Hallituksen aukko: Miksi CISO:t kamppailevat puhumasta deepfakeista — ja miten kehys siitä

KyberTurvallisuus on saapunut ratkaisevaan hetkeen, jota ohjaa laajasti yritysten, hallitusten ja yksityishenkilöiden käyttöönotto tekoälyä. 82 %:lla yhdysvaltalaisista yrityksistä, jotka joko käyttävät tai tutkivat tekoälyn käyttöä liiketoiminnassaan, organisaatiot ovat avaamassa uusia tehokkuuksia, mutta myös hyökkääjät. Samat työkalut, jotka mahdollistavat innovaatiot, mahdollistavat myös uhka-aktoreiden luoda syntetistä sisältöä hämmästyttävällä helppoudella ja realismin tasolla. Tämä uusi todellisuus on tuonut mukanaan merkittäviä haasteita, kuten kyky luoda syntetistä sisältöä (kuvia, ääntä ja videota) ja pahantahtaisia deepfakeja (manipuloitua ääntä, videota tai kuvaa, jota käytetään henkilön impersonointiin) ennennäkemättömällä nopeudella ja monimutkaisuudella. Vain muutamalla klikkauksella kuka tahansa, jolla on pääsy tietokoneeseen ja internetiin, voi manipuloida kuvia, ääntä ja videoita, aiheuttaen epäluottamusta ja epäilyä tietoverkkoympäristössä.

Aikakaudella, jossa yritykset, hallitukset ja media-organisaatiot riippuvat digitaalisesta viestinnästä elinkeinoelämässään, ei ole sijaa virheille aliarvioimalla deepfakejen, syntetisen identiteettiväärinkuvan ja impersonointi-hyökkäysten riskejä. Nämä uhkat eivät ole enää hypoteettisia – rahoitolliset tappiot deepfake-mahdollistamasta yritys-petoksesta ylittivät 200 miljoonaa dollaria vain Q1 2025 aikana, korostaen asian mittakaavaa ja kiireellisyyttä. Uusi uhka-alue vaatii uuden lähestymistavan kyberturvalle, ja CISO:iden on toimittava nopeasti varmistaakseen yrityksensä turvallisuuden. Kuitenkaan pyytäessä uusia pääomia ja selkeästi kommunikoimalla organisaation uhka-alttiutta johtoryhmälle, jolla on vaihteleva taso tietämystä deepfake-uhkan vakavuudesta, voi olla haasteellista. Koska deepfake-hyökkäykset jatkavat kehittymistä ja muotoutumista, jokaisen CISO:n on oltava edelläkävijöitä tuomassa tätä keskustelua johtoryhmään.

Alla on kehys CISO:ille ja johtajille helpottamaan sidosryhmäkeskusteluja hallituksen, organisaation ja yhteisön tasolla.

Käytä Tuttuja Kehyksiä: Deepfakes as Advanced Social Engineering

Hallitukset on ehdollistettu ajattelemaan kyberturvalle tutuissa termeissä: phishingsähköposteja, ransomware-hyökkäyksiä ja kaikenkaikkiaan sitä, tulisiko heidän yrityksensä koskaan murtua. Tämä mielenvire muotoilee, miten he priorisoivat uhkia ja mihin he aloittavat turvallisuusbudjetit. Mutta kun on kyse tekoälyllä luodusta sisällöstä, erityisesti deepfakeista, ei ole valmista viitekehystä. Deepfakejen esittäminen yksittäisenä, uutena uhkana usein johtaa sekavuuteen, epäilyyn tai toimettomuuteen.

Tätä vastaan CISO:iden on ankkuroitava keskustelu johonkin, mitä hallitukset jo ymmärtävät: sosiaaliseen insinöörintiin. Deepfake-uhka ei itsessään ole uusi; se on kehittynyt, vaarallisempi muoto phishingsähköposteista, joka on ollut olemassa teollisuudessa jo vuosia ja jatkaa olemassaoloaan yhtenä tärkeimmistä hyökkäysvektorista sosiaaliseen insinöörintiin. Hallitukset tunnustavat jo phishingsähköpostit uskottavana riskinä ja ovat valmiit hyväksymään resursseja puolustamaan sitä vastaan. Monissa suhteissa deepfakes edustavat enemmän vakuuttavaa, skaalautuvampaa ja kykyisempää sosiaalisen insinöörintiin muotoa, joka kohdistuu sekä organisaatioihin että yksilöihin tuhoisalla tarkkuudella.

Deepfakejen esittäminen tällä tavoin antaa CISO:ille mahdollisuuden hyödyntää olemassa olevaa koulutusta, budjettirivejä ja institutionaalista lihasten muistia. Sen sijaan, että pyytäisiin uusia resursseja, voidaan pyyntö muotoilla sosiaalisen insinöörintiin kehittymisenä jo hyväksyttyihin turvallisuussijoituksiin. Mitä enemmän CISO:t voivat nojata tähän kertomuksen, sitä todennäköisemmin heidät myönnetään resurssit tämän laajemman, välittömän asian ratkaisemiseksi.

Ankkuroi Riski Realismiin, Ei Sensationalismiin

Osoittamalla todellisia esimerkkejä on hyvä tapa edistää hallituksen ymmärrystä siitä, miten deepfake-uhkat voivat vaikuttaa organisaatioihin. Kuitenkin on tärkeää tietää, mitkä esimerkit CISO:t asettavat hallituksen eteen, koska ne voivat aiheuttaa vastakkaisen vaikutuksen. Kuuluisat tarinat, kuten 25 miljoonan dollarin pankkivirkauksen tapaus Hongkongissa, tekevät hyvää otsikkoa, mutta ne voivat takaisinkääntää johtoryhmässä. Nämä äärimmäiset esimerkit usein tuntuvat etäisiltä tai epärealistisilta, luoden käsityksen, että “jotain niin katastrofaalista ei voi koskaan tapahtua meille.” Bias käynnistyy välittömästi ja poistaa kiireellisyyden tunnun investoida suojaan.

Sen sijaan CISO:iden on käytettävä enemmän suhteellisia skenaarioita osoittamaan, miten tämä riski voi toteutua sisäisesti, kuten esim. johtajan impersonointi tai haastattelupetos.

Yhdessä tapauksessa Pohjois-Korean uhka-aktoreiden luoma tekaistu Zoom-keskustelu, jossa oli tekoälyllä luodut johtajat, huijasi krypto-työntekijän lataamaan haittaohjelmaa, jotta he pystyisivät pääsemään käsiinsä herkkää yritystietoa ja varastamaan kryptovaluuttaa. Lopulta hakkerit eivät päässeet pääsiäisiin, mutta tämänkaltaisten hyökkäysten uhka yrityksen maineelle on herättäväiskua johtoryhmälle.

Toinen kasvava taktiikka kohdistuu vääriin työnhakijoihin, jotka käyttävät tekoälyllä luotuja identiteettejä ja deepfake-todisteita soluttautuakseen yritysorganisaatioihin. Nämä henkilöt usein toimivat Yhdysvaltojen vastustajien, kuten Venäjän, Pohjois-Korean tai Kiinan, puolesta etsimällä pääsyä herkkäjärjestelmiin ja -tietoihin. Tämä trendi tyhjentää sisäisiä resursseja ja altistaa organisaatiot kansallisten turvallisuusriskien ja taloudellisen hyväksikäytön vaaralle.

Usein nämä uhkat lentävät alla radarin. Jokaisen uutisissa olevan esimerkin kohdalla kymmenet menevät ilmoittamatta, mikä tekee vaikeaksi ymmärtää tämän uhkan mittakaavaa. Mitä arkisempi hyökkäys on, sitä häiritsevämpää ja suhteellisempaa se on. Jakamalla esimerkkejä, jotka ovat realistisia, suhteellisia ja lähempänä kotia, CISO:t voivat ankkuroida deepfake-keskustelun jokapäiväiseen liiketoiminnan toimintaan ja vahvistaa, miksi tämä kehittyvä uhka vaatii vakavaa huomiota johtoryhmän tasolla.

Sidota Deepfake-Puolustus Olemassa Oleviin Resilienssimittareihin

CISO:ille esitetään jatkuvasti samat kysymykset heidän johtoryhmiltään: Mikä on todennäköisyys, että meidät murretaan? Missä olemme alttiimmat? Miten vähennämme riskiä? Vaikka phishingsähköpostit, ransomware ja tietovuodot jatkavat olemassaoloaan, on tärkeää osoittaa perussääntöinen muutos, joka on tapahtunut näiden haavoittuvuuksien sisällä ja miten ne ulottuvat nyt perinteisten hyökkäyspintojen ulkopuolelle.

HR-, rahoitus- ja hankintatiimit — roolit, jotka eivät perinteisesti ole olleet eturintamien puolustajia — ovat nyt usein kohteena synteettistä impersonointia, ja keskivertohenkilön kyky havaita nämä uhkat on erittäin alhainen. Itse asiassa vain yksi 1000:sta ihmisestä pystyy tarkalleen havaitsemaan tekoälyllä luodun sisällön. CISO:iden on nyt vastattava vaatimukseen edistyneestä sosiaalisen insinöörintiin koulutuksesta ja suuremmasta kyberturvallisuudesta koko organisaatiossa, koska jokaisen on oltava koulutettu, testattu ja tietoinen osallistuakseen torjuntaan.

Deepfake-puolustuksen on tultava laajennukseksi yrityksen laajuisesta resilienssistä ja edellyttää jatkuvaan koulutusta samalla tavoin kuin tiimit koulutetaan phishingsimulaatioilla, tietoisuuskoulutuksella ja punainen joukkue -harjoituksilla. CISO:iden on käytettävä koulutuksista ja simulaatioista saatavia metriikoita auttamaan kehysongelmaa metriikoissa, joita heidän johtoryhmänsä ymmärtää. Jos johtoryhmä on jo hyväksynyt resilienssin strategisen etuoikeuden organisaatiolle, deepfakes muodostuvat luonnolliseksi seuraavaksi eturintamaksi.

Tekoälyllä luodut uhkat eivät ole tulossa. Ne ovat jo täällä. On aika varmistaa, että johtoryhmä on valmis kuulemaan ja johtamaan. Tekoälyn omaksumisen ansiosta deepfake- ja identiteettiin perustuvien hyökkäysten mittakaava ja tiheys ovat muuttaneet uhka-alueen epävarmaksi ja jatkuvasti muuttuvaksi.

Mutta johtoryhmälle ei tarvitse esittää johdantoa deepfakeihin tai äänen kloonaamiseen. He tarvitsevat selkeän liiketoimintayhteyden ja syvemmän ymmärryksen uhkista, joita ne aiheuttavat heidän organisaatioilleen. CISO:iden on ankkuroitava keskustelu riskiin, kustannuksiin ja toiminnan jatkuvuuteen. Nämä, jotka kytkevät deepfake-kertomuksensa tuttuihin paradigmoihin — phishingsähköposteihin, sosiaaliseen insinöörintiin, resilienssiin — antavat johtoryhmälle kehyksen ja kontekstin, jossa he voivat toimia, ei vain reagoida.