Celah di Ruang Rapat: Mengapa CISOs Mengalami Kesulitan Berbicara tentang Deepfakes — dan Bagaimana Membingkai Hal Ini

Keamanan siber memasuki momen penting, didorong oleh adopsi AI yang luas oleh perusahaan, pemerintah, dan individu. Dengan 82% perusahaan di AS yang menggunakan atau menjelajahi penggunaan AI dalam bisnis mereka, organisasi membuka efisiensi baru, tetapi begitu juga dengan penyerang. Alat yang sama yang memungkinkan inovasi juga memungkinkan aktor ancaman untuk menghasilkan konten sintetis dengan kemudahan dan realisme yang mengkhawatirkan. Kenyataan baru ini telah memperkenalkan tantangan signifikan, termasuk kemampuan untuk membuat konten sintetis (gambar, audio, dan video) dan deepfakes jahat (audio, video, atau gambar yang dimanipulasi untuk meniru orang nyata) dengan kecepatan dan kesophistikasian yang belum pernah terjadi sebelumnya. Dalam beberapa klik, siapa saja dengan akses ke komputer dan internet dapat memanipulasi gambar, audio, dan video, memperkenalkan ketidakpercayaan dan keraguan ke dalam ethos informasi.

Di era di mana perusahaan, pemerintah, dan organisasi media bergantung pada komunikasi digital untuk kehidupan mereka, tidak ada ruang untuk kesalahan dalam memahami risiko yang ditimbulkan oleh deepfakes, kecurangan identitas sintetis, dan serangan peniruan. Ancaman-ancaman ini tidak lagi hipotetis – kerugian keuangan dari kecurangan perusahaan yang diaktifkan oleh deepfakes melebihi $200 juta di Q1 2025 saja, menekankan skala dan urgensi masalah ini. Lanskap ancaman baru memerlukan pendekatan baru terhadap keamanan siber, dan CISOs perlu bertindak cepat untuk memastikan perusahaan mereka tetap aman. Namun, meminta sumber daya baru dan berkomunikasi dengan jelas tentang paparan ancaman organisasi kepada dewan eksekutif dengan berbagai tingkat pengetahuan tentang keparahan ancaman deepfakes dapat menakutkan. Ketika serangan deepfakes terus berkembang dan mengambil bentuk, setiap CISO perlu berada di garis depan membawa percakapan ini ke ruang rapat.

Di bawah ini adalah kerangka kerja untuk CISOs dan eksekutif untuk memfasilitasi percakapan dengan pemangku kepentingan di tingkat dewan, organisasi, dan masyarakat.

Gunakan Kerangka yang Familiar: Deepfakes sebagai Teknik Sosial yang Maju

Dewan telah dikondisikan untuk berpikir tentang keamanan siber dalam istilah yang familiar: email phishing, serangan ransomware, dan pertanyaan yang menghantui apakah perusahaan mereka akan diretas. Pola pikir itu membentuk bagaimana mereka memprioritaskan ancaman dan di mana mereka mengalokasikan anggaran keamanan. Namun, ketika datang ke konten yang dihasilkan AI, terutama deepfakes, tidak ada titik referensi bawaan. Membingkai deepfakes sebagai ancaman mandiri yang baru sering menyebabkan kebingungan, skeptisisme, atau ketidakaktifan.

Untuk melawan hal ini, CISOs harus mengaitkan percakapan dengan sesuatu yang dewan sudah pahami: teknik sosial. Pada intinya, ancaman deepfakes tidak sepenuhnya baru; itu adalah bentuk yang berevolusi, lebih berbahaya dari phishing yang telah ada dalam industri selama bertahun-tahun dan terus menjadi vektor serangan nomor satu teknik sosial. Dewan sudah mengakui phishing sebagai risiko yang kredibel, dan mereka nyaman mengapprove sumber daya untuk melawan hal itu. Dalam banyak hal, deepfakes mewakili bentuk teknik sosial yang lebih meyakinkan, lebih dapat diskalakan, dan lebih mampu, menargetkan baik organisasi maupun individu dengan presisi yang menghancurkan.

Membingkai deepfakes dengan cara ini memungkinkan CISOs untuk memanfaatkan pendidikan yang sudah ada, garis anggaran, dan memori otot lembaga. Daripada meminta sumber daya baru, mereka dapat membingkai permintaan sebagai evolusi dari investasi keamanan yang sudah disetujui. Semakin banyak CISOs dapat memanfaatkan narasi ini, semakin mungkin mereka akan diberikan sumber daya untuk mengatasi masalah yang lebih besar dan lebih mendesak ini.

Aktifkan Risiko dalam Realisme, Bukan Sensasionalisme

Menunjuk ke contoh dunia nyata adalah cara yang baik untuk memperluas pemahaman dewan tentang dampak ancaman deepfakes terhadap organisasi. Namun, penting untuk mempertimbangkan contoh mana yang CISOs hadapkan kepada dewan, karena mereka dapat memiliki efek sebaliknya. Kisah-kisah terkenal seperti insiden penipuan CFO sebesar $25 juta di Hong Kong membuat headline yang bagus, tetapi mereka dapat backfire di ruang rapat. Contoh ekstrem seperti ini sering terasa jauh atau tidak realistis, menciptakan kesan bahwa “sesuatu yang begitu menghancurkan tidak pernah bisa terjadi pada kita.” Bias ini segera mengaktifkan dan menghilangkan rasa urgensi untuk berinvestasi dalam perlindungan.

Sebaliknya, CISOs harus menggunakan skenario yang lebih dapat dihubungkan untuk menunjukkan bagaimana risiko ini dapat terjadi secara internal, seperti peniruan eksekutif atau penipuan wawancara.

Dalam satu kasus, aktor ancaman Korea Utara menciptakan panggilan Zoom palsu yang menampilkan eksekutif yang dihasilkan AI untuk menipu karyawan kripto untuk mengunduh malware untuk mengakses informasi perusahaan yang sensitif dengan niat mencuri kripto. Pada akhirnya, peretas tidak dapat mengakses, tetapi ancaman serangan ini terhadap integritas merek harus menjadi panggilan bangun untuk dewan dalam perusahaan.

Taktik lain yang tumbuh melibatkan kandidat palsu yang menggunakan identitas yang dihasilkan AI dan kredensial deepfake untuk menyusup ke dalam organisasi perusahaan. Individu-individu ini sering bertindak atas nama lawan AS seperti Rusia, Korea Utara, atau Cina, mencari akses ke sistem dan data yang sensitif. Tren ini menguras sumber daya internal dan memaparkan organisasi pada risiko keamanan nasional dan eksploitasi keuangan.

Seringkali, ancaman-ancaman ini terbang di bawah radar. Untuk setiap contoh di berita, puluhan tidak dilaporkan, membuatnya sulit untuk memahami sepenuhnya skala ancaman ini. Semakin biasa serangannya, semakin mengganggu – dan dapat dihubungkan – itu menjadi. Dengan berbagi contoh seperti ini – realistis, dapat dihubungkan, dan lebih dekat dengan rumah – CISOs dapat mengaitkan percakapan deepfake dengan operasi bisnis sehari-hari dan memperkuat mengapa ancaman yang berkembang ini memerlukan perhatian serius di tingkat dewan.

Hubungkan Pertahanan Deepfake dengan Metrik Ketahanan yang Ada

CISOs terus-menerus ditanya pertanyaan yang sama oleh dewan mereka: Apa kemungkinan kita diretas? Di mana kita paling rentan? Bagaimana kita mengurangi risiko? Sementara phishing, ransomware, dan pelanggaran data terus ada, penting untuk menunjukkan pergeseran mendasar yang telah berubah dalam kerentanan tersebut dan bagaimana mereka sekarang meluas jauh melampaui permukaan serangan tradisional.

Tim HR, keuangan, dan pengadaan – peran yang tidak biasanya dilihat sebagai pembela garis depan – sekarang menjadi target serangan peniruan sintetis yang sering, dan kemampuan rata-rata manusia untuk mendeteksi ancaman ini sangat rendah. Faktanya, hanya 1 dari 1.000 orang dapat mendeteksi konten yang dihasilkan AI dengan akurat. CISOs sekarang ditugaskan untuk mengatasi permintaan akan pendidikan teknik sosial yang maju dan ketahanan siber yang lebih besar di seluruh organisasi, karena setiap orang di organisasi perlu dilatih, diuji, dan disadarkan untuk membantu dengan mitigasi.

Pertahanan deepfake perlu menjadi perpanjangan dari ketahanan perusahaan dan memerlukan pendidikan terus-menerus dengan cara yang sama tim dilatih melalui simulasi phishing, pelatihan kesadaran, dan latihan tim merah. CISOs harus menggunakan metrik dari pelatihan dan simulasi untuk membantu membingkai masalah dalam metrik yang dewan pahami. Jika dewan sudah membeli ketahanan sebagai prioritas strategis untuk organisasi, deepfakes menjadi frontier alami berikutnya.

Ancaman yang dihasilkan AI tidak akan datang. Mereka sudah ada. Sudah waktunya kita memastikan ruang rapat siap untuk mendengar dan memimpin. Berkat adopsi AI, skala dan frekuensi serangan deepfake dan identitas berbasis telah mengubah lanskap ancaman menjadi satu yang tidak terduga dan terus berkembang.

Tapi dewan tidak perlu primer tentang deepfakes atau penggandaan suara. Mereka perlu konteks bisnis yang jelas dan pemahaman yang lebih baik tentang ancaman yang mereka timbulkan terhadap organisasi mereka. CISOs harus mengaitkan percakapan mereka dengan risiko, biaya, dan kontinuitas operasional. Mereka yang mengaitkan narasi deepfake mereka dengan paradigma yang familiar – phishing, teknik sosial, ketahanan – memberikan dewan kerangka dan konteks di mana mereka dapat bertindak, bukan hanya bereaksi.