L’AI nel SOC accelera, ma banche, retail e sanità corrono a velocità diverse

Nel settore retail il 44% delle organizzazioni ha già attuato l’AI generativa o agentica all’interno dei SOC; il comparto finance è fermo al 28%, la quota più bassa fra i settori analizzati. Lo rivela lo studio The Agentic Advantage: How Finance, Retail, and Healthcare Are Building the Autonomous SOC condotto da 451 Research su commissione di SentinelOne. Gli intervistati sono tutti in Nord America, ma molte informazioni sono utili per avere la misura di che cosa aspettarci in Europa.

Le piattaforme che integrano i pilastri storici della sicurezza (SIEM, EDR, identità e threat intelligence) sono ormai una realtà diffusa; restano alcuni tool standalone, ma sempre più confinati in nicchie che le piattaforme onnicomprensive non hanno ancora assorbito.

Il consolidamento in piattaforme è guidato dal finance con l’84% di organizzazioni, seguita da retail (80%) e sanità (79%). La stima è che fra tre anni questi valori saliranno al 96% per finanza e sanità e al 92% per il retail, che si sta rivelando il settore più lento a chiudere la fase best-of-breed. In ogni caso, in capo ai prossimi tre anni la quota delle organizzazioni dedite allo standalone passerà al 6% (dall’attuale 18%).

Le posizioni si invertono quando si passa alla disamina della maturità operativa dell’AI. Qui il retail è capofila con il 44% di organizzazioni che usano attivamente AI generativa o agentica nei SOC. Nel 48% dei casi ciascuna, finanza e sanità restano legate a progetti pilota. Tuttavia c’è da fare una distinzione: nel 36% delle aziende sanitarie l’AI è già in produzione, mentre nel finance questo valore precipita al 28%.

Anche il concetto di SOC non è paritario fra i vertical: secondo il dato aggregato, Il 96% delle organizzazioni colloca oggi l’uso dell’AI nel SOC al livello 1 (monitoraggio di base) o livello 2 (triage da analista senior); il livello 3, che comprende indagine e risposta indipendenti, resta una rarità al 4%. Tornando al dato per vertical, nel settore finance il 65% delle aziende si ferma al SOC di livello 1 e solo il 33% opera al livello 2. Retail e sanità mostrano un’adozione più ampia del livello 2 (rispettivamente al 45% e al 41%.)

A convergere sono le aspettative: il 96% delle organizzazioni prevede di raggiungere almeno il livello 2 entro uno o tre anni e il 57% si attende piena copertura di livello 3, con percentuali sostanzialmente omogenee tra i settori (54% finanza e retail, 57% sanità). Il dato più rilevante è che l’estensione dell’autonomia non coincide con l’assenza di supervisione umana: il 99% dei rispondenti considera ancora importante la revisione umana per le decisioni rilevanti, indipendentemente da quanto si spinga in avanti il perimetro operativo dell’AI.

Fra i motivi per i quali è il retail il settore con la più rapida velocità di adozione dell’AI c’è la necessità di contrastare credential stuffing, frodi con carte e account takeover su larga scala. Il secondo motivo è l’ampiezza del rollout. In compenso, il retail sconta un ritardo sulle architetture dati: solo il 44% delle aziende gestisce una security data fabric funzionante, con il risultato che le operazioni di sicurezza hanno visibilità frammentata tra ambienti cloud, sistemi POS legacy e partner logistici terzi. Inoltre, solo il 33% dei retailer dispone di un piano di incident response per l’AI generativa o agentica, che è la quota più bassa dei tre settori, e la stessa percentuale ha policy AI documentate.

La sanità si presenta come il settore che è più fiducioso e ambizioso. Imita la postura del finance nella velocità di adozione iniziale, con il 36% di organizzazioni in produzione e il 48% ancora impegnate in proof of concept. Ma una volta superata la soglia dell’adozione ingrana la quarta: il 52% di quelle che usano già l’AI nel SOC la scalano su più flussi di lavoro, e solo il 7% resta in fase pilota, che è il valore più basso dei verticali in valutazione. La motivazione di questa propensione all’AI è probabilmente da accreditare al fatto che gli attacchi cyber condotti con l’AI sono il principale rischio percepito, e questo spinge i responsabili della sicurezza sanitaria verso piattaforme SecOps agentiche capaci di correlare telemetria tra ambienti clinici, cloud e legacy.

Il problema del settore sanitario però è che all’alta fiducia nell’AI non si accompagnano di pari passo i controlli operativi: la preoccupazione per la precisione dell’AI (29%) e per il rischio di esposizione di dati sensibili (34%) sono i più bassi del gruppo in analisi. Una preoccupazione c’è, ma riguarda la manipolazione dei sistemi AI da parte degli attaccanti (38%). Il risultato è che solo il 33% utilizza monitoraggio e logging formali per gli strumenti AI e solo il 28% dispone di politiche aziendali documentate sull’uso dell’AI. A queste carenze si compensa puntando sul fattore umano, dato che nella sanità si registra il tasso più alto di team dedicati alla sicurezza AI (19%) e di programmi di formazione e sensibilizzazione dei dipendenti (62%).

I benefici operativi dell’AI

Sul piano dei benefici operativi, il 99% delle aziende che hao adottato l’AI riporta miglioramenti moderati o significativi nella risposta e nella remediation degli incidenti. Lo spostamento più marcato riguarda l’arretrato di alert non gestiti, che è passato dal 70% dei SOC retail con oltre metà del volume giornaliero di alert inevaso per carenza di personale (contro il 26% della finanza) all’86% dei SOC finance e al 74% di quelli retail che oggi mantengono l’arretrato sotto la soglia del 50%. I benefici percepiti divergono per settore, con il finance che indica come priorità la collaborazione cross-funzionale (42%), il retail che punta sulla riduzione di mean time to detect e mean time to respond (42%) e la sanità che valorizza la collaborazione tra sicurezza, IT e team clinici (44%, il valore più alto in assoluto per questo beneficio specifico).

Le ansie legate ai rischi si distribuiscono in modo specifico. Il finance è il settore più preoccupato per esposizione di dati sensibili (55%) ed esfiltrazione (46%). Il retail concentra le proprie preoccupazioni su fiducia e identità. La sanità resta paradossalmente meno ansiosa su accuratezza ed esposizione dei dati. Nessun settore presenta un quadro privo di lacune nell’ambito della governance. Il retail sconta la debolezza più grave in termini di preparazione; la sanità arretra su controlli tecnici di logging e monitoraggio. I modelli di titolarità divergono altrettanto nettamente: il finance centralizza la sicurezza AI sotto al CISO (57%), la sanità opta per strutture decentralizzate e specializzate, guidando il mercato per team dedicati alla sicurezza AI (19%).