Перевизначення авторитету у C‑suite: що насправді вимагає розвиток відносин з ШІ

Я провів 25 років у ролі покупця в операціях безпеки і жодного разу не переживав через правило міжмережевого екрану. Однак я втратив сон через ШІ. Традиційна автоматизація, якою б складною вона не була, слідує логіці, яку можна простежити. Однак у цьому безпрецедентному масштабі агентного ШІ системи довіряють приймати рішення, які інженери не завжди можуть повністю пояснити — саме ця втрата прозорості є причиною, чому багато CISO застрягли.

97% з лідерів безпеки впевнені, що ШІ може впоратися з триажем, проте лише 35 % фактично використовують його в цій сфері. Цей переломний момент – проблема довіри, і довіра може бути вирішена лише так, як завжди: через структуру, докази та час.

You Can See the Automation, but Can You Trust the AI?

З традиційною автоматизацією практики можуть з упевненістю знати, що станеться, ще до того, як це станеться. Ця прозорість — причина, чому команди SOC протягом десятиліття будували довіру до автоматизованих робочих процесів без великої внутрішньої дискусії, проте агентний ШІ порушив цю модель, впровадивши навчений шар судження — систему, яка зважує контекст, робить прогностичні рішення та приходить до висновків через процес, який не завжди повністю зрозумілий навіть для людей, які його створили. 

Лише 21% організацій стверджують, що мають зрілу модель управління агентним ШІ, хоча 74 % очікують використовувати AI‑агенти принаймні «помірно» до 2027 року. Коли фахівці з безпеки не можуть прозоро пояснити цей тип «black box AI», це свідчить про складність управління інструментами ШІ. Справа не в тому, що інструменти не захищені належним чином, а в тому, що їх внутрішня робота базується на судженні, а не на блок‑схемі.

У залах правління керівники оцінюють ШІ так само, як оцінювали б автоматизацію, запитуючи «чи можу я бачити логіку», а не «як я можу здобути довіру до приймача рішень, чия логіка еволюціонує?». Більшість CISO, ймовірно, вже знають відповідь, проте виклик полягає у її практичному застосуванні.

Treating AI like a high-stakes hire

Подумайте про адаптацію нового старшого аналітика. CISO не передаватиме новому аналітику ключі до продуктивного середовища в перший день, незалежно від того, наскільки сильне його резюме. Спочатку його залучать до низькоризикових завдань, спостерігатимуть, як він справляється з неоднозначністю, і розширюватимуть його повноваження у міру здобуття довіри. ШІ заслуговує на таку ж адаптацію, засновану на доказовій довірі, що зростає з часом.

Ми вже бачили, як це проявляється на практиці, коли autonomous Meta AI agent triggered масштабний інцидент безпеки в компанії після дії без людського схвалення, розкривши конфіденційні дані компанії та користувачів неавторизованим співробітникам приблизно на дві години, доки інцидент не був локалізований. Основна причина — відсутність контролю людини в процесі прийняття рішення, коли мала бути отримана явна згода. Це саме той режим відмови, який мають запобігати жорсткі обмеження, і це нагадування, що дисципліна області важливіша за складність моделі.

ШІ заслуговує на таку ж увагу, і ми можемо розглядати це як доказово‑обґрунтоване нарощування:

• Зрозумійте логіку прийняття рішення перед розгортанням. Вам не потрібно бачити кожну вагу в моделі, але треба знати, на яких даних вона базується, які результати оптимізує і де, ймовірно, будуть її сліпі зони.
• Встановіть жорсткі обмеження з першого дня. Чітко визначте, що система може виконувати самостійно, а що вимагає втручання людини. Вузька сфера застосування — це фундамент, на якому будується довіра.
• Розширюйте межі лише по мірі накопичення доказів. Кожне правильне рішення — це дані, і кожна помилка також є даними. Розширюйте діапазон пропорційно до історії успішних рішень, а не до ентузіазму постачальника чи бюджетних циклів.

Дотримання цих протоколів допоможе захистити від страхів CISO, включаючи запобігання автономній системі працювати поза межами, коли хтось дійсно перевірив її довіру.

The Three-Layer Model: Where AI Earns Its Place

SANS’ Secure AI Blueprint описує структуру управління, побудовану навколо трьох напрямків: захист ШІ, використання ШІ, управління ШІ, охоплюючи шість категорій контролю, включаючи доступ, дані, розгортання, інференцію, моніторинг та безпеку моделей. Це корисна відправна точка, а щоб зайти на крок далі, корисно структурувати ці відносини, розбивши SOC на три шари для вирішення проблеми довіри до ШІ.

1. Результат. Це шар, у якому живе бізнес‑ризик. Яким результатом організація вважає прийнятним? Яка толерантність до хибних негативів порівняно з хибними позитивами? Це людське рішення, без компромісу. Жодна модель не має голосу щодо того, на який ризик готова організація.
2. Судження. Тут встановлюються пріоритети та робляться компроміси в умовах неоднозначності. Чи слід підвищити це сповіщення зараз чи відкласти до отримання додаткового контексту? Чи варто ця аномалія переривати чиїсь ночі? Судження може бути інформоване ШІ, і все більше має бути, проте остаточна влада залишається за людиною. Це шар, який більшість організацій схильна передати занадто рано, і саме він їх спалить, якщо це станеться.
3. Виконання. Це шар, у якому ШІ має виконувати важку роботу, і робити це зі швидкістю, яку жодна людська команда не може зрівняти. Збагачення сповіщення, кореляція сигналів між десятком інструментів, підготовка дії з ізоляції, запуск сценарію після того, як людина або довірений шар судження схвалив шлях. Швидкість машини, детермінована після запуску, без зайвого самовідчуття.

Maturing the Partnership, Not Just Managing the Tool

Коли відносини ШІ в SOC будуються як партнерство, а не як контроль над інструментом, CISO можуть почати розглядати ШІ як розвиваючогося колегу, що призводить до фундаментальної зміни у тому, як CISO розподіляє свій час.

SOC, які вміють збалансувати ці відносини, мають найдисциплінованіший процес побудови довіри. Ця дисципліна дозволяє операції безпеки масштабуватись зі швидкістю машини на шарі виконання, не втрачаючи людського судження, яке все ще вимагає рішення на рівні результату, і завжди вимагатиме.

Ми вже перейшли етап, коли ШІ сприймали як блискучий новий інструмент для враження рад директорів. Можливості та потенціал ШІ заробили право бути розглянутим так, як у SOC завжди розглядали передові технології — крок за кроком, на основі перевірених рішень.