Торстен Дельбрук, Груп CSO в Giesecke+Devrient – Інтерв’ю Серія

Торстен Дельбрук, Груп CSO в Giesecke+Devrient, – ветеран кібербезпеки з більш ніж двома десятиліттями досвіду захисту інфраструктури підприємств, цифрових ідентифікаторів та критичних систем. З моменту приєднання до Giesecke+Devrient (G+D) у 2011 році як корпоративного головного інформаційного офіцера з безпеки, він очолював глобальну стратегію безпеки компанії в високорегульованих секторах, включаючи фінанси, телекомунікації та інфраструктуру уряду. У 2020 році він розширив свою роль до віце-президента групи, голови служби безпеки та CISO. Дельбрук також є головою Інформаційного безпекового форуму (ISF), провідної глобальної влади з кібербезпеки та управління ризиками, і займав керівні посади з безпеки в Infineon Technologies (IFX.SW ), COMLINE та TÜV Secure iT.

Giesecke+Devrient (G+D) – це мюнхенська глобальна компанія SecurityTech, яка еволюціонувала з історичної друкарні банкнот, заснованої у 1852 році, у великого постачальника рішень з цифрової безпеки, фінансових технологій та інфраструктури валют. Компанія працює в трьох основних сегментах: Цифрова безпека, Фінансові платформи та Валютна технологія, надаючи технології, які забезпечують мобільну підключення, цифрові ідентифікатори, банківські системи, платіжні платформи та як фізичні, так і цифрові валюти. G+D працює з урядами, центральними банками, фінансовими інститутами та підприємствами у всьому світі, надаючи рішення для еСІМ, систем автентифікації, цифрових платежів, кібербезпеки та цифрових валют центральних банків (ЦБЦ). Компанія позиціонує себе як довіреного постачальника інфраструктури для цифрової економіки, з більш ніж 14 000 співробітників у світі та десятилітнім досвідом захисту критичних систем та фінансових екосистем.

Ви провели майже три десятиліття на керівних посадах з кібербезпеки, охоплюючи TÜV Secure iT, Infineon та现在 понад 15 років у Giesecke+Devrient. Як змінився ландшафт загроз від традиційних ризиків безпеки підприємств до сучасних кібер-викликів, пов’язаних з ІІ, і що вас найбільше турбує щодо поточного напрямку галузі?

Я вважаю, що основна зміна протягом моєї кар’єри полягає в швидкості та впливі. Коли я почав керувати безпекою в кінці 1990-х років, серйозна проблема безпеки означала неправильно сконфігуровану брандмауер або незапатчений сервер, радіус дії був зазвичай досить обмежений. За останні три десятиліття я бачив, як наслідки однієї порушення зростають від оперативної незручності до системного ризику.

І все відбувається швидше. Ми працюємо з більшими системами та вищими пропускними здатностями. Сьогодні менше половини всього інтернет-трафіку генерується людьми – і, за деякими оцінками, близько 40% всього трафіку складається з шкідливої діяльності, chẳng hạn як шкідливі скани, шкідливі програми та DDoS.

Водночас ландшафт став сильно консолідованим та зосередженим. Оригінальна філософія дизайну інтернету щодо надлишковості та децентралізації була втрачена. В результаті атаки, спрямовані лише на кілька центральних точок відмови, мають набагато більш руйнівні наслідки, ніж раніше. Це залишає майже жодного місця для помилок у налаштуванні та експлуатації сучасних ІТ-систем. І тепер ІІ стискає хронологію атак ще далі.

Нещодавні коментарі Даріо Амодеї знову розгорнули страхи навколо просунутих систем ІІ, які виявляють уразливості програмного забезпечення у масштабі. Ви вважаєте, що підприємства недооцінюють, як швидко розвиток ІІ може перевершити існуючі процеси безпеки?

Так, я вважаю, що багато підприємств недооцінюють швидкість цієї зміни. Спочатку здавалося, що ІІ принесе користь обидвом сторонам, атакувальникам та захисникам, приблизно однаково. Але турбуюча реальність виникає: ІІ не винайшов зовсім нових категорій кіберзлочинів; натомість він демократизував складні можливості атак, дозволяючи загрозливим акторам автоматизувати розвідку, усунути мовні бар’єри у фішингу та виявити уразливості програмного забезпечення у швидкості та масштабі, з яким людські захисники борються за впитування.

Проблема полягає в тому, що хоча ІІ спровокував величезний сплеск ідентифікації уразливостей, він ще не розгортається у такому ж обсязі у процесі виправлення. Це створює небезпечний дисбаланс. Виявлення уразливостей з допомогою ІІ просто створює більше роботи, ніж захисники можуть впоратися. Це може покращитися через кілька років, коли ІІ для виправлення наздожене, але зараз це зростаюча проблема.

Крім того, це не без іронії, що ті самі компанії, які представляють свої останні моделі як порятунок від кіберзагроз, одночасно палив частину проблеми. Інструменти кодування з підтримкою ІІ прискорюють виробництво програмного забезпечення, але вони часто створюють погане, уразливе кодування – розширюючи саме атаковану поверхню, яку їхні продукти безпеки обіцяють зменшити. З економічної точки зору це блискуче. З точки зору безпеки – ні.

У G+D ми оцінюємо випадки використання ІІ структурованим шляхом через Раду ІІ та не масштабуємо їх неконтрольованим чином. Проблема не в ІІ самому – це відсутність управління при його розгортанні. Це відповідає принципу, який G+D також застосовує внутрішньо: ІІ вимагає не тільки інновацій, але й інституціоналізованих процесів оцінки та затвердження.

Багато організацій розглядають ІІ в першу чергу як оборонний інструмент кібербезпеки. На вашу думку, де ІІ зараз створює більше ризику, ніж захисту всередині підприємств?

Більшість команд з кібербезпеки вже розгортають ІІ у різній мірі для виявлення, класифікації, оцінки та тріажу подій безпеки – і це працює досить добре.

Відразу ж поряд з цими перевагами виникають зовсім нові ризики. Уразливості, властиві самій архітектурі ІІ, вже широко обговорюються та переважно зрозумілі. Ми вже не просто захищаємо статичний код; ми захищаємо ненадійні системи. Це вводить зовсім нові вектори загроз, такі як ін’єкція запиту (де шкідливі дані обманюють велику мовну модель, щоб вона проігнорувала свої охоронні заходи), отруєння даних для корупції логіки моделі під час навчання та витік даних, коли власні дані підприємства випадково розкриваються через вивід моделі. Це фундаментально змінює визначення експлойту.

Але наші традиційні, добре відпрацьовані захисти також повинні адаптуватися. Для багатьох організацій аналіз поведінки користувачів та сутностей (UEBA) ще відносно нова концепція. Насправді багато компаній ще не повністю прийняли цей підхід через суворі правила захисту даних, суворі трудові закони та права співробітників. Тепер базова лінія змінилася, і неясно, наскільки ефективним буде UEBA у майбутньому, де ІІ може бездоганно вивчити та імітувати поведінку людини.

Вперед, чи зможе UEBA навіть розрізняти поведінку людини від автоматизованих атак, або розрізняти безпечного ІІ-агента від шкідливого? Є вже продукти, які обіцяють саме це, але зазвичай це займає деякий час, щоб перейти від маркетингових обіцянок до реальної, робочої, реальної продуктивності. Нам знадобляться нові концепції з сучасними архітектурами безпеки, щоб вирішити це.

Як голова Інформаційного безпекового форуму, ви спілкуєтеся з лідерами безпеки по всім великим глобальним підприємствам. Чи стурбовані CISO щодо якості коду, згенерованого ІІ, або більша проблема операційна負антажка захисту експоненціально більших кодових баз?

Обидві проблеми реальні, але вони приземляються по-різному. Якість коду, згенерованого ІІ, є справжньою проблемою. Код, який створює ІІ, часто виглядає чистим, але може нести тонкі логічні помилки, небезпечні значення за замовчуванням або неправильно використані бібліотеки, які важче виявити саме через те, що вони виглядають правдоподібно. CISO правильно турбуються про це.

Але в моїх розмовах з експертами з безпеки по всім організаціям-членам ISF більший сигнал тривоги – операційний: це просто величезний обсяг коду, який може нести уразливості та потребує перевірки.

Що я чую послідовно від колег по різних галузях, це проблема залежності стала визначальною負антажем. Тісна залежність від зовнішніх компонентів та бібліотек третіх сторін означає, що кожна залежність повинна бути ретельно відстежена, керована та постійно виправлена. У коді, а також у ланцюжку інструментів, потенційно по-різному в різних середовищах хмар. Це вже була значна проблема. Розробка з підтримкою ІІ зараз посилює її. Не тому, що природа проблеми змінилася, а тому, що масштаб вибухнув. Більше коду, створеного швидше, з більшою кількістю залежностей, по-різному в різних репозиторіях.

Так що якщо я мав би пріоритезувати: якість коду – це розв’язна інженерна проблема – краще інструменти, суворіші огляди, тісніші охоронні заходи у процесі розробки. Оперативна負антажка захисту експоненціально зростаючої кодової бази та її розгалужених ланцюжків залежностей – це більша, більш тривала проблема. Це туди, де лежить справжній тиск, і це те, про що повторюється у дискусіях старших CISO.

Giesecke+Devrient працює в високочутливих секторах, включаючи цифрову ідентичність, платежі, банківську інфраструктуру, технологію еСІМ та цифрові валюти центральних банків. Як захист критичної інфраструктури відрізняється в епоху ІІ порівняно з захистом традиційних підприємств?

У G+D ми стикаємося з тими ж основними обов’язками, що й будь-яка організація, яка серйозно ставиться до безпеки. Однак наші стандарти винятково високі, а маржа помилок дуже мала. Ми гостро усвідомлюємо, що інцидент безпеки всередині нашої інфраструктури має набагато ширші наслідки, ніж порушення безпеки в типовому підприємстві – саме тому наш апетит до ризику кібербезпеки винятково низький.

Де ІІ додає особливий шар складності для нас, це операційна архітектура сама по собі. Багато наших високобезпечних компонентів, особливо тих, що пов’язані з платіжними системами, цифровими ідентифікаторами або продуктами для центральних банків, є високоцінними активами та підлягають суворим вимогам сертифікації та безпеки. Ці компоненти повинні бути розроблені, протестовані та експлуатуватися в окремих середовищах, від чистої логічної роздільності до повністю повітряно-ізольованих мереж з жодним зовнішнім підключенням.

Це вже було вимогливим до ІІ, але тепер організації по всьому світу інтегрують інструменти з підтримкою ІІ у свої робочі процеси розробки та експлуатації. Інструменти, які зазвичай залежать від підключення до хмар, великомасштабного доступу до даних та постійних оновлень моделей. Суміщення цього з середовищами, де навіть кабель мережі, підключений до неправильного порту, був би серйозним порушенням політики, є дуже реальним інженерним та управлінським викликом.

Це змушує нас бути дуже намереними щодо нашої інтеграції ІІ. Ми не просто вибираємо правильну модель ІІ, ми приймаємо стратегічні рішення на рівні інфраструктури щодо того, чи потрібно розгортати ці інструменти локально чи можна використовувати їх через хмару.

Чи очікуєте ви, що підприємства в кінцевому підсумку будуть вимагати окремої валідації та сертифікації коду, згенерованого ІІ, перед його розгортанням?

Я не думаю, що вирішальною ознакою повинно бути те, чи був код написаний людиною чи ІІ. Вирішальною ознакою є ризик. Але код, згенерований ІІ, безумовно, потребуватиме походження, слідовості та суворішого огляду в регульованих або високобезпечних середовищах.

Моделювання загроз, політики безпечного кодування та включення інструментів SAST до ланцюжка розробки вже є стандартною практикою сьогодні, а інструменти природно стають покращеними з підтримкою ІІ. Крім того, команди розробки повинні ретельно відстежувати, які функції є критичними для безпеки або належать до регульованих, високочутливих компонентів. Крім того, залежності повинні бути ретельно зрозумілі та постійно тестируватися.

Економіка буде невід’ємно грати все більш критичну роль. Наразі ціни токенів від великих постачальників ІІ не покривають витрати. Великі постачальники ІІ поглинають приголомшливі інфраструктурні та дефіцити інференції, щоб забезпечити частку ринку. Субсидований модель, який є економічно незастосовним у довгостроковій перспективі. Коли комерційні витрати на розгортання ІІ у корпоративних робочих процесах будуть скориговані вгору, щоб відобразити ці справжні інфраструктурні витрати, у нас виникне проблема. На той момент галузь буде змушена перейти до малих, локалізованих та спеціально створених моделей. Навчання цих менших моделей для цілевих випадків використання стане життєво важливою стратегією для пом’якшення серйозного зростання витрат.

І для категорій з найбільшими вимогами безпеки людський нагляд залишається обов’язковим, і саме там лежить виклик: використання кінцевих можливостей людських ресурсів якомога ефективніше.

Системи ІІ зараз можуть ідентифікувати уразливості набагато швидше, ніж людські аналітики, але виправлення все ще залежить сильно від людських робочих процесів. Чи підходять підприємства до точки, коли саме виправлення повинно стати автономним?

Так, автономне виправлення вже не є розкошею – це оперативна необхідність. Сама кількість уразливостей сьогодні просто перевищує людську здатність до тріажу.

Той сказав, що фактичне розгортання повинно слідувати поступовому, прагматичному підходу. Для стандартних, некритичних середовищ повна автоматизація повинна бути цілком досяжною, якщо правильні охоронні заходи будуть на місці. Повністю автономне виправлення в критичних, високовпливових системах, хоча воно, безумовно, необхідне, наймовірніше, залишиться досить складним для реалізації в найближчому майбутньому.

Це туди, де фундаментальні речі справді важливі. Відмінність між цими двома категоріями звучить просто, але на практиці вимагає величезної кількості точних, детальних та тривалих робіт з утримання складної середовища з такими різними підходами у чистому та автоматизованому вигляді. Ця робота легко недооцінювати.

Справжня проблема, як завжди, не механічна виконавча частина процесу самого по собі – це ширша система. Інтелектуальне прийняття рішень можливе лише тоді, коли вся система підтримує це. Виправлення повинно стати значно розумнішим та швидшим, а не просто більш автоматизованим.

І, як завжди: у високочутливих контекстах контрольована стабільність та висока швидкість повинні йти рука об руку. Це складна частина – і частина, якої більшість організацій ще не готова.

Уряди по всьому світу спішать впроваджувати системи цифрової ідентичності, ЦБЦ та зв’язану інфраструктуру. Наскільки ви стурбовані тим, що ІІ-кіберзагрози можуть обігнати підготовку з регулювання та національної безпеки?

Регуляторні рамки, такі як NIS2 та Закон про кіберстійкість, штовхають речі в правильному напрямку, але регулювання в кінцевому підсумку лише одна частина пазла. Регулювання має значення для загальної системи, але ми не можемо припускати, що видача правила відразу ж вирішує проблему. Компанії все ще повинні реалізувати рекомендації, тримати свої системи постійно безпечними та підтримувати тверду розуміння свого ландшафту загроз та цілей захисту, постійно уточнювати їх та тримати їх у зрівнянні.

Я обережно оптимістичний, якщо організації не будуть розглядати дотримання регулювання як заміну справжньої безпеки. І сучасне управління безпекою не чекає на регулювання. Якщо щось, то найкраща реальна практика повинна текти у регулювання, а не навпаки.

У високобезпечних областях, таких як цифрова ідентичність та платіжна інфраструктура, оперативна готовність не є даністю. G+D не тільки постачальник, а й партнер діалогу для центральних банків та урядів по всьому світу. G+D також активно займається захистом критичної цифрової інфраструктури – наприклад, через Secunet як ІТ-безпекового партнера Федеративної Республіки Німеччини.

Деякі експерти називають просунуті моделі ІІ “кіберзброєю”, тоді як інші стверджують, що таке формулювання перебільшене. З вашої точки зору, що люди неправильно розуміють щодо реальних ризиків, пов’язаних з системами ІІ?

Що люди неправильно розуміють, це припущення, що кіберконфлікти слідують логіці фізичної війни. Що досить потужна зброя обов’язково прорве будь-який захист. Багато з “кіберзбройового” формулювання позичає з того ж кінетичного мислення: більша гармата перемагає товстіший мур, розумніша ракета перемагає швидший літак. Але кіберне працює інакше.

Успішна кібератака майже ніколи не вдається через грубу переважаючу силу. Вона вдається через використання пробілу: неправильної конфігурації, незапатченої уразливості, людської помилки, слабкої ланки в ланцюжку постачання. ІІ не змінює цю фундаментальну динаміку. Воно робить пошук цих пробілів швидшим та дешевшим, і воно знижує поріг навичок для використання їх. Це серйозна проблема, але це зовсім інша проблема, ніж “нестопований зброя” нарратив.

Справжній ризик не полягає в тому, що ІІ створює якусь надпотужну наступальну можливість, яку жоден захист не може витримати. Справжній ризик полягає в тому, що ІІ прискорює та масштабує використання звичайних слабкостей – тих самих, з якими ми боремося десятиліттями – у темпі, який перевищує нашу здатність їх закрити.

Формулювання ІІ як кіберзброї відволікає від цього. Воно заохочує менталітет гонки озброєння, коли насправді потрібна краща оперативна гігієна, швидше виправлення та більш стійкі архітектури. Загроза не в новому суперзброї. Це старі пробіли, використані в новому темпі. Так що так, формулювання ІІ як кіберзброї є значним перебільшенням.

Оглядаючи вперед, чи вважаєте ви, що найбільша кібербезпека від ІІ прийде від складних державних атак, автономного використання у масштабі, внутрішнього зловживання, уразливостей ланцюжка постачання чи чогось іншого, на що галузь ще недостатньо звертає увагу?

Прогнозування майбутнього безпеки завжди особливо складне. Державні атаки, автономне використання, внутрішнє зловживання, компрометування ланцюжка постачання – всі ці загрози реальні та зростаючі, і я не відкидав би жодну з них. Але я би сказав, що всі ці загрози є наслідками, а не кореневими причинами. Вони вдаються, коли захисники вже не можуть впоратися, незалежно від причини: уразливість може ще не бути публічно відомою, патч ще не доступний або робоче навантаження занадто високе.

І саме там я бачу найбільший ризик, дивлячись вперед на два-три роки: команди з безпеки будуть перевантажені просто через величезне робоче навантаження.

Всі поточні та майбутні теми – регулювання, суверенітет, складні хмарні інфраструктури та все, що з цим пов’язано – приземляються на команди, які вже розтягнуті тонко через тріаж атак, відповідь на інциденти, аналіз фішингу, управління уразливостями та патчами, документацію, аудити та звітність. Робоче навантаження, додане всім цим, разом з ІІ, може стати соломинкою, яка переломить спину верблюда. Окрім того, все це вражає організації під справжнім тиском витрат по всьому борту. Якщо це не буде керовано дуже добре, це в кінцевому підсумку стане занадто великим.