Le ultime notizie, approfondimenti e le indiscrezioni che emergono tra una sessione e l'altra. Il nostro diario quotidiano direttamente dal Moscone Center, redatto dal nostro team sul campo, tra cui Leo Grove, Presidente e CEO di SSL.
Giovedi, Marzo 26, 2026
Nel mio ultimo giorno all'RSAC 2026, ho partecipato a una sessione sulla CVE. Come Consorzio Cloud Signature In qualità di membro del consiglio di amministrazione, mi interesso in particolare agli standard e all'interoperabilità tecnologica per promuovere l'innovazione condivisa e una comunicazione transfrontaliera efficace.
Il Consiglio CVE fornisce una supervisione strategica del Missione del programma Common Vulnerabilities and Exposures (CVE). Stabilisce Politiche per l'identificazione, la denominazione e la condivisione delle vulnerabilità tra governi e settore privato.
Mentre l' MITER Corporation Il programma, gestito da un ente esterno, è stato storicamente finanziato e supportato dal Dipartimento della Sicurezza Interna degli Stati Uniti, che lo ha inserito in un modello di governance ibrido pubblico-privato, fondamentale per il coordinamento globale della sicurezza informatica. Negli ultimi anni, sono emerse preoccupazioni circa la stabilità dei finanziamenti e la frammentazione geopolitica, aumentando il rischio che il sistema centralizzato di contrasto all'estremismo violento (CVE) possa indebolirsi o frammentarsi.
Mantenere il CVE costantemente aggiornato e ben gestito è essenziale perché funge da livello di riferimento universale per la gestione delle vulnerabilità. Senza di esso, la divulgazione coordinata, l'applicazione delle patch e l'intelligence sulle minacce transfrontaliere diventerebbero più lente, incoerenti e molto meno efficaci.
Queste problematiche sono state ribadite durante la sessione, in cui i partecipanti hanno messo in discussione il ruolo del governo nella definizione di standard per contrastare il panorama della sicurezza informatica in rapida evoluzione. Condivido le opinioni del panel: il governo ha un ruolo nello sviluppo di standard quando il bene comune è una considerazione importante e interessi contrastanti possono contrastare l'impulso ad adottare uno standard comune. È molto difficile tenere la politica fuori da questo ruolo, ma i framework di standardizzazione completamente privati presentano inevitabilmente incentivi personali e finanziari che non sono in linea con il bene comune.
Nel contesto di organizzazioni come The Cloud Signature Consortium, con un numero sempre maggiore di accordi commerciali, come il Accordo commerciale tra MERCOSUR e Commissione europea, vengono implementati in un contesto commerciale sempre più multipolare, aumenterà la necessità di standard interoperabili per l'identità digitale e le firme digitali. Attendo con impazienza le conversazioni che avremo al L'evento "Fiducia senza frontiere" del CSCIl 13 e 14 maggio a Bogotá, in Colombia, riuniremo rappresentanti del governo, del settore privato e del mondo accademico non solo per discutere di come migliorare l'interoperabilità transfrontaliera, ma anche per impegnarci concretamente ad agire.
Mercoledì, Marzo 25, 2026
Ecco alcuni spunti di riflessione: i sistemi LLM dovrebbero integrare la firma del codice nel codice generato dall'IA che forniscono agli utenti? Quanta responsabilità dovrebbero mantenere gli ingegneri in un flusso di lavoro di sviluppo guidato da un sistema LLM?
Una delle tavole rotonde più illuminanti di questa settimana qui all'RSAC ha fatto chiarezza su gran parte del clamore che circonda l'IA generativa nello sviluppo software. Si è concentrata su una realtà cruciale: l'IA generativa accelera la programmazione, ma introduce anche nuovi livelli di rischio, tra cui modelli di codice vulnerabili, attacchi di prompt injection e dipendenze non sicure, tra i più urgenti. L'enfasi sulla governance, sui meccanismi di protezione e sulla trasparenza ha chiarito che l'adozione sicura non è un'opzione, ma un elemento fondamentale, sebbene ci sia ancora molta strada da fare nel mondo reale.
Un momento particolarmente interessante è stato il vivace dibattito tra i relatori sul ruolo che gli ingegneri dovrebbero svolgere nella programmazione assistita da GenAI. Alcuni sostenevano che gli ingegneri dovessero rimanere profondamente coinvolti sia nella generazione che nella revisione del codice, considerando i LLM (Laboratory Language Machines) come strumenti di produttività piuttosto che come decisori. Altri, invece, auspicavano un futuro più automatizzato, in cui i LLM gestissero porzioni più ampie della generazione del codice, con gli ingegneri che si sarebbero dedicati principalmente alla supervisione e alla revisione. Si è persino discusso del fatto che la competenza in determinati linguaggi e framework non sia più rilevante.
Questa tensione dimostra che il settore sta ancora cercando il giusto equilibrio tra velocità e controllo. La mia conclusione è che GenAI è più di un semplice cambiamento di strumenti; rappresenta una sfida fondamentale in termini di governance. Le organizzazioni che avranno successo saranno quelle che definiranno responsabilità chiare, imporranno solidi processi di revisione ed eviteranno di automatizzare eccessivamente e prematuramente.
Quindi chiedo di nuovo: i LLM dovrebbero integrare la firma del codice nel codice che forniscono agli utenti? Quanta responsabilità dovrebbero mantenere gli ingegneri in un flusso di lavoro di sviluppo guidato da un LLM? Mi piacerebbe confrontarmi con voi e conoscere la vostra opinione in merito.
Da Ram Kishore, Responsabile globale dell'architettura delle soluzioni:
Il secondo giorno è stato ricco di sessioni e incontri con i partner, e oggi il secondo tema dominante è stato quello quantistico. Il messaggio emerso durante le sessioni è stato chiaro: l'era del "ce ne occuperemo più tardi" è finita. La transizione a crittografia post-quantistica Il processo PQC (Predictive Qualification Control) è già in corso e le aziende che attendono ancora il segnale di avvio sono già in svantaggio. Le minacce quantistiche non sono problemi teorici del futuro. Agire tempestivamente significa rimanere sicuri, agili e al passo con i cambiamenti normativi e dell'ecosistema.
È proprio qui che entra in gioco SSL.com. Il nostro Piattaforma di fiducia digitale Il nostro servizio va oltre il semplice rilascio di certificati. Collaboriamo con le aziende in ogni fase del loro percorso post-quantistico, dalla pianificazione dell'agilità crittografica alla costruzione di solide basi di fiducia per il futuro.
Quasi tutte le conversazioni che ho avuto oggi all'RSAC hanno toccato il tema dell'IA agentiva. Sta rivoluzionando completamente il modo in cui le aziende operano, con sistemi autonomi che gestiscono i flussi di lavoro a velocità e su scala irraggiungibili per i team umani. Tuttavia, ogni agente che agisce per vostro conto rappresenta anche un potenziale vettore di attacco, e i malintenzionati stanno già cercando di individuare le vulnerabilità di questi sistemi.
Il rischio maggiore non è nemmeno esterno: agenti di intelligenza artificiale gestiti in modo inadeguato, che operano senza un'identità chiara, autorizzazioni definite o controlli di responsabilità, possono causare gravi danni dall'interno. Quando le macchine prendono decisioni autonome, la fiducia digitale è essenziale. La rivoluzione della produttività è reale, e lo è anche la responsabilità che ne deriva.
Lunedi, Marzo 23, 2026
Da Dustin Ward, vicepresidente esecutivo della divisione Tecnologia di SSL:
La RSA Conference (RSAC) è il più grande evento al mondo dedicato alla sicurezza informatica. Ogni anno, decine di migliaia di professionisti della sicurezza si riuniscono al Moscone Center di San Francisco per discutere delle novità in arrivo, dei problemi esistenti e delle soluzioni da adottare. È qui che il settore detta le tendenze.
Ecco cosa sento dire in tutto il settore:
- Le organizzazioni sanno Crittografia post-quantistica sta arrivando, ma non so da dove (o come) iniziare
- L'intelligenza artificiale sta creando contemporaneamente nuove superfici di attacco e nuovi requisiti di fiducia.
- C2PA e la provenienza dei contenuti stanno passando dall'essere "interessanti" all'essere "essenziali".
- La gestione del ciclo di vita dei certificati sta diventando più complessa sia per la fiducia pubblica che per tour privati PKI
- La maggior parte dei team gestisce tutto quanto sopra con gli strumenti di ieri
Una sessione in particolare mi ha colpito più di tutte le altre. Si è concentrata sul passaggio a una durata di validità dei certificati di 47 giorni: da 398 giorni a 200, poi a 100 e infine a 47. Si tratta di un aumento di 8 volte della frequenza di rotazione, e non è un problema di conformità, bensì operativo. Se la vostra soluzione si basa ancora su processi manuali e strumenti scarsamente integrati, siete già in ritardo. E la dipendenza da un'unica CA diventa un rischio concreto quando potreste dover sostituire l'intera infrastruttura di certificati in 24 ore.
Questo è un aspetto su cui ci stiamo concentrando in SSL.com: tour privati PKI per casi d'uso in cui la fiducia pubblica non è il modello adatto e una vera predisposizione per una CA di backup in cui le convalide sono già in atto, i percorsi di emissione sono stabiliti e puoi spostare il traffico o emettere in parallelo quando necessario.
Al di là delle certificazioni, due temi hanno dominato quasi ogni conversazione odierna: l'intelligenza artificiale e il controllo qualità delle prestazioni.
Sul fronte dell'IA, l'IA agentiva è oggi ovunque, una rivoluzione della produttività che presenta anche seri rischi, dagli attacchi guidati dall'IA alla sfida di governare agenti autonomi che agiscono per nostro conto. Come possiamo Autenticare i contenuti generati dall'IA? Come proteggiamo i modelli stessi? È qui che entrano in gioco standard come C2PA e forte PKI Non sono più semplici optional. Stanno diventando fondamentali.
Dal lato PQC, NIST ha finalizzato i suoi standard post-quantistici. Il conto alla rovescia per la migrazione è iniziato. Se sei responsabile di qualcosa che riguarda i certificati, che si tratti di fiducia pubblica TLS/SSL, privato PKI, firma del codice, autenticità dei contenuti C2PA, la domanda non è se hai bisogno di un piano di transizione PQC. È se ne hai già uno.
Questi sono gli argomenti su cui io e il mio team lavoriamo quotidianamente in SSL.com. Non esitate a contattarci se qualcuno di questi argomenti vi sta particolarmente a cuore.
Questo giornale viene aggiornato quotidianamente durante la settimana RSAC. Tornate a trovarci domani per la copertura del secondo giorno e seguiteci su LinkedIn per gli highlights in tempo reale direttamente dal campo.
Desiderate parlare di come la vostra organizzazione si sta preparando a cicli di vita dei certificati più brevi, alla compatibilità con più CA o alla pianificazione post-quantistica? Contattateci.
