggerisce attività ripetitive e accelera il ragionamento, non quando rimuove responsabilità. Nel convegno del Politecnico 2026 su AI e cybersecurity, è emerso che il 75% dei CISO dichiara che l'AI non ha ridotto gli FTE interni e il 65% non ha ridotto l'uso di consulenze esterne. Questo dato rende visibile una soglia di realtà: l'AI oggi funziona soprattutto come augmentation, non come sostituzione completa del presidio umano.

Per questo la governance deve stabilire quali decisioni possono essere automatizzate, quali richiedono approvazione e quali devono restare in mano agli analisti. Senza questa distinzione, l'organizzazione rischia di scambiare velocità per controllo.

Dove l'AI crea valore nella detection

La detection è il primo ambito in cui l'AI mostra un'utilità concreta, perché lavora su grandi volumi di dati e su schemi difficili da leggere manualmente.

Correlazione degli eventi, pattern e anomalie comportamentali

Le tecniche AI possono contribuire a riconoscere deviazioni rispetto a baseline comportamentali: accessi fuori orario, movimenti laterali, traffico anomalo, sequenze di comandi insolite, variazioni nei privilegi, pattern di esfiltrazione o comportamenti endpoint non coerenti. In contesti distribuiti, questa capacità aiuta a far emergere segnali deboli prima che diventino incidenti evidenti.

L'IBM Cost of a Data Breach 2025 indica un costo medio globale di 4,44 milioni di dollari per violazione dei dati. Il valore del dato non sta nel numero in sé, ma nella priorità che introduce: ridurre detection e risposta non è solo un tema di efficienza del SOC, ma una leva di contenimento economico e operativo.

Threat intelligence, SIEM, NDR e arricchimento dei segnali

L'AI diventa più utile quando lavora dentro un ecosistema di sicurezza già strutturato. SIEM, NDR, EDR, XDR, asset inventory e threat intelligence producono segnali diversi; l'AI può contribuire ad arricchirli, raggrupparli e renderli più leggibili. Un indicatore esterno diventa più significativo se collegato a un asset realmente esposto; un'anomalia di rete pesa di più se riguarda un sistema critico; una vulnerabilità richiede più urgenza se esiste exploit attivo e percorso di attacco plausibile.

Il rischio è affidarsi a correlazioni opache. Ogni suggerimento deve essere spiegabile abbastanza da permettere all'analista di capire quali elementi lo sostengono. Altrimenti l'AI aggiunge un nuovo strato di rumore, solo più sofisticato.

Dalla detection all'automazione della risposta

La risposta è il punto in cui l'AI diventa più delicata. Suggerire una priorità è diverso da isolare un endpoint, disabilitare un account, bloccare una regola o avviare un playbook. L'automazione deve essere proporzionata al rischio e al livello di confidenza.

Playbook, triage, escalation e contenimento guidato

Un playbook AI-assisted può raccogliere evidenze, classificare la severità, proporre containment, preparare una comunicazione interna, aprire ticket e suggerire escalation. Questo riduce passaggi manuali e tempi morti. Nei casi ripetitivi, alcune azioni possono essere automatizzate; nei casi ad alto impatto, l'AI dovrebbe preparare il contesto e lasciare la decisione a un responsabile.

La revisione NIST colloca l'incident response dentro un ciclo che comprende preparazione, rilevazione, analisi, contenimento, eradicazione, recovery e miglioramento. L'AI può supportare ciascuna fase, ma non sostituisce la necessità di ruoli, soglie e responsabilità definite.

Come ridurre tempi di risposta e interventi manuali

La riduzione dei tempi nasce soprattutto da tre passaggi:

• arricchire automaticamente gli alert con informazioni su asset vulnerabilità e utenti
• proporre una classificazione iniziale
• attivare workflow ripetibili per i casi più frequenti.

Se ogni incidente ricomincia da zero, l'AI può fare poco. Se invece l'organizzazione ha playbook, inventari e log coerenti, l'automazione diventa più affidabile.

Il beneficio va misurato con metriche operative: mean time to detect, mean time to respond, quota di alert chiusi come falsi positivi, numero di escalation corrette, tempo medio di contenimento, qualità della documentazione post-incidente. Senza queste metriche, il progetto resta una promessa di efficienza.

Qualità del dato, falsi positivi e dipendenza dai vendor

Un modello addestrato su log incompleti o asset inventory non aggiornati produrrà priorità distorte. Un sistema che non distingue bene manutenzioni legittime, eccezioni operative e comportamenti malevoli moltiplicherà falsi positivi. Un vendor che non espone criteri, log o possibilità di audit può rendere difficile capire perché un'azione sia stata suggerita.

Il prerequisito non è avere più AI. È avere dati più affidabili, ownership chiare e un processo di tuning continuo. La detection resta un'attività viva: cambia quando cambiano architetture, utenti, minacce e processi.

Supervisione umana, responsabilità e compliance

La supervisione umana non è un freno all'automazione. È il modo per renderla sostenibile. Chi approva un blocco? Chi decide se isolare un sistema produttivo? Chi accetta un rischio temporaneo? Chi verifica che un playbook non violi obblighi contrattuali o normativi? Queste domande devono essere risolte prima dell'incidente.

Il Consideration funnel richiede una lettura orientativa: l'AI è prematura quando mancano log affidabili, inventario degli asset, playbook, ruoli di approvazione e metriche. È invece più adatta quando l'organizzazione ha già un SOC o un servizio gestito, processi di incident response e una base dati sufficiente per correlare eventi con impatto reale.

Come costruire una roadmap AI-driven per SOC e servizi gestiti

Una roadmap credibile parte da casi d'uso circoscritti: arricchimento degli alert, classificazione iniziale, supporto alla threat intelligence, sintesi degli incidenti, generazione controllata di playbook, prioritizzazione delle vulnerabilità. Da lì si estende verso automazioni più incisive solo quando i risultati sono misurati e il team si fida del processo.

In Relatech, l'integrazione tra ReSOC, competenze cyber, cloud e gestione operativa permette di leggere l'AI come supporto a un presidio più ampio: detection, correlazione, risposta e continuità non restano funzioni separate. L'elemento distintivo non è dichiarare che l'AI automatizza tutto, ma usarla dove riduce tempi, ambiguità e lavoro ripetitivo senza togliere tracciabilità.

La priorità finale è costruire automazione graduata. Prima si migliora la qualità del segnale, poi si accelera il triage, poi si introducono playbook assistiti, infine si automatizzano azioni a basso rischio e alta ripetibilità. In cybersecurity l'AI produce valore quando rende il SOC più rapido e leggibile, non quando aggiunge un livello decisionale che nessuno riesce più a spiegare