Klyftan i styrelserummet: Varför CISO:er har svårt att prata om deepfakes — och hur man kan ramla in det

Cybersäkerheten är på väg in i ett avgörande ögonblick, driven av den omfattande användningen av AI av företag, regeringar och individer. Med 82% av företagen i USA antingen använder eller undersöker användningen av AI i sin verksamhet, låser organisationer upp nya effektiviteter, men också angripare. De samma verktyg som driver innovation möjliggör också för hotaktörer att generera syntetiskt innehåll med alarmerande lätthet och realism. Denna nya verklighet har introducerat betydande utmaningar, inklusive möjligheten att skapa syntetiskt innehåll (bilder, ljud och video) och skadliga deepfakes (manipulerat ljud, video eller bild som används för att imitera en riktig person) med utanförskap och sofistikering. På bara några klick kan vem som helst med tillgång till en dator och internet manipulera bilder, ljud och videor, och introducera misstro och tvivel i informations-etosen. 

I en tid då företag, regeringar och medieorganisationer förlitar sig på digital kommunikation för sin försörjning, finns det inget utrymme för felbedömning av de risker som deepfakes, syntetisk identitetsbedrägeri och imitationer utgör. Dessa hot är inte längre hypotetiska – finansiella förluster från deepfake-aktiverad företagsbedrägeri översteg 200 miljoner dollar under Q1 2025, vilket understryker omfattningen och brådskan i frågan. En ny hotbild kräver en ny strategi för cybersäkerhet, och CISO:er måste agera snabbt för att säkerställa att deras företag förblir säkra. Men att begära nytt kapital och tydligt kommunicera en organisations hotexponering till en styrelse med varierande kunskapsnivåer om allvaret i deepfake-hotet kan vara överväldigande. Medan deepfake-attacker fortsätter att utvecklas och ta form, måste varje CISO vara i framkanten av att föra denna konversation till styrelserummet. 

Nedan följer en ram för CISO:er och chefer för att underlätta intressent-samtal på styrelse-, organisations- och samhällsnivå. 

Använd bekanta ramar: Deepfakes som avancerad social ingenjörskonst

Styrelser har konditionerats att tänka på cybersäkerhet i bekanta termer: phishing-e-post, ransomware-attacker och den ständiga frågan om deras företag kommer att bli inträngt. Den mentaliteten formar hur de prioriterar hot och var de allokerar säkerhetsbudgetar. Men när det gäller AI-genererat innehåll, särskilt deepfakes, finns det ingen inbyggd referenspunkt. Att ramla in deepfakes som ett fristående, nytt hot leder ofta till förvirring, skepticism eller passivitet.

För att bekämpa detta bör CISO:er ankra samtalet i något styrelser redan förstår: social ingenjörskonst. I sin kärna är deepfake-hotet inte helt nytt; det är en utvecklad, farligare form av phishing som har funnits inom branschen i år och fortsätter att vara den främsta attackvektor för social ingenjörskonst. Styrelser känner redan till phishing som ett trovärdigt risk, och de är bekväma med att godkänna resurser för att försvara mot det. I många avseenden representerar deepfakes en mer övertygande, mer skalbar och mer kapabel form av social ingenjörskonst, som riktar sig mot både organisationer och individer med förödande precision. 

Att ramla in deepfakes på detta sätt tillåter CISO:er att utnyttja befintlig utbildning, budgetlinjer och institutionell muskelminne. Istället för att begära nya resurser kan de omformulera begäran som en utveckling av redan godkända säkerhetsinvesteringar. Ju mer CISO:er kan luta sig mot denna berättelse, desto mer sannolikt är de att få de resurser som behövs för att hantera detta större, omedelbara problem. 

Förankra risken i realism, inte sensationism

Att peka på verkliga exempel är ett bra sätt att ytterligare förstå styrelsens förståelse för de effekter som deepfake-hot kan ha på organisationer. Men det är viktigt att överväga vilka exempel CISO:er lägger fram för styrelser, eftersom de kan ha den motsatta effekten. Kända historier som den 25 miljoner dollar stora bedrägeriet i Hong Kong är bra rubriker, men de kan backfire i styrelserummet. Dessa extrema exempel känns ofta avlägsna eller orealistiska, skapar en känsla av att “något så katastrofalt kan aldrig hända oss”. Partiskheten sparkar in omedelbart och tar bort känslan av brådska att investera i skydd. 

Istället bör CISO:er använda mer relaterbara scenarier för att visa hur denna risk kan spela ut internt, såsom verkställande imitation eller intervju-bedrägeri.

I ett fall skapade nordkoreanska hotaktörer en falsk Zoom-samtal med AI-genererade verkställande direktörer för att lura en kryptomedarbetare att ladda ner skadlig kod för att få tillgång till känslig företagsinformation med avsikt att stjäla kryptovaluta. Till slut kunde hackarna inte få tillgång, men hotet som dessa attacker utgör för ett varumärkes integritet bör vara en väckarklocka för styrelser inom företaget. 

En annan växande taktik innebär falska jobbsökande som använder AI-genererade identiteter och deepfake-legitimation för att infiltrera företagsorganisationer. Dessa personer agerar ofta på uppdrag av USA:s motståndare som Ryssland, Nordkorea eller Kina, och söker tillgång till känsliga system och data. Denna trend tömmer interna resurser och utsätter organisationer för nationella säkerhetsrisker och finansiell exploatering. 

Ofta flyger dessa hot under radarn. För varje exempel i nyheterna, finns det dussintals som inte rapporteras, vilket gör det svårt att förstå omfattningen av detta hot. Ju mer vardagligt attacken är, desto mer obehaglig och relaterbar blir den. Genom att dela exempel som dessa – realistiska, relaterbara och närmare hemma – kan CISO:er förankra deepfake-samtalet i vardagliga affärsoperationer och förstärka varför detta utvecklande hot kräver allvarlig uppmärksamhet på styrelsenivå.

Koppla deepfake-försvar till befintliga motståndskraftsmått

CISO:er ställs kontinuerligt samma frågor av sina styrelser: Vad är vår sannolikhet att bli inträngda? Var är vi mest sårbara? Hur kan vi minska risken? Medan phishing, ransomware och dataintrång fortsätter att existera, är det viktigt att visa på den grundläggande förändringen som har skett inom dessa sårbarheter och hur de nu sträcker sig långt bortom traditionella attackytor. 

HR-, finans- och inköpslag – roller som inte traditionellt ses som frontlinjeförsvarare – är nu ofta mål för syntetisk imitation, och den genomsnittliga människans förmåga att upptäcka dessa hot är extremt låg. Faktum är att endast 1 av 1 000 personer kan korrekt upptäcka AI-genererat innehåll. CISO:er måste nu hantera kraven på avancerad social ingenjörskonstutbildning och ökad cybersäkerhet inom hela organisationen, eftersom alla inom organisationen måste utbildas, testas och göras medvetna för att bidra till minskning. 

Deepfake-försvar behöver bli en utvidgning av företagsomfattande motståndskraft och kräver kontinuerlig utbildning på samma sätt som lag utbildas via phishing-simulationer, medvetenhetsträning och röd lag-övningar. CISO:er bör använda mått från utbildningar och simulationer för att hjälpa till att ramla in problemet i mått som deras styrelse förstår. Om en styrelse redan har köpt in i motståndskraft som en strategisk prioritet för organisationen, blir deepfakes en naturlig nästa frontier.

AI-genererade hot är inte på väg. De är redan här. Det är dags att säkerställa att styrelserummet är redo att lyssna och leda. Tack vare antagandet av AI har omfattningen och frekvensen av deepfake- och identitetsbaserade attacker förvandlat hotbilden till en som är oförutsägbar och ständigt föränderlig. 

Men styrelser behöver inte en introduktion till deepfakes eller röstkloning. De behöver ett tydligt affärs-sammanhang och en djupare förståelse för de hot som de utgör för sina organisationer. CISO:er bör förankra samtalet i risk, kostnad och operativ kontinuitet. De som kopplar sin deepfake-berättelse till bekanta paradigm – phishing, social ingenjörskonst, motståndskraft – ger sin styrelse en ram och sammanhang i vilket de kan agera, inte bara reagera.