Decalajul din sala de consiliu: De ce CISO-urile se chinuie să vorbească despre deepfake-uri - și cum să o formuleze

Securitatea cibernetică intră într-un moment crucial, impulsionat de adoptarea pe scară largă a inteligenței artificiale de către întreprinderi, guverne și persoane fizice. Cu 82% Dintre companiile din SUA care utilizează sau explorează utilizarea inteligenței artificiale în afacerile lor, organizațiile deblochează noi eficiențe, dar la fel și atacatorii. Aceleași instrumente care alimentează inovația permit, de asemenea, actorilor amenințători să genereze conținut sintetic cu o ușurință și un realism alarmante. Această nouă realitate a introdus provocări semnificative, inclusiv capacitatea de a crea conținut sintetic (imagini, audio și video) și deepfake-uri rău intenționate (audio, video sau imagini manipulate folosite pentru a se da drept o persoană reală) cu o viteză și o sofisticare fără precedent. În doar câteva clicuri, oricine are acces la un computer și la internet poate manipula imagini, audio și videoclipuri, introducând neîncredere și îndoială în etosul informațional. 

Într-o epocă în care companiile, guvernele și organizațiile media se bazează pe comunicarea digitală pentru existența lor, nu există loc de eroare în subestimarea riscurilor pe care le prezintă deepfake-urile, frauda de identitate sintetică și atacurile de uzurpare de identitate. Aceste amenințări nu mai sunt ipotetice - pierderile financiare cauzate de fraudele la nivel de întreprinderi bazate pe deepfake-uri au depășit... 200 de milioane de dolari numai în primul trimestru al anului 1, subliniind amploarea și urgența problemei. Un nou peisaj al amenințărilor necesită o nouă abordare a securității cibernetice, iar CISO-urile trebuie să acționeze rapid pentru a se asigura că firma lor rămâne în siguranță. Cu toate acestea, solicitarea de capital nou și comunicarea clară a expunerii unei organizații la amenințări către un consiliu de administrație cu niveluri diferite de cunoștințe despre gravitatea amenințării reprezentate de deepfake-uri pot fi descurajante. Pe măsură ce atacurile deepfake continuă să evolueze și să prindă contur, fiecare CISO trebuie să fie în prim-planul aducerii acestei conversații în sala de consiliu. 

Mai jos este un cadru pentru CISO-uri și directori pentru a facilita conversațiile cu părțile interesate la nivel de consiliu, organizație și comunitate. 

Folosește framework-uri familiare: Deepfake-uri ca inginerie socială avansată

Consiliile de administrație au fost condiționate să gândească despre securitatea cibernetică în termeni familiari: e-mailuri de phishing, atacuri ransomware și întrebarea iminentă dacă firma lor va fi atacată. Această mentalitate modelează modul în care prioritizează amenințările și unde alocă bugetele de securitate. Dar când vine vorba de conținut generat de inteligența artificială, în special deepfake-uri, nu există un punct de referință încorporat. Încadrarea deepfake-urilor ca o amenințare independentă, nouă, duce adesea la confuzie, scepticism sau inacțiune.

Pentru a combate acest lucru, CISO-urile ar trebui să ancorareze conversația în ceva ce consiliile de administrație înțeleg deja: ingineria socială. În esență, amenințarea deepfake nu este complet nouă; este o formă evoluată, mai periculoasă de phishing, care există în industrie de ani de zile și continuă să fie numărul unu. vector de atac de inginerie socială. Consiliile de administrație recunosc deja phishing-ul ca un risc credibil și se simt confortabil să aprobe resurse pentru a se apăra împotriva acestuia. În multe privințe, Deepfake-urile reprezintă o formă de inginerie socială mai convingătoare, mai scalabilă și mai capabilă, vizând atât organizațiile, cât și persoanele fizice cu o precizie devastatoare. 

Încadrare deepfakes În acest fel, CISO-urile pot valorifica resursele educaționale, bugetare și memoria instituțională existente. În loc să solicite resurse noi, aceștia pot reformula cererea ca o evoluție a investițiilor în securitate deja aprobate. Cu cât CISO-urile se pot baza mai mult pe această narațiune, cu atât este mai probabil să li se acorde resursele necesare pentru a aborda această problemă mai amplă și imediată. 

Ancorează riscul în realism, nu în senzaționalism

Indicarea unor exemple din lumea reală este o modalitate excelentă de a îmbunătăți înțelegerea de către un consiliu de administrație a impactului pe care amenințările deepfake l-ar putea avea asupra organizațiilor. Cu toate acestea, este important să se ia în considerare ce exemple prezintă CISO-urile consiliilor de administrație, deoarece acestea pot avea efectul opus. Povești infame precum... Incidentul fraudei electronice de 25 de milioane de dolari din Hong Kong Acestea pot face titluri excelente în presă, dar se pot întoarce împotriva lor în sala de consiliu. Aceste exemple extreme par adesea îndepărtate sau nerealiste, creând senzația că „ceva atât de catastrofal nu ni s-ar putea întâmpla niciodată”. Prejudecata intervine imediat și elimină sentimentul de urgență de a investi în protecție. 

În schimb, CISO-urile ar trebui să utilizeze scenarii mai ușor de înțeles pentru a arăta cum s-ar putea manifesta acest risc intern, cum ar fi uzurparea identității unui director sau fraudarea interviurilor.

Într-un caz, Actori nord-coreeni ai amenințărilor a creat un apel Zoom fals cu directori generați de inteligență artificială pentru a păcăli un angajat din domeniul criptomonedelor să descarce programe malware pentru a accesa informații sensibile ale companiei, cu intenția de a fura criptomonede. În cele din urmă, hackerii nu au reușit să obțină acces, dar amenințarea pe care aceste atacuri o reprezintă la adresa integrității unui brand ar trebui să fie un semnal de alarmă pentru consiliile de administrație din cadrul companiei. 

O altă tactică din ce în ce mai populară implică candidați falși la locuri de muncă folosind identități generate de inteligență artificială și acreditări deepfake pentru a se infiltra în organizațiile mari. Aceste persoane acționează adesea în numele adversarilor americani, cum ar fi Rusia, Coreea de Nord sau China, căutând acces la sisteme și date sensibile. Această tendință epuizează resursele interne și expune organizațiile la riscuri de securitate națională și exploatare financiară. 

Adesea, aceste amenințări trec neobservate. Pentru fiecare exemplu din știri, zeci de exemple rămân neraportate, ceea ce face dificilă înțelegerea completă a magnitudinii acestei amenințări. Cu cât atacul este mai banal, cu atât devine mai tulburător - și mai ușor de înțeles. Prin împărtășirea unor exemple precum acestea - realiste, ușor de înțeles și mai apropiate de realitate - CISO-urile pot ancora conversația despre deepfake-uri în operațiunile de zi cu zi ale afacerii și pot sublinia de ce această amenințare în continuă evoluție necesită o atenție serioasă la nivelul consiliului de administrație.

Legați apărarea împotriva Deepfake-urilor de metricile de reziliență existente

Consiliile de administrație ale CISO-urilor pun în mod constant aceleași întrebări: Care este probabilitatea de a fi atacați? Unde suntem cei mai vulnerabili? Cum reducem riscul? Deși phishing-ul, ransomware-ul și încălcările de date continuă să existe, este important să se evidențieze schimbarea fundamentală care s-a produs în cadrul acestor vulnerabilități și modul în care acestea se extind acum mult dincolo de suprafețele de atac tradiționale. 

Echipele de resurse umane, finanțe și achiziții – roluri care în mod tradițional nu sunt văzute ca apărători din prima linie – sunt acum ținte frecvente ale uzurpării sintetice, iar capacitatea umană medie de a detecta aceste amenințări este extrem de scăzută. De fapt, doar 1 din 1,000 de persoane poate detecta cu precizie conținutul generat de inteligența artificială. CISO-urile au acum sarcina de a răspunde cererii de educație avansată în inginerie socială și de o rezistență cibernetică sporită în întreaga organizație, deoarece toți membrii organizației trebuie să fie instruiți, testați și conștientizați pentru a ajuta la atenuarea riscurilor. 

Apărarea împotriva deepfake-urilor trebuie să devină o extensie a rezilienței la nivelul întregii companii și necesită educație continuă, în același mod în care echipele sunt instruite prin simulări de phishing, instruire de conștientizare și exerciții pentru echipa roșie. CISO-urile ar trebui să utilizeze indicatori din traininguri și simulări pentru a ajuta la încadrarea problemei în indicatori pe care consiliul lor de administrație îi înțelege. Dacă un consiliu de administrație a adoptat deja reziliența ca prioritate strategică pentru organizație, deepfake-urile devin o nouă frontieră naturală.

Amenințările generate de inteligența artificială nu vor apărea. Ele sunt deja aici. Este timpul să ne asigurăm că membrii consiliului de administrație sunt pregătiți să asculte și să conducă. Datorită adoptării inteligenței artificiale, amploarea și frecvența atacurilor deepfake și bazate pe identitate au transformat peisajul amenințărilor într-unul imprevizibil și în continuă evoluție. 

Însă consiliile de administrație nu au nevoie de noțiuni introductive despre deepfake-uri sau clonarea vocii. Au nevoie de un context de afaceri clar și de o înțelegere mai bună a amenințărilor pe care le reprezintă pentru organizațiile lor. CISO-urile ar trebui să își bazeze conversațiile pe risc, costuri și continuitate operațională. Cei care își aliniază narațiunea despre deepfake-uri la paradigme familiare - phishing, inginerie socială, reziliență - oferă consiliului lor un cadru și un context în care acesta poate acționa, nu doar reacționa.