Ancaman AI Adalah Pengalih Perhatian. Masalah Anda yang Sebenarnya Lebih Dekat ke Rumah

Mari kita jujur: serangan cyber yang ditenagai AI sangat menakutkan. Tapi itu bukan ancaman terbesar bagi bisnis Anda.

Ancaman terbesar adalah pengalihan perhatian yang mereka ciptakan.

Selama lebih dari 15 tahun, saya telah melihat cerita yang sama terulang. Pemimpin bisnis menjadi takut dengan “ancaman super” AI terbaru, sementara tim keamanan masih berjuang untuk menjawab pertanyaan dasar seperti, “Di mana data pelanggan kami yang paling sensitif?” atau “Siapa yang bertanggung jawab untuk memperbarui sistem kritis itu?” Kami mengejar alat baru yang canggih sementara insinyur ditarik ke dalam latihan kepatuhan terakhir, dan kerentanan kritis diabaikan.

Ini adalah masalah klasik “kunci yang mewah pada pintu layar”. Organisasi berlomba untuk menerapkan pertahanan yang ditenagai AI, tetapi penyerang menggunakan AI dengan aturan yang lebih sedikit dan lebih gesit untuk berjalan langsung melalui celah dasar dalam proses, kepemilikan, dan budaya. Bagi perusahaan menengah, mengabaikan dasar-dasar ini adalah undangan untuk menjadi kisah peringatan berikutnya.

Mengapa Pertahanan Statis Gagal dalam Dunia yang Dinamis

Ketika saya memulai karir saya, keamanan adalah daftar periksa: antivirus, pembaruan, dan firewall yang kuat. Dunia itu sudah lama berlalu. Hari ini, malware polimorfik menulis ulang dirinya untuk menghindari tanda tangan, dan botnet meluncurkan serangan lebih cepat daripada manusia dapat merespons.

Traffic yang dienkripsi telah menjadi tempat persembunyian favorit musuh. Laporan ThreatLabz 2024 dari Zscaler menemukan bahwa hampir 90% malware sekarang disampaikan melalui saluran yang dienkripsi. Artinya, sembilan dari sepuluh ancaman tidak terlihat oleh alat lama yang tidak dapat memeriksa lalu lintas tersebut.

Hambatan sebenarnya, bagaimanapun, bukan hanya teknologi; itu adalah gesekan organisasi. Saya telah menyaksikan tim keamanan yang hebat menghabiskan minggu hanya untuk mencoba mendapatkan persetujuan untuk menutup celah yang diketahui. Dalam waktu yang dibutuhkan untuk menjadwalkan pertemuan, penyerang otomatis dapat masuk dan keluar. Menjadi statis tidak lagi menjadi pilihan. Program keamanan harus menyadari konteks dan fokus pada bagian yang bergerak cepat dari bisnis.

Industrialisasi Kejahatan Cyber

Hal ini tidak boleh mengejutkan siapa pun. Penyerang adalah pengusaha yang menjalankan bisnis. Mereka hanya mengadopsi teknologi baru untuk meningkatkan ROI—sama seperti kita. AI membantu mereka mengindustrialisasi operasi mereka.

• Phishing-as-a-Service, Ditingkatkan: Phishing masih cara utama untuk masuk. FBI dan IBM melaporkannya sebagai vektor akses awal teratas selama bertahun-tahun. Sekarang, dengan alat AI generatif seperti “FraudGPT,” penjahat dapat membuat kampanye phishing yang disesuaikan dengan sempurna dan bebas tata bahasa dengan skala yang belum pernah kita lihat.
• Suara Adalah Kebohongan: Phishing suara (“vishing”) meledak. CrowdStrike melihat peningkatan 442% karena penyerang menggunakan suara yang dikloning AI untuk meniru eksekutif dan menipu karyawan untuk mengirim dana. Perusahaan energi Inggris kehilangan lebih dari $243.000 dengan cara ini dari satu panggilan.
• Munculnya Musuh Otomatis: Pemburu ancaman CrowdStrike sekarang melihat kampanye otomatis ujung-ke-ujung—dari resume yang dihasilkan AI dengan wawancara video deepfake hingga intrusi bebas malware yang hidup sepenuhnya di cloud.

Pembela menghadapi ancaman yang beradaptasi dan bertahan dengan pengawasan manusia minimal. Penyerang telah mengotomatisasi selama bertahun-tahun; AI hanya memasuki workflow mereka ke hyperdrive.

Untuk mengikuti, sudah waktunya kita melepaskan diri dari pendekatan kepatuhan dan keamanan yang ketinggalan zaman. Mencari peluru perak dengan alat terbaru di pasar bukanlah jawabannya. Namun, ini adalah kesempatan unik untuk kembali ke dasar-dasar.

Berhenti Bertanya “Apakah Kami Patuh?” Mulailah Bertanya “Apakah Kami Tangguh?”

Bahkan ketika AI mengubah lanskap, sebagian besar pelanggaran masih terjadi karena dasar-dasar yang diabaikan. Ya, suara CEO itu dikloning, tetapi kegagalan sebenarnya kemungkinan adalah proses persetujuan keuangan yang rusak. AI hanya langkah terakhir dalam rantai dasar-dasar yang terlewatkan.

AI tidak perlu menemukan eksploitasi zero-day ketika dapat menemukan server yang tidak diperbarui selama lima tahun atau pengembang dengan hak admin untuk semua. Membeli alat keamanan lain yang ditenagai AI tidak akan memperbaiki budaya yang rusak. AI harus memperkuat proses yang kuat, bukan menggantinya.

Ini adalah tempat di mana kepemimpinan sering salah. Saya telah berada di ruang rapat di mana pertanyaannya adalah, “Apakah kami patuh?” Pertanyaan yang lebih baik adalah, “Apakah program keamanan kami membuat bisnis kami lebih kuat?”

Kepatuhan menjadi latihan kotak centang. Tim produk berlari ke depan, insinyur diberi tugas keamanan tanpa sumber daya, dan pemimpin menganggap audit yang bersih berarti bisnis aman. Itu tidak. Solusinya bukanlah alat lebih; itu adalah scaffolding yang lebih kuat dari atas ke bawah. Keamanan harus terikat langsung ke pertumbuhan bisnis dan integritas produk.

Buku Pedoman Pragmatis untuk Era AI

Perusahaan Fortune 500 dapat melemparkan uang ke masalah ini. Perusahaan menengah harus lebih pintar. Jadi, apa yang Anda lakukan sebenarnya?

1. Perbaiki Fondasi Anda Terlebih Dahulu. Sebelum Anda membeli alat lain, pastikan Anda memiliki inventori data yang solid, kontrol akses yang kuat, dan proses pembaruan yang benar-benar berfungsi.
2. Taruh AI di Agenda. Jalankan latihan meja berdasarkan serangan yang ditenagai AI. Buatlah menjadi bagian reguler dari pelaporan dewan sehingga dianggap sebagai risiko bisnis, bukan masalah TI.
3. Fokus pada Perilaku, Bukan Hanya Sinyal Statis. Prioritaskan alat yang mendeteksi aktivitas aneh—seperti akun pengguna yang tiba-tiba mengakses database yang tidak pernah disentuh—daripada alat yang hanya berburu malware yang dikenal.

AI Bukan Musuh—Kesombongan Adalah

AI bukanlah pedang bermata dua; itu adalah kaca pembesar. Ini membuat proses yang baik lebih efisien dan proses yang buruk menjadi bencana.

Penyerang akan selalu memiliki alat baru. Pertanyaan sebenarnya adalah apakah strategi keamanan Anda dibangun di atas fondasi ketangguhan yang solid atau hanya mengejar objek yang mengkilap berikutnya. Era keamanan “set-it-and-forget-it” sudah berakhir. Organisasi yang membangun budaya keamanan dan menyelesaikan dasar-dasar akan menang, bahkan di era ancaman otonom.