فجوة مجالس الإدارة: لماذا يواجه مسؤولو أمن المعلومات صعوبة في الحديث عن التزييف العميق - وكيفية تأطيره

يدخل الأمن السيبراني مرحلةً محورية، مدفوعةً بالاعتماد الواسع النطاق للذكاء الاصطناعي من قِبل الشركات والحكومات والأفراد. 82% مع استخدام أو استكشاف شركات في الولايات المتحدة للذكاء الاصطناعي في أعمالها، تُطلق المؤسسات العنان لكفاءات جديدة، وينطبق الأمر نفسه على المهاجمين. فالأدوات التي تُحفّز الابتكار تُمكّن الجهات الفاعلة في مجال التهديدات من إنتاج محتوى مُركّب بسهولة وواقعية مُثيرة للقلق. وقد طرح هذا الواقع الجديد تحديات كبيرة، بما في ذلك القدرة على إنشاء محتوى مُركّب (صور، مقاطع صوتية، وفيديوهات) وعمليات تزييف عميقة خبيثة (مقاطع صوتية، مقاطع فيديو مُتلاعب بها، أو صور تُستخدم لانتحال شخصية حقيقية) بسرعة وتطور غير مسبوقين. فببضع نقرات فقط، يُمكن لأي شخص لديه إمكانية الوصول إلى جهاز كمبيوتر والإنترنت التلاعب بالصور والمقاطع الصوتية ومقاطع الفيديو، مما يُثير الريبة والشك في ثقافة المعلومات. 

في عصر تعتمد فيه الشركات والحكومات والمؤسسات الإعلامية على الاتصالات الرقمية لكسب عيشها، لا مجال للخطأ في الاستهانة بمخاطر التزييف العميق، وانتحال الهوية الاصطناعية، وهجمات انتحال الشخصية. لم تعد هذه التهديدات افتراضية، فقد تجاوزت الخسائر المالية الناجمة عن عمليات الاحتيال المؤسسي باستخدام التزييف العميق 200 مليون دولار في الربع الأول من عام 1 وحدهمما يُبرز حجم المشكلة وإلحاحها. يتطلب مشهد التهديدات الجديد نهجًا جديدًا للأمن السيبراني، وعلى مسؤولي أمن المعلومات التحرك بسرعة لضمان أمن شركاتهم. ومع ذلك، فإن طلب رأس مال جديد والتواصل بوضوح مع مجلس إدارة ذي مستويات متفاوتة من المعرفة حول مدى تعرض المؤسسة للتهديدات قد يكون أمرًا شاقًا. مع استمرار تطور هجمات التزييف العميق وتشكلها، يجب على كل مسؤول أمن معلومات أن يكون في طليعة نقل هذه المحادثة إلى مجلس الإدارة. 

فيما يلي إطار عمل لمسؤولي أمن المعلومات والمديرين التنفيذيين لتسهيل المحادثات مع أصحاب المصلحة على مستوى مجلس الإدارة والمنظمة والمجتمع. 

استخدام الأطر المألوفة: التزييف العميق كهندسة اجتماعية متقدمة

لقد اعتادت مجالس الإدارة على التفكير في الأمن السيبراني بمصطلحات مألوفة: رسائل التصيد الاحتيالي، وهجمات برامج الفدية، والتساؤل المُلحّ حول ما إذا كانت شركتهم ستتعرض للاختراق. تُشكّل هذه العقلية كيفية تحديد أولويات التهديدات وتخصيص ميزانيات الأمن. ولكن عندما يتعلق الأمر بالمحتوى المُولّد بالذكاء الاصطناعي، وخاصةً التزييف العميق، لا توجد نقطة مرجعية مُدمجة. غالبًا ما يؤدي اعتبار التزييف العميق تهديدًا مُستقلًا وجديدًا إلى الارتباك أو الشك أو التقاعس عن العمل.

لمكافحة هذا، ينبغي على مسؤولي أمن المعلومات ترسيخ الحوار في مجالٍ تفهمه المنتديات بالفعل: الهندسة الاجتماعية. في جوهره، ليس تهديد التزييف العميق جديدًا تمامًا؛ إنه شكلٌ متطورٌ وأكثر خطورة من التصيد الاحتيالي، موجودٌ في هذا المجال منذ سنوات، ولا يزال الأكثر انتشارًا. هجوم الهجوم الهندسة الاجتماعية. تُدرك مجالس الإدارات بالفعل أن التصيد الاحتيالي خطرٌ حقيقي، وهي تُقرّ الموارد اللازمة للدفاع ضده. من نواحٍ عديدة، تُمثّل تقنية التزييف العميق شكلاً أكثر إقناعًا وقابليةً للتوسع وكفاءةً من أشكال الهندسة الاجتماعية، إذ تستهدف كلاً من المؤسسات والأفراد بدقةٍ مُذهلة. 

صياغة deepfakes بهذه الطريقة، يُمكّن مسؤولو أمن المعلومات من الاستفادة من التعليم الحالي، وميزانيات المؤسسات، وخبراتها المؤسسية. فبدلاً من طلب موارد جديدة، يُمكنهم إعادة صياغة الطلب كتطوير للاستثمارات الأمنية المُعتمدة مسبقًا. كلما اعتمد مسؤولو أمن المعلومات على هذا النهج، زادت احتمالية حصولهم على الموارد اللازمة لمعالجة هذه المشكلة الأكبر والأكثر إلحاحًا. 

رسّخ المخاطر في الواقعية، وليس في الإثارة

إن الإشارة إلى أمثلة واقعية تُعدّ وسيلةً فعّالة لتعزيز فهم مجلس الإدارة لتأثيرات تهديدات التزييف العميق على المؤسسات. ومع ذلك، من المهم مراعاة الأمثلة التي يعرضها مسؤولو أمن المعلومات أمام مجالس الإدارة، إذ قد يكون لها تأثير معاكس. قصصٌ سيئة السمعة مثل حادثة الاحتيال الإلكتروني بقيمة 25 مليون دولار في هونغ كونغ تُشكّل هذه الأمثلة المتطرفة عناوين رئيسية رائعة، لكنها قد تأتي بنتائج عكسية في مجالس الإدارة. غالبًا ما تبدو هذه الأمثلة المتطرفة بعيدة المنال أو غير واقعية، مما يُولّد شعورًا بأن "أمرًا كارثيًا كهذا لا يُمكن أن يحدث لنا أبدًا". ينشط هذا التحيز فورًا، ويُزيل الشعور بضرورة الاستثمار في الحماية. 

وبدلاً من ذلك، يتعين على مسؤولي أمن المعلومات استخدام سيناريوهات أكثر قابلية للربط لإظهار كيفية تطور هذا الخطر داخليًا، مثل انتحال شخصية المدير التنفيذي أو الاحتيال في المقابلات.

في حالة واحدة، الجهات الفاعلة التي تهدد كوريا الشمالية أنشأوا مكالمة زوم مزيفة تضم مسؤولين تنفيذيين مُولّدين بالذكاء الاصطناعي لخداع موظف متخصص بالعملات المشفرة، ودفعه إلى تنزيل برمجيات خبيثة للوصول إلى معلومات حساسة للشركة، بهدف سرقة العملات المشفرة. في النهاية، لم يتمكن المتسللون من الوصول، لكن التهديد الذي تُشكّله هذه الهجمات على سلامة العلامة التجارية يجب أن يكون بمثابة جرس إنذار لمجالس الإدارة داخل الشركة. 

هناك تكتيك آخر للنمو يتضمن مرشحين مزيفين للوظائف استخدام هويات مُولّدة بالذكاء الاصطناعي وبيانات اعتماد مُزيّفة لاختراق مؤسسات الأعمال. غالبًا ما يعمل هؤلاء الأفراد نيابةً عن خصوم الولايات المتحدة، مثل روسيا وكوريا الشمالية والصين، سعيًا للوصول إلى أنظمة وبيانات حساسة. هذا التوجه يُستنزف الموارد الداخلية ويُعرّض المؤسسات لمخاطر الأمن القومي والاستغلال المالي. 

غالبًا ما تمر هذه التهديدات مرور الكرام. فمقابل كل مثال يُنشر في الأخبار، لا يُنشر العشرات منها، مما يُصعّب فهم حجم هذا التهديد فهمًا شاملًا. كلما كان الهجوم عاديًا، أصبح أكثر إزعاجًا - وأكثر قابلية للتواصل. من خلال مشاركة أمثلة مثل هذه - الواقعية، والقابلة للتطبيق، والأقرب إلى المنزل - يمكن لمسؤولي أمن المعلومات أن يؤسسوا محادثة التزييف العميق في العمليات التجارية اليومية ويؤكدوا لماذا يتطلب هذا التهديد المتطور اهتمامًا جادًا على مستوى مجلس الإدارة.

ربط دفاع Deepfake بمقاييس المرونة الحالية

يُطرح على مسؤولي أمن المعلومات باستمرار نفس الأسئلة من مجالس إداراتهم: ما احتمالية تعرضنا للاختراق؟ أين نتعرض للخطر أكثر؟ كيف نقلل من المخاطر؟ مع استمرار وجود التصيد الاحتيالي وبرامج الفدية واختراقات البيانات، من المهم تسليط الضوء على التحول الجذري الذي طرأ على هذه الثغرات وكيف أصبحت تتجاوز بكثير سطوح الهجوم التقليدية. 

فرق الموارد البشرية والمالية والمشتريات - وهي أدوار لم تكن تُعتبر تقليديًا بمثابة مدافعين في الخطوط الأمامية - أصبحت الآن أهدافًا متكررة للانتحال الاصطناعي، وقدرة الإنسان العادي على اكتشاف هذه التهديدات منخفضة للغاية. في الواقع، واحد فقط من كل 1 شخص يمكن للذكاء الاصطناعي اكتشاف المحتوى المُنشأ بواسطة الذكاء الاصطناعي بدقة. يقع على عاتق مسؤولي أمن المعلومات الآن مسؤولية تلبية الطلب على تعليم متقدم في مجال الهندسة الاجتماعية وتعزيز المرونة السيبرانية في جميع أنحاء المؤسسة، حيث يحتاج كل فرد في المؤسسة إلى التدريب والاختبار والتوعية للمساعدة في التخفيف من حدة المخاطر. 

يجب أن يصبح الدفاع ضد التزييف العميق امتدادًا لمرونة المؤسسة، ويتطلب تعليمًا مستمرًا بنفس الطريقة التي تُدرّب بها الفرق عبر محاكاة التصيد الاحتيالي، وتدريبات التوعية، وتمارين الفريق الأحمر. ينبغي على مسؤولي أمن المعلومات الاستفادة من مقاييس التدريبات والمحاكاة للمساعدة في صياغة المشكلة في مقاييس يفهمها مجلس إداراتهم. إذا كان مجلس الإدارة قد تبنى بالفعل المرونة كأولوية استراتيجية للمؤسسة، فإن التزييف العميق يصبح الخيار الأمثل.

التهديدات الناتجة عن الذكاء الاصطناعي ليست آتية، بل هي موجودة بالفعل. حان الوقت لنضمن استعداد مجالس الإدارات للاستماع والقيادة. بفضل اعتماد الذكاء الاصطناعي، أدى حجم وتواتر هجمات التزييف العميق والهجمات القائمة على الهوية إلى تحويل مشهد التهديدات إلى مشهد غير متوقع ومتطور باستمرار. 

لكن مجالس الإدارات لا تحتاج إلى مُقدّمة حول التزييف العميق أو استنساخ الأصوات، بل تحتاج إلى سياق عمل واضح وفهم أعمق للتهديدات التي تُشكّلها على مؤسساتها. ينبغي على مسؤولي أمن المعلومات أن يُرسّخوا حواراتهم في المخاطر والتكلفة واستمرارية العمليات. أولئك الذين يُوائِمون سردهم للتزييف العميق مع النماذج المألوفة - التصيّد الاحتيالي، والهندسة الاجتماعية، والمرونة - يُوفّرون لمجلس إداراتهم إطارًا وسياقًا يُمكنهم من خلاله العمل، لا مجرد ردّ الفعل.