Угрозы ИИ отвлекают. Ваша настоящая проблема ближе к дому.

Будем честны: кибератаки с использованием искусственного интеллекта — ужасающая перспектива. Но они не представляют наибольшей угрозы для вашего бизнеса.

Самая большая угроза — это отвлечение они создают.

Уже более 15 лет я наблюдаю одну и ту же историю. Руководство напугано последней «суперугрозой ИИ», а служба безопасности всё ещё не может ответить на такие простые вопросы, как: «Где находятся наши самые конфиденциальные данные клиентов?» или «Кто отвечает за исправление критически важной системы?» Мы гонимся за новыми блестящими инструментами, в то время как инженеры втягиваются в последние минуты в учения по обеспечению соответствия требованиям, а критические уязвимости теряют приоритет.

Это классика «затейливый замок на сетчатой ​​двери» Проблема. Организации спешат внедрять средства защиты на основе ИИ, но злоумышленники используют ИИ с меньшим количеством правил и большей гибкостью, чтобы преодолеть фундаментальные пробелы в процессах, ответственности и культуре. Особенно для компаний среднего бизнеса игнорирование основ — это повод стать очередным предостережением.

Почему статическая защита неэффективна в динамичном мире

Когда я начинал свою карьеру, безопасность представляла собой строгий список: антивирус, патчи и надёжные брандмауэры. Этот мир давно ушёл в прошлое. Сегодня полиморфные вредоносные программы переписывают себя, чтобы обходить сигнатуры, а ботнеты запускают атаки быстрее, чем человек может отреагировать.

Зашифрованный трафик стал излюбленным местом укрытия злоумышленников. В отчёте ThreatLabz за 2024 год от Zscaler говорится, что почти 90% вредоносных программ теперь доставляются по зашифрованным каналамЭто означает, что девять из десяти угроз невидимы для устаревших инструментов, которые не могут проверять этот трафик.

Однако настоящим узким местом является не только технология; это организационные тренияЯ видел, как отличные команды по безопасности тратили недели, пытаясь добиться поддержки, чтобы закрыть известную брешь. Пока планировались встречи, автоматизированный злоумышленник мог то появляться, то исчезать. Статичность больше невозможна. Программы безопасности должны учитывать контекст и быть ориентированными на динамично развивающиеся аспекты бизнеса.

Индустриализация киберпреступности

Это не должно никого удивлять. Злоумышленники — это предприниматели, ведущие бизнес. Они просто внедряют новые технологии для повышения рентабельности инвестиций, как и мы. ИИ помогает им индустриализировать свою деятельность.

• Фишинг как услуга, усиленный: Фишинг по-прежнему остаётся самым распространённым способом проникновения. ФБР и IBM уже много лет подряд сообщают, что это самый популярный способ первоначального доступа. Теперь, благодаря инструментам искусственного интеллекта, таким как «FraudGPT», преступники могут создавать идеально адаптированные фишинговые кампании без ошибок в грамматике в невиданных ранее масштабах.
• Голос — это ложь: Голосовой фишинг («вишинг») стремительно растёт. CrowdStrike обнаружил увеличится на 442% Злоумышленники используют голоса, клонированные с помощью искусственного интеллекта, чтобы выдавать себя за руководителей и обманным путем заставлять сотрудников переводить деньги. Британская энергетическая компания потеряла более $243,000 таким образом, с помощью одного звонка.
• Расцвет автоматизированного противника: Охотники за угрозами CrowdStrike теперь видят комплексные автоматизированные кампании — от резюме, сгенерированных ИИ, с поддельными видеоинтервью до вторжений без вредоносных программ, которые полностью находятся в облаке.

Защитники сталкиваются с угрозами, которые адаптируются и сохраняются при минимальном человеческом контроле. Злоумышленники годами автоматизировали свои действия; ИИ просто вывел их рабочие процессы на новый уровень.

Чтобы не отставать, нам давно пора отказаться от устаревших подходов к обеспечению соответствия требованиям и кибербезопасности, основанных на контрольных списках. Поиск панацеи от новейших инструментов на рынке — тоже не выход. Тем не менее, это уникальная возможность вернуться к основам.

Перестаньте спрашивать: «Соответствуем ли мы требованиям?» Начните спрашивать: «Устойчивы ли мы?»

Несмотря на то, что ИИ меняет ландшафт, большинство нарушений по-прежнему происходит из-за пренебрежения фундаментальными принципами. Конечно, голос генерального директора был клонирован, но реальная проблема, вероятно, заключалась в нарушении процедуры финансового одобрения. ИИ был лишь последним звеном в цепочке упущенных базовых принципов.

ИИ не нужно искать эксплойт нулевого дня Когда он может найти пятилетний необновлённый сервер или разработчика с правами администратора на всё. Покупка ещё одного инструмента безопасности на базе ИИ не исправит сломанную культуру. ИИ должен усиливать эффективные процессы, а не подменять их.

Именно здесь руководство часто ошибается. Мне доводилось бывать в советах директоров, где вопрос стоял так: «Соответствуем ли мы требованиям?» Правильнее было бы спросить: «Делает ли наша программа безопасности наш бизнес сильнее?»

Соблюдение требований становится просто проверкой. Продуктовые команды мчатся вперёд, инженерам поручают обязанности по обеспечению безопасности без ресурсов, а руководители полагают, что чистый аудит означает безопасность бизнеса. Это не так. Решение не в дополнительных инструментах, а в более прочной системе поддержки сверху донизу. Безопасность должна быть напрямую связана с ростом бизнеса и целостностью продукта.

Прагматичный план действий для эпохи искусственного интеллекта

Компании из списка Fortune 500 могут вложить деньги в решение этой проблемы. Компаниям среднего бизнеса нужно быть умнее. Так что же вы на самом деле делаете? do?

1. Сначала отремонтируйте свой фундамент. Прежде чем покупать еще один инструмент, убедитесь, что у вас есть надежный список ваших данных, надежные средства контроля доступа и действительно работающий процесс исправления.
2. Включите ИИ в повестку дня. Проводите настольные учения, основанные на атаках с использованием ИИ. Регулярно отчитывайтесь перед советом директоров, чтобы это воспринималось как бизнес-риск, а не как ИТ-проблема.
3. Сосредоточьтесь на поведении, а не только на статических сигналах. Отдавайте предпочтение инструментам, которые отслеживают странную активность (например, когда учетная запись пользователя внезапно обращается к базе данных, к которой она никогда не обращалась), а не инструментам, которые просто ищут известные вредоносные программы.

ИИ — не враг, а самоуспокоенность

ИИ — это не палка о двух концах, а увеличительное стекло. Он делает хорошие процессы более эффективными, а плохие — катастрофическими.

У злоумышленников всегда будут новые инструменты. Настоящий вопрос заключается в том, основана ли ваша стратегия безопасности на прочном фундаменте устойчивости или просто гонится за очередной блестящей идеей. Эпоха безопасности, основанной на принципах «установил и забыл», прошла. Организации, которые выстраивают культуру безопасности и закладывают фундаментальные основы, победят даже в эпоху автономных угроз.