Protezione IA per le infrastrutture critiche.

Cambia l'inquadramento, non il meccanismo. NIS2 rende la gestione del rischio cyber, compresa la vostra catena di fornitura dell'IA, un obbligo di legge con responsabilità personale della direzione, e CER aggiunge obblighi di resilienza; ciò che vi serve è la stessa visibilità, applicazione e registrazione degli incidenti da cui notificare entro il termine richiesto. L'hosting svizzero non conta per NIS2: la direttiva chiede se gestite i rischi, rilevate gli incidenti e notificate nei termini, ovunque si trovino i server.

Sì. I documenti vengono ispezionati nel caricamento, nel momento del caricamento, prima che lascino l'azienda: un rapporto operativo con topologia di rete, dati di capacità e dettagli di guasti viene intercettato come file, non solo come testo che qualcuno potrebbe incollare. I file protetti da password vengono intercettati anziché lasciati passare. Il caricamento di documenti è stato indicato spontaneamente da un CISO di gruppo del settore energetico come ciò che lo preoccupa di più.

Questo riguarda il livello di reporting e non quello di applicazione. Ogni interazione produce una registrazione di chi ha inviato che cosa, verso quale modello e che cosa ne è stato fatto: è la materia prima che richiedono sia una valutazione d'impatto sulla protezione dei dati sia un inventario dell'IA. Le organizzazioni di questo settore ci dicono di norma che non hanno ancora un quadro formale di governance dell'IA; la fase pilota passiva esiste proprio per creare quella base di partenza prima che la protezione venga attivata.