AI-trusler er en distraksjon. Ditt virkelige problem er nærmere hjemme

La oss være ærlige: AI-drevne cyberangrep er en skremmende prospekt. Men de er ikke den største trussel mot din forretning.

Den største trussel er distraksjonen de skaper.

I over 15 år har jeg sett den samme historien utspille seg. Ledelsen blir forskrekket av den siste “AI-supertrusselen”, mens sikkerhetsteamet fortsatt sliter med å svare på grunnleggende spørsmål som “Hvor er vår mest sensitive kundedata?” eller “Hvem eier oppdatering av det kritiske systemet?” Vi jager etter nye verktøy mens ingeniører blir trukket inn i siste øyeblikks kompatibilitetsøvelser, og kritiske sårbarheter blir nedprioritert.

Dette er det klassiske “fancy lås på en skjermingsdør”-problemet. Organisasjoner skynder seg å deployere AI-drevne forsvar, men angripere bruker AI med færre regler og mer smidighet til å gå rett gjennom grunnleggende hull i prosess, eierskap og kultur. For mid-market selskaper spesielt er å ignorere grunnleggende prinsipper en invitasjon til å bli det neste advarselskallet.

Hvorfor statiske forsvar feiler i en dynamisk verden

Da jeg startet min karriere, var sikkerhet en sjekkeliste: antivirus, oppdateringer og sterke brannmurer. Den verden er lenge borte. I dag skriver polymorft malware om seg selv for å unngå signaturer, og botnett lanserer angrep raskere enn noen menneske kan reagere.

Kryptert trafikk har blitt motpartens favoritt-gjemmestad. Zscalers 2024 ThreatLabz-rapport fant at nærmere 90% av malware nå leveres over krypterte kanaler. Det betyr at ni av ti trusler er usynlige for legacy-verktøy som ikke kan inspisere den trafikken.

Den virkelige flaskenhalser er likevel ikke bare teknologi; det er organisatorisk friksjon. Jeg har sett gode sikkerhetsteam bruke uker bare på å få godkjenning til å lukke en kjent åpning. I tiden det tar å planlegge møtene, kan en automatisert angriper være inn og ut. Å være statisk er ikke lenger et alternativ. Sikkerhetsprogrammer må være kontekst-bevisste og fokusere på de raskt bevegelige delene av forretningen.

Industrialiseringen av cyberkriminalitet

Dette burde ikke overraske noen. Angripere er entreprenører som driver en forretning. De adopterer bare ny teknologi for å forbedre sin avkastning—akkurat som vi gjør. AI hjelper dem å industrialisere sine operasjoner.

• Phishing-as-a-Service, Supercharged: Phishing er fortsatt den #1 måten å komme inn. FBI og IBM rapporterer det som den øverste innledende aksessvektoren i årevis. Nå, med generative AI-verktøy som “FraudGPT”, kan kriminelle skape perfekt tilpassede, feilfrie phishing-kampanjer i en skala vi aldri har sett.
• Stemmen er en løgn: Voice-phishing (“vishing”) eksploderer. CrowdStrike så en 442% økning da angripere bruker AI-klonede stemmer til å etterligne ledere og lure ansatte til å overføre midler. Et britisk energiselskap tapte over 243 000 dollar på denne måten fra ett enkelt oppring.
• Oppkomsten av den automatiserte motparten: CrowdStrikes trusseljegere ser nå fullstendig automatiserte kampanjer—fra AI-genererte CV-er med deepfake-video-intervjuer til malware-frie intrusjoner som bor helt i skyen.

Forsvarere står overfor trusler som tilpasser seg og varer med minimalt menneskelig tilsyn. Angripere har automatisert i årevis; AI har bare satt deres arbeidsflyt på hyperdrive.

For å holde pace, er det høyt tid å slippe gamle, sjekkeliste-drevne tilnærminger til kompatibilitet og cybersikkerhet. Å lete etter en sølvkule med det siste verktøyet på markedet er ikke svaret heller. Det er likevel en unik mulighet til å gå tilbake til grunnleggende prinsipper.

Slutt å spørre “Er vi kompatible?” Start å spørre “Er vi motstandsdyktige?”

Selv om AI omformer landskapet, skjer de fleste brudd likevel fordi grunnleggende prinsipper blir forsømt. Ja, CEO-ens stemme ble klonet, men den virkelige feilen var sannsynligvis en ødelagt finansiell godkjenningsprosess. AI var bare det siste steget i en rekke av forsømte grunnleggende prinsipper.

AI trenger ikke å finne en zero-day-utnytting når det kan finne en fem år gammel upatchet server eller en utvikler med admin-rettigheter til alt. Å kjøpe enda et AI-drevet sikkerhetsverktøy vil ikke fikse en ødelagt kultur. AI bør styrke sterke prosesser, ikke erstatte dem.

Dette er der ledelsen ofte tar feil. Jeg har vært i styrerom hvor spørsmålet var “Er vi kompatible?” Det bedre spørsmålet er “Gjør vårt sikkerhetsprogram vår forretning sterkere?”

Kompatibilitet blir en sjekkeliste-øvelse. Produktteam sprinter fremover, ingeniører får sikkerhetsoppgaver uten ressurser, og ledere antar at en ren audit betyr at forretningen er trygg. Det gjør det ikke. Løsningen er ikke flere verktøy; det er sterkere rammeverk fra toppen ned. Sikkerhet må være direkte knyttet til forretningsvekst og produktintegritet.

En pragmatisk spillbok for AI-æraen

Fortune 500-selskaper kan kaste penger på dette problemet. Mid-market-selskaper må være smartere. Så, hva gjør du virkelig?

1. Fix din grunnleggende første. Før du kjøper enda et verktøy, sikre deg at du har en solid inventar av dine data, patronerte tilgangskontroller og en oppdateringsprosess som faktisk fungerer.
2. Plasser AI på dagsordenen. Kjør bordssimulatorer basert på AI-drevne angrep. Gjør det til en fast del av styre-rapportering så det behandles som en forretningsrisiko, ikke et IT-problem.
3. Fokus på atferd, ikke bare statiske signaler. Prioriter verktøy som oppdager merkelig aktivitet—som en brukerkonto som plutselig aksesserer en database den aldri berører—over verktøy som bare jakter på kjent malware.

AI er ikke fienden—Selvtilfredshet er

AI er ikke en dobbelt eggkant; det er et forstørrelsesglass. Det gjør gode prosesser mer effektive og dårlige prosesser katastrofale.

Angripere vil alltid ha nye verktøy. Det virkelige spørsmålet er om din sikkerhetsstrategi er bygget på en solid grunn av motstandsdyktighet eller bare jager det neste skinnende objektet. Æraen med “set-it-and-forget-it”-sikkerhet er over. Organisasjoner som bygger en kultur av sikkerhet og fikser grunnleggende prinsipper vil vinne, selv i AI-drevne truslers tid.