Tekoäly ei korjaa turvallisuuden perusrakenteiden puutteita

Tekoäly teroittaa näkyvyyttä, analyysiä ja päätöksentekoa, mutta sen tehokkuus on rajoitettu perusympäristön laadun mukaan

“Käytääkö se tekoälyä?” on muodostunut oletuskuulukseksi turvallisuustuotteiden keskusteluissa, jota esittävät turvallisuusjohtajat ja jota toistavat lähes kaikki myyjät.

Ongelma on, että se on väärä kysymys. Sen, käyttääkö tuote tekoälyä, ei tarkoita, että se vahvistaisi organisaation turvallisuusasemaa. Tekoäly ei ole kaikkien kyberTurvallisuuden ongelmiin ratkaisu. Sen arvo riippuu siitä, miten sitä sovelletaan, mikä alkaa selkeän ongelman määrittelyllä, jonka haluat ratkaista.

Paras kysymys on: “Mikä tietty turvallisuuden aukko yritämme sulkea, ja auttaako tämä tekoälytekniikka todella sulkemaan sen?”

Mitä tekoäly tekee hyvin

Tekoäly tuottaa arvoa turvallisuudessa kolmella tärkeällä alueella. Ensinnäkin, se täyttää tietojen aukot. Turvallisuustiimit vetävät dataa kymmenistä lähteistä, mukaan lukien vanhentuneet laiteinventaarit, identiteettijärjestelmät, jotka eivät kata kaikkia pääsyjä, ja verkkotiedustelut, jotka eivät havaitse tiettyä liikennettä. Tekoäly voi johtaa kontekstin epätäydellisistä tietokannoista ja luoda täydellisemmän kuvan laitteista, identiteeteistä, yhteyksistä ja työkuormien käyttäytymisestä.

Tekoäly parantaa myös analyysiä suuressa mittakaavassa. Turvallisuustoiminnan signaali-melu-ongelma on vakava ja pahenee. Tekoäly voi korreloidatapahtumia useista tietolähteistä, nostaa esille hälytykset, jotka vaativat huomiota, ja työntää matalan prioriteetin melun analyytikkojen näytön ulkopuolelle. Tässä on se, mihin useimmat turvallisuusvalmistajat ovat keskittäneet tekoälysijoituksensa. SOC-tiimit käyttävät vähemmän aikaa matalan arvon hälytysten käsittelyyn ja enemmän aikaa toimintoihin, jotka vaativat ihmisen arviointia.

Kolmanneksi, kun tekoäly on rikastanut dataa ja analyysiä, se voi ohjata toimintaa suosittelemalla seuraavaa askelta, kuten mitä käytäntömuutosta tarvitaan riskin vähentämiseksi, mitä vastetoimintaa sopii käyttäytymismallille tai missä määritys tarvitaan muutosta.

Tekoäly tuottaa eniten arvoa, kun se parantaa kontekstia, analyysiä ja päätöksentekoa. Se vahvistaa vahvoja turvallisuuskäytäntöjä, mutta se ei voi korvata niitä.

Miksi heikot perustukset epäonnistuvat edelleen

Tekoäly on rajoitettu syötteillä, joita organisaatio syöttää sille. Nämä syötteet (esim. tieto, arkkitehtuuri, käytännöt, valvontalaitteet ja olemassa olevat työkalut) määrittävät sen, mitä tekoäly voi tehdä. Terävöi näitä syötteitä, ja tekoäly tuottaa terävämpiä tuloksia. Heikennä niitä, ja tulokset heikkenevät.

Ilman kontekstia puutteen tunnistamiseksi tekoälyllä ei ole mitään tapaa ilmoittaa siitä. Se ei ryhdy itse tarkastamaan ympäristöä ja merkitsemään, mitä puuttuu. Se ei kerro turvallisuustiimille, että verkossa ei ole riittävää segmentointia, että pääsyvalvonta on liian pehmeä tai että näkyvyyden aukot jättävät koko ympäristön valvomatta.

Tekoäly ei pääse vanhan tietolaatuksen periaatteesta, “roska sisään, roska ulos”, se vahvistaa sen. Heikko tieto tuottaa heikkoa analyysiä. Virheelliset valvontalaitteet antavat tekoälylle jotain, minkä se voi optimoida väärään suuntaan. Täydellinen näkyvyys tarkoittaa, että päätökset tehdään osittaisesta kuvasta, ja tekoäly tekee nopeammin, ei tarkemmin. Nopeus ei ole parannus, kun perustiedot ovat epäluotettavia.

Siksi perustan laatu on tärkeää ennen kuin tekoälykyky tulee kyseeseen. Vahva perusta sisältää identiteetin ja pääsyn valvonnan, joka toteuttaa merkityksellisiä rajoja, vähimmäispääsyn ympäristössä, sovelluksissa, työkuormissa, käyttäjillä ja tietojen osalla, mikrosegmentoinnin rajoittamaan sivusuuntaista liikettä ja kattavaa näkyvyyttä/valvontaa ympäristössä. Se vaatii myös luotettavan tietojen keräämisen ja selkeän ymmärryksen siitä, miten järjestelmät liittyvät toisiinsa ja riippuvat toisistaan.

Tämä ei ole uutta. Nämä ovat samat turvallisuuden taidot, joista turvallisuustiimit ovat puhuneet vuosia, siirryttäessä liikkuvaan ja pilveen. Mitä on muuttunut, on se, että laiminlyöntien kustannukset ovat kasvaneet. Tekoäly voi vahvistaa vahvaa turvallisuusperustaa, mutta se ei voi korvata sitä.

Agenssien tekoäly muuttaa riskilaskelmaa

Muutos ei ole siirtymisestä ei-teköälyyn tekoälyyn, vaan siirtymisestä avustavasta tekoälystä toimivasta tekoälyyn. Perinteinen tekoäly analysoi dataa, nostaa esille oivalluksia ja suosittelee seuraavaa askelta. Agenssien tekoäly toimii järjestelmissä, tietojen, työnkulkujen ja ilman odottamatta ihmisen päätöstä.

Ajattele sitä tällä tavalla: 100 tekoälyagentin käyttöönotto yhdessä yössä on käytännössä sama kuin palkata 100 uutta työntekijää, jotka eivät koskaan kirjaudu ulos, toimivat koneen nopeudella ja joilla on pääsy mihin tahansa järjestelmään, jonka heidän valtuutuksensa sallivat. Mutta toisin kuin ihmiset, nämä agentit eivät tauko, kyseenalaista tai sovella arviointia siitä, milloin pääsyä tulisi käyttää. Ne toimivat jatkuvasti, liikkuvat järjestelmissä ja koskettelevat useita sovelluksia juuri niin kuin heidän valtuutuksensa sallivat.

Riskejä lisää, kun organisaatio antaa agentille saman pääsyprofiilin kuin tietty käyttäjä, he luovat kloonin, ei avuliaan edustajan. Tämä klooni on samanlaista kuin alkuperäinen, toimii jatkuvasti ja saattaa altistaa organisaation samalle riskeille, olipa se syy hyvän tai huonon käytöksen.

Riski kasvaa, kun agenssi saa saman pääsyprofiilin kuin tietty käyttäjä, se luo kloonin, ei avuliaan edustajan. Tämä klooni on samanlaista kuin alkuperäinen, toimii jatkuvasti ja saattaa altistaa organisaation samalle riskeille, olipa se syy hyvän tai huonon käytöksen.

Tekoälyn aikakaudella identiteetti, pääsyvalvonta, vähimmäispääsy, segmentointi ja valvonta eivät ole enää vain parhaiden käytäntöjen mukaisia – ne ovat perusturva vaatimukset. Viimeaikainen Cloud Security Alliance seloste, jonka kehittivät yhteistyössä SANS, OWASP Gen AI Security Project ja käytännön ammattilaiset, vahvistaa, että agenssien tekoäly ei teke perusturva vaatimuksista vanhentuneita. Se tekee niistä ehdottomia.

Miltä tekoälyvalmiit turvallisuus näyttää

Tekoälyvalmiuden käsittely hankintakysymyksenä ja keskittyminen siihen, mitä tekoälytoimintoja tulisi ottaa käyttöön, jättää huomiotta sen, että tekoälyvalmius on arkkitehtuuri-, hallinto- ja valvontakysymys. Kysymys ei ole, mitä työkaluja ostaa, vaan onko ympäristö tuki tekoälyn turvallista toimintaa.

Aloita näkyvyydellä. Ennen kuin otat käyttöön mitään tekoälyominaisuutta, turvallisuustiimien on oltava selkeä kuva siitä, mitä ympäristössä on: laitteet, työkuormat, identiteetit, sovellukset, data, tekoälymallit, agentit ja kolmannen osapuolen yhteydet. Tämä inventaario ei ole mitään, minkä tekoäly voi rakentaa sinulle. Se on tekoälyn aloituspiste.

Siitä alkaen määrittele ongelma. Tunista valvontaukko tai tietty riski ensin. Päätä, mitä lopputulosta on parannettava. Sitten kysy, voittaako tekoäly parantaa tätä aukkoa paremmin kuin muut lähestymistavat. Organisaatiot, jotka kääntävät tämän järjestyksen ja aloittavat tekoälytyökalulla ja etsivät sitten ongelmaa, johon sitä soveltaa, usein tuottavat toimintaa ilman turvallisuuden parantamista.

Tekoälyagenttien soveltaminen nollaturvallisuusperiaatteisiin on siellä, missä tämä muuttuu operatiiviseksi. Vaistonainen oletus on usein määritellä, mitä agenteille ei pitäisi tehdä, mutta tämä luettelo on aina epätäydellinen. Luotettavampi lähestymistapa on määritellä, mitä kunkin agentin pitäisi tehdä, antaa sille vain pääsy määritellyn tehtävän edellyttämään ja valvoa näitä rajoituksia kaikilla pinnoilla. Segmentoi järjestelmät, joita agenteja voidaan käyttää, jotta jos yksi toimii tavalla, joka poikkeaa määritellyistä rajoituksista, tai hyökkääjä käyttää sitä väärin, vahinko pysyy sisällä.

Lopulta toiminnan lisääntyminen ei ole menestystekijä. Tekoäly lisää turvallisuustiimin toiminnan määrää, mutta se ei tarkoita, että se parantaa turvallisuutta. Näyttö, joka esittää paljon toimintaa, ei merkitse, että tekoäly toimii arvoa.

Mittaa lopputuloksia, kuten hälytysten määrän laskua, joka heijastaa todellista signaalia ja riskin laskua nopeammin alueilla, jotka ovat tärkeimmät. Varmista, että käytäntösuositukset vahvistavat valvontaa, mahdollistavat turvallisuustiimille nopeamman incidenttien rajoittamisen ja sallivat SOC-analyytikkojen käyttää enemmän aikaa työhön, joka vaatii ihmisen arviointia.

Perusta tulee ensin

Tekoäly ei ole vahvan turvallisuusaseman perusta. Se on voimakas kertaja, ja kuten mikä tahansa kertaja, sen arvo riippuu kokonaan siitä, mihin sitä sovelletaan.

Organisaatiot, jotka ovat rakentaneet vahvan arkkitehtuuren, jossa on selkeä näkyvyys, toteutettu vähimmäispääsy, segmentointi ja vahva identiteettivalvonta, voivat käyttää tekoälyä teroittamaan kontekstia, kiihdyttämään analyysiä ja toimimaan paremmalla tiedolla. Ne, jotka eivät ole, huomaavat, että tekoäly siirtää heidät nopeammin väärään suuntaan, optimoi virheellisiä valvontaa ja nostaa esille oivalluksia epätäydellisestä kuvasta.

Kysymys, joka on kysyttävä ennen tekoälysijoituksen tekemistä, on sama kuin se, joka ohjaa jokaista turvallisuuspäätöstä: Mikä ongelma yritämme ratkaista? Jos vastaus on selkeä, ja arkkitehtuuri, joka tukee sitä, on paikallaan, tekoäly voi tehdä ratkaisun tehokkaammaksi. Jos vastaus on epäselvä tai perusta on heikko, tekoälyn lisääminen ei muuta sitä. Se tekee aukon vain näkyvämmäksi.

Tekoäly ei korjaa rikkinäistä perustaa. Se tekee vain halkeamat näkyvämmäksi nopeammin.