Od lidského k hybridnímu: Uvnitř zprávy Exabeam 2025 o riziku insiderů poháněném umělou inteligencí

Riziko se otočilo dovnitř – a to mění architekturu

Pokud je hlavní hrozba uvnitř, „více firewall“ není odpovědí. Je to identita, přístup a chování. Myslete na nepřetržitou verifikaci kdo dělá co, s jakými daty a zda je tento vzorec normální. Regionálně většina trhů nyní považuje insiderů za primární problém; hlavní outlier je APJ (Asie-Pacifik a Japonsko), kde mnoho lidí stále více obává vnější útočníky. Pro lídry je praktickým překladem posunout výdaje směrem k:

• Silnějším kontrolám identity (MFA, které drží, založené na riziku, přístupu s minimálními oprávněními).
• Data-aware monitoringu napříč SaaS, koncovými body, úložištěm a e-mailem, aby bylo možné vidět abnormální pohyb.
• Behaviorální analýze, která se učí normální vzorce pro každého člověka, tým a systém – a upozorňuje na významné odchylky.

Organizační implikace: bezpečnost a vlastníci dat musí spolupracovat. Pokud nemůžete odpovědět na otázku „kdo se dotkl citlivých dat tento týden a bylo to typické pro ně?“, jste slepí k modernímu brečovému cestě (kompromitovaný účet → tichá data staging → rychlá exfil).

Umělá inteligence změnila definici „insidera“

Stínová umělá inteligence je nová stínová IT. Zaměstnanci vkládají kód, smlouvy, seznamy zákazníků nebo podněty s citlivým kontextem do neschválených modelů. To je důvod, proč 76% číslo matters: znamená to, že se nejedná o ničivý problém. Zacházejte s GenAI jako s oprávněným přístupem – schválte konkrétní nástroje, protokolujte použití, kde je to zákonné, a zabráníte chráněným datovým třídám (regulovaným PII, obchodním tajemstvím) vstupovat do třetích modelů. Spárujte politiku s povolením: dejte lidem schválené AI možnosti, aby se necítili nuceni jít na divokou cestu.

Existuje také nový herec uvnitř: Agenti AI. Týmy propojují agenty do pracovních postupů s opravdovými pověřeními a klíči API. Tyto jsou „ne-lidské insiderové“. Oni se neunaví a zřídka si stěžují – dokud se nezmění. To vyžaduje dvě kontroly, které by výkonní ředitelé měli rozpoznat:

• Rozsah: každý agent potřebuje vlastníka, jasnou práci a minimální oprávnění.
• Sledovatelnost: každý agent si zaslouží stejnou auditní stopu a detekci anomálií jako lidský.

UEBA (User & Entity Behavior Analytics) je detekce, která se zaměřuje na chování, ne pouze na signatury a výkonní ředitelé by se s tím měli seznámit. To vytváří základnu pro každého uživatele nebo entitu (včetně botů, servisních účtů a agentů) tím, že se učí:

• Časové normy: typické časy přihlášení, objemy dat nebo destinace.
• Kontext peer-skupiny: jak se chová finanční analytik ve srovnání s jinými finančními analytiky.
• Sequenční vzorce: neobvyklé pořadí (například první VPN přihlášení → okamžité změna oprávnění → hromadný download).
  Když činnost se odchyluje od naučených vzorců, UEBA ohodnotí riziko a označí outlier. Technicky se to opírá o statistiku a strojové učení (nesupervizované a semi-supervizované metody), které prosperují na logických datech bez potřeby dokonalých štítků. V prostém jazyce: UEBA mění hromady událostí na „je to normální pro nich právě teď?“

Zavřete analytickou mezeru – a kulturní mezeru

Toto je skutečné vystavení: pouze 44% organizací používá UEBA, přestože riziko insiderů je nyní hlavním problémem. Současně 74% praktiků říká, že lídři podceňují insiderové hrozby. Ta kulturní mezera zpomaluje najímání, vybavení a politiku. Zavření obou mezer vypadá takto:

Udělejte chování první třídou signálu. Konsolidujte identitu, koncové body, SaaS správu, e-mail a datové pohyby, aby jedna osoba (nebo agent) měla jeden příběh napříč systémy. Investujte do korelace před dashboardy. Pokud SOC nemůže spojit identitu napříč nástroji, budou chybět tiché zneužívání a pomalou exfiltraci.

Vyvažte soukromí s detekcí – podle designu. Nejčastější překážka pro insider programy je odpor proti soukromí. Řešte to s analytikou omezenou na účel, rolí založenou na přístupu k telemetrii, jasnými okny uchovávání a transparentní dokumentací toho, co analyzujete a proč. Správně provedené, soukromí zábrany umožňují silnější detekci, protože odemykají datové toky, které týmy potřebují.

Měřte výsledky, ne počet nástrojů. Výkonní ředitelé by měli žádat o tři čísla měsíčně:

1. Čas k detekci abnormálního chování
2. Čas k obsažení insider incidentů
3. Procento incidentů chycených behaviorálními analytiky versus štěstím nebo dopo-audity.

Vazbu rozpočtu na zlepšení těchto metrik, ne na to, kolik bodových produktů je „nasazeno“.

Zacházejte s GenAI jako s produkčním systémem. Zaved’te allow-listy, červené linky datových kategorií a protokolování pro podněty a výstupy, kde je to zákonné. Dejte produktu a právnímu oddělení místo u stolu, aby „rychle se pohybovat“ nikdy neznamenalo „rozptylovat data do černých skříněk“.

Založte základní úroveň pro každého a všechno. Lidé, servisní účty, RPA skripty a agenti AI každý dostávají svou vlastní základní úroveň. Hledáte drift – nová data dotknutá, neobvyklé časy dne, divné destinace nebo sekvence, které neodpovídají úkolu, který má být proveden.

Shrnutí

Z Od lidského k hybridnímu: Jak umělá inteligence a mezera v analýze pohánějí riziko insiderů je více než snímek dnešních rizik – je to náhled na to, kam musí bezpečnost jít dál. Insiderové hrozby, zesílené umělou inteligencí, již nejsou výjimkou, ale základní předpoklad. Pro CISO a CEO je cesta vpřed znamená posunout se od perimetrových obran k identitě-centrickým strategiím, zacházet s GenAI se stejnou opatrností jako s privilegovanými účty a dát lidem i agentům AI své vlastní behaviorální základní úrovně. Organizace, které uspějí, budou ty, které sjednotí telemetrii, přijmou výsledky orientované metriky a sladí vedení s operacemi. V tomto smyslu je zpráva Exabeamova méně varováním a více hrou pro budování odolnosti v budoucnosti definované umělou inteligencí.