Przerwa w Radzie Zarządu: Dlaczego CISO nie potrafią mówić o Deepfake’ach — i jak je ująć

Bezpieczeństwo cybernetyczne wkracza w decydujący moment, napędzany przez powszechne przyjęcie sztucznej inteligencji przez przedsiębiorstwa, rządy i osoby fizyczne. Z 82% firm w Stanach Zjednoczonych, które albo używają, albo badają użycie sztucznej inteligencji w swojej działalności, organizacje odblokowują nowe wydajności, ale także atakujący. Te same narzędzia napędzające innowacje umożliwiają także atakującym generowanie syntetycznych treści z alarmującą łatwością i realizmem. Ta nowa rzeczywistość wprowadziła znaczące wyzwania, w tym możliwość tworzenia syntetycznych treści (obrazów, dźwięku i wideo) oraz złych deepfake’ów (manipulowanych dźwięków, wideo lub obrazów używanych do podszywania się pod prawdziwą osobę) z niezwykłą szybkością i złożonością. W kilka kliknięć, każdy z dostępem do komputera i internetu może manipulować obrazami, dźwiękiem i wideo, wprowadzając nieufność i wątpliwości do etosu informacji.

W erze, w której firmy, rządy i organizacje medialne polegają na komunikacji cyfrowej do swojego życia, nie ma miejsca na błąd w zaniżaniu ryzyka, jakie deepfake, oszustwa tożsamości syntetycznej i ataki na podszywanie się stanowią. Te zagrożenia nie są już hipotetyczne – straty finansowe związane z oszustwami na dużą skalę, umożliwionymi przez deepfake, przekroczyły 200 milionów dolarów w Q1 2025, podkreślając skalę i pilność problemu. Nowy krajobraz zagrożeń wymaga nowego podejścia do bezpieczeństwa cybernetycznego, a CISO powinni działać szybko, aby upewnić się, że ich firma pozostaje bezpieczna. Jednakże, proszenie o nowy kapitał i jasne komunikowanie narażenia organizacji na zagrożenia deepfake’ami do zarządu z różnym poziomem wiedzy o ciężkości zagrożenia może być przytłaczające. Podczas gdy ataki deepfake’ami nadal ewoluują i przybierają kształt, każdy CISO musi być na czele wprowadzania tej rozmowy do sali zarządu.

Poniżej znajduje się ramowy plan dla CISO i executive’ów, aby ułatwić rozmowę z udziałem interesariuszy na poziomie zarządu, organizacji i społeczności.

Użyj Znanych Ram: Deepfake jako Zaawansowane Inżynieria Społeczna

Zarządy są przyzwyczajone do myślenia o bezpieczeństwie cybernetycznym w znanych terminach: e-maile phishingowe, ataki ransomware i wiszące pytanie, czy ich firma zostanie naruszona. Ten sposób myślenia kształtuje, w jaki sposób priorytetowo traktują zagrożenia i gdzie przydzielają budżety bezpieczeństwa. Ale gdy chodzi o treści generowane przez sztuczną inteligencję, szczególnie deepfake, nie ma wbudowanego punktu odniesienia. Ramowanie deepfake’ów jako samodzielne, nowe zagrożenie często prowadzi do zamieszania, sceptycyzmu lub braku działania.

Aby przeciwdziałać temu, CISO powinni zakotwiczyć rozmowę w czymś, co zarządy już rozumieją: inżynieria społeczna. W swojej istocie, zagrożenie deepfake nie jest całkowicie nowe; jest to ewoluująca, bardziej niebezpieczna forma phishingu, która istniała w branży przez lata i nadal jest najważniejszym wektorem ataku inżynierii społecznej. Zarządy już rozpoznają phishing jako wiarygodne ryzyko i są skłonne zatwierdzić zasoby do jego obrony. W wielu aspektach deepfake reprezentują bardziej przekonywującą, bardziej skalowalną i bardziej zdolną formę inżynierii społecznej, celującą w organizacje i osoby fizyczne z dewastującą precyzją.

Ramowanie deepfake’ów w ten sposób pozwala CISO na wykorzystanie istniejącej edukacji, linii budżetowych i instytucjonalnej pamięci mięśniowej. Zamiast prosić o nowe zasoby, mogą przestawić prośbę jako ewolucję już zatwierdzonych inwestycji w bezpieczeństwo. Im bardziej CISO mogą opierać się na tej narracji, tym bardziej prawdopodobne jest, że zostaną im przyznane zasoby do rozwiązania tego większego, pilniejszego problemu.

Zakotwicz Ryzyko w Realizmie, a Nie w Sensacjonizmie

Wskazywanie na prawdziwe przykłady jest doskonałym sposobem na pogłębienie zrozumienia zarządu dotyczącego wpływu, jaki mogą mieć na organizacje zagrożenia deepfake. Jednakże, ważne jest, aby wziąć pod uwagę, które przykłady CISO przedstawiają zarządom, ponieważ mogą one mieć odwrotny skutek. Słynne historie, takie jak incydent oszustwa na 25 milionów dolarów w Hongkongu, robią wspaniałe nagłówki, ale mogą backfire w sali zarządu. Te ekstremalne przykłady często wydają się odległe lub nierzeczywiste, tworząc poczucie, że „coś tak katastrofalnego nie może się nam przydarzyć”. Bias występuje natychmiast i usuwa poczucie pilności inwestycji w ochronę.

Zamiast tego, CISO powinni używać bardziej przystępnych scenariuszy, aby pokazać, jak to ryzyko może się rozegrać wewnętrznie, takich jak podszywanie się pod wyższe kierownictwo lub oszustwa podczas rozmów kwalifikacyjnych.

W jednym przypadku, północnokoreańscy aktorzy zagrożeń stworzyli fałszywe połączenie wideo za pomocą wygenerowanych przez sztuczną inteligencję osób, aby oszukać pracownika kryptowaluty do pobrania złośliwego oprogramowania w celu uzyskania dostępu do wrażliwych informacji firmy z zamiarem kradzieży kryptowalut. Ostatecznie, hakerzy nie mogli uzyskać dostępu, ale zagrożenie, jakie te ataki stanowią dla integralności marki, powinno być sygnałem alarmowym dla zarządów w przedsiębiorstwach.

Inną rosnącą taktyką jest fałszywi kandydaci używający wygenerowanych przez sztuczną inteligencję tożsamości i deepfake’ów, aby infiltrować organizacje przedsiębiorstw. Ci ludzie często działają w imieniu amerykańskich przeciwników, takich jak Rosja, Korea Północna lub Chiny, szukając dostępu do wrażliwych systemów i danych. Tendencja ta wyczerpuje wewnętrzne zasoby i naraża organizacje na ryzyko bezpieczeństwa narodowego i eksploatacji finansowej.

Często, te zagrożenia latają pod radarem. Dla każdego przykładu w wiadomościach, dziesiątki pozostają niezgłoszone, co utrudnia pełne zrozumienie skali tego zagrożenia. Im bardziej banalny atak, tym bardziej niepokojący — i przystępny — staje się. Dzięki dzieleniu się przykładami takimi — realistycznymi, przystępnymi i bliższymi domu — CISO mogą zakotwiczyć rozmowę o deepfake’ach w codziennej działalności biznesowej i wzmocnić, dlaczego to ewoluujące zagrożenie wymaga poważnej uwagi na poziomie zarządu.

Połącz Obronne Deepfake z Istniejącymi Metrykami Odporności

CISO są nieustannie pytani przez swoje zarządy o to samo: Jaki jest nasz poziom prawdopodobieństwa naruszenia? Gdzie jesteśmy najbardziej narażeni? Jak możemy zmniejszyć ryzyko? Podczas gdy phishing, ransomware i naruszenia danych nadal istnieją, ważne jest, aby pokazać fundamentalną zmianę, jaka nastąpiła w ramach tych słabości i jak teraz wykraczają one poza tradycyjne powierzchnie ataku.

Zespoły HR, finansowe i zakupowe — role, które nie są tradycyjnie postrzegane jako pierwsza linia obrony — są teraz częstymi celami syntetycznej impersonacji, a średnia zdolność ludzi do wykrywania tych zagrożeń jest bardzo niska. W rzeczywistości, tylko 1 na każde 1000 osób może dokładnie wykryć treści generowane przez sztuczną inteligencję. CISO są teraz zadani z odpowiedzią na zapotrzebowanie na zaawansowaną edukację inżynierii społecznej i większą odporność cybernetyczną w całej organizacji, ponieważ każdy w organizacji musi być przeszkolony, przetestowany i poinformowany, aby pomóc w mitigacji.

Obrona deepfake musi stać się rozszerzeniem odporności przedsiębiorstwa i wymaga ciągłej edukacji w tym samym sposób, w jaki zespoły są szkolone za pomocą symulacji phishingu, szkoleń świadomości i ćwiczeń czerwonego zespołu. CISO powinni wykorzystywać metryki z szkoleń i symulacji, aby pomóc ukształtować problem w metrykach, które ich zarząd rozumie. Jeśli zarząd już zaakceptował odporność jako strategiczną priorytet dla organizacji, deepfake stają się naturalną następną granicą.

Zagrożenia generowane przez sztuczną inteligencję nie nadchodzą. Są już tutaj. To czas, aby upewnić się, że sala zarządu jest gotowa słuchać i prowadzić. Dzięki przyjęciu sztucznej inteligencji, skala i częstotliwość ataków deepfake i opartych na tożsamości przekształciły krajobraz zagrożeń w taki, który jest nieprzewidywalny i ciągle ewoluujący.

Ale zarządy nie potrzebują wprowadzenia do deepfake’ów ani klonowania głosu. Potrzebują jasnego kontekstu biznesowego i lepszego zrozumienia zagrożeń, jakie stanowią one dla ich organizacji. CISO powinni zakotwiczyć rozmowę w ryzyku, koszcie i ciągłości operacyjnej. Ci, którzy wyrównują swoją narrację deepfake do znanych paradygmatów — phishing, inżynieria społeczna, odporność — dają swojemu zarządowi ramy i kontekst, w którym mogą działać, a nie tylko reagować.