Zagrożenia ze strony sztucznej inteligencji odwracają uwagę. Twój prawdziwy problem jest bliżej domu.

Bądźmy szczerzy: cyberataki oparte na sztucznej inteligencji to przerażająca perspektywa. Ale to nie one stanowią największe zagrożenie dla Twojej firmy.

Największym zagrożeniem jest roztargnienie tworzą.

Od ponad 15 lat obserwuję tę samą historię. Kierownictwo jest przerażone najnowszym „superzagrożeniem AI”, podczas gdy zespół ds. bezpieczeństwa wciąż zmaga się z odpowiedziami na podstawowe pytania, takie jak: „Gdzie są nasze najwrażliwsze dane klientów?” lub „Kto odpowiada za łatki dla tego krytycznego systemu?”. Gonimy za nowymi, błyszczącymi narzędziami, podczas gdy inżynierowie są wciągani w ostatnie ćwiczenia zgodności, a krytyczne luki w zabezpieczeniach tracą na znaczeniu.

To jest klasyka „wymyślny zamek w drzwiach z moskitierą” Problem. Organizacje spieszą się z wdrażaniem zabezpieczeń opartych na sztucznej inteligencji, ale atakujący wykorzystują sztuczną inteligencję z mniejszą liczbą reguł i większą zwinnością, aby skutecznie omijać fundamentalne luki w procesach, strukturze własności i kulturze. Szczególnie dla firm średniej wielkości ignorowanie podstaw to zaproszenie do stania się kolejną przestrogą.

Dlaczego obrona statyczna zawodzi w dynamicznym świecie

Kiedy zaczynałem karierę, bezpieczeństwo było listą kontrolną: programy antywirusowe, poprawki i silne zapory sieciowe. Ten świat już dawno minął. Dziś polimorficzne złośliwe oprogramowanie przepisuje się, aby ominąć sygnatury, a botnety przeprowadzają ataki szybciej, niż człowiek jest w stanie zareagować.

Zaszyfrowany ruch stał się ulubioną kryjówką przeciwnika. Raport ThreatLabz firmy Zscaler z 2024 roku wykazał, że prawie 90% złośliwego oprogramowania jest obecnie dostarczane za pomocą szyfrowanych kanałówOznacza to, że dziewięć na dziesięć zagrożeń jest niewidocznych dla starszych narzędzi, które nie potrafią analizować tego ruchu.

Prawdziwym wąskim gardłem nie jest jednak tylko technologia; tarcie organizacyjneWidziałem, jak świetne zespoły ds. bezpieczeństwa spędzały tygodnie, próbując uzyskać akceptację dla usunięcia znanej luki. W czasie potrzebnym na zaplanowanie spotkań, zautomatyzowany atakujący może wejść i wyjść. Statyczność nie jest już opcją. Programy bezpieczeństwa muszą być świadome kontekstu i skoncentrowane na dynamicznie zmieniających się obszarach firmy.

Industrializacja cyberprzestępczości

Nikogo to nie powinno dziwić. Atakujący to przedsiębiorcy prowadzący działalność gospodarczą. Po prostu wdrażają nowe technologie, aby zwiększyć zwrot z inwestycji (ROI) – tak jak my. Sztuczna inteligencja pomaga im w industrializacji ich działalności.

• Phishing jako usługa z dodatkowymi możliwościami: Phishing wciąż jest najczęstszą drogą dotarcia do cyberprzestępców. FBI i IBM od lat wskazują go jako najpopularniejszy wektor dostępu początkowego. Teraz, dzięki generatywnym narzędziom sztucznej inteligencji, takim jak „FraudGPT”, przestępcy mogą tworzyć idealnie dopasowane, pozbawione błędów gramatycznych kampanie phishingowe na niespotykaną dotąd skalę.
• Głos jest kłamstwem: Phishing głosowy („vishing”) rośnie w siłę. CrowdStrike zauważył % Wzrost 442 Ponieważ atakujący wykorzystują głosy klonowane przez sztuczną inteligencję, aby podszywać się pod kadrę kierowniczą i nakłaniać pracowników do przelewania funduszy. Brytyjska firma energetyczna straciła ponad $243,000 w ten sposób za pomocą jednego połączenia.
• Rozwój zautomatyzowanego przeciwnika: Łowcy zagrożeń CrowdStrike mają teraz do czynienia z kompleksowymi, zautomatyzowanymi kampaniami — od życiorysów generowanych przez sztuczną inteligencję z fałszywymi wywiadami wideo po ataki bez złośliwego oprogramowania, które działają w całości w chmurze.

Obrońcy mierzą się z zagrożeniami, które adaptują się i utrzymują przy minimalnym nadzorze człowieka. Atakujący automatyzują od lat; sztuczna inteligencja po prostu przyspieszyła swój proces.

Aby dotrzymać kroku, najwyższy czas porzucić przestarzałe, oparte na listach kontrolnych podejście do zgodności i cyberbezpieczeństwa. Poszukiwanie idealnego rozwiązania w postaci najnowszych narzędzi na rynku również nie jest rozwiązaniem. Mimo to, jest to wyjątkowa okazja, aby powrócić do podstaw.

Przestań pytać „Czy jesteśmy posłuszni?” Zacznij pytać „Czy jesteśmy odporni?”

Choć sztuczna inteligencja zmienia oblicze świata, większość naruszeń wciąż wynika z zaniedbań w kwestiach fundamentalnych. Oczywiście, głos tego prezesa został sklonowany, ale prawdziwą porażką był prawdopodobnie wadliwy proces zatwierdzania wniosków finansowych. Sztuczna inteligencja była jedynie ostatnim ogniwem w łańcuchu zaniedbań w kwestiach fundamentalnych.

Sztuczna inteligencja nie musi szukać exploit zero-day gdy znajdzie pięcioletni, niezałatany serwer lub programistę z uprawnieniami administratora do wszystkiego. Kupno kolejnego narzędzia bezpieczeństwa opartego na sztucznej inteligencji nie naprawi zepsutej kultury. Sztuczna inteligencja powinna wzmacniać silne procesy, a nie je zastępować.

W tym miejscu kierownictwo często popełnia błąd. Byłem w salach konferencyjnych, gdzie pytanie brzmiało: „Czy jesteśmy posłuszni?”. Lepsze pytanie brzmi: „Czy nasz program bezpieczeństwa wzmacnia naszą firmę?”

Zgodność staje się ćwiczeniem polegającym na odhaczaniu pól wyboru. Zespoły produktowe pędzą naprzód, inżynierowie otrzymują zadania związane z bezpieczeństwem bez zasobów, a liderzy zakładają, że czysty audyt oznacza bezpieczeństwo firmy. To nieprawda. Rozwiązaniem nie są dodatkowe narzędzia, lecz silniejsze rusztowanie od góry do dołu. Bezpieczeństwo musi być bezpośrednio powiązane z rozwojem firmy i integralnością produktu.

Pragmatyczny podręcznik dla ery sztucznej inteligencji

Firmy z listy Fortune 500 mogą rzucić pieniądze na ten problem. Firmy średniej wielkości muszą być mądrzejsze. Więc co właściwie… do?

1. Najpierw napraw fundamenty. Zanim kupisz kolejne narzędzie, upewnij się, że masz solidny inwentarz swoich danych, niezawodne mechanizmy kontroli dostępu i proces instalowania poprawek, który faktycznie działa.
2. Uwzględnij sztuczną inteligencję w programie. Przeprowadzaj ćwiczenia symulacyjne oparte na atakach opartych na sztucznej inteligencji. Niech stanie się to stałym elementem raportów zarządu, aby było traktowane jako ryzyko biznesowe, a nie problem IT.
3. Skup się na zachowaniu, a nie tylko na sygnałach statycznych. Daj priorytet narzędziom, które wykrywają podejrzaną aktywność — np. nagłe uzyskanie dostępu do bazy danych, której nigdy nie modyfikowało — a nie narzędziom, które po prostu polują na znane złośliwe oprogramowanie.

Sztuczna inteligencja nie jest wrogiem, lecz samozadowolenie

Sztuczna inteligencja nie jest mieczem obosiecznym, lecz lupą. Sprawia, że ​​dobre procesy stają się bardziej wydajne, a złe – katastrofalne.

Atakujący zawsze będą mieli nowe narzędzia. Prawdziwe pytanie brzmi, czy Twoja strategia bezpieczeństwa opiera się na solidnym fundamencie odporności, czy też po prostu goni za kolejnym błyskotką. Era bezpieczeństwa typu „ustaw i zapomnij” dobiegła końca. Organizacje, które zbudują kulturę bezpieczeństwa i zadbają o jego podstawy, odniosą sukces, nawet w dobie autonomicznych zagrożeń.