Кибербезопасность ускоряется, и это ускорение меняет природу рисков. Долгое время атакующие и защитники действовали в схожих условиях.
Расследования занимали время.
Решения принимались людьми.
Средства контроля опирались на координацию и ручное выполнение.
Но этот общий темп больше не существует.
Теперь злоумышленники действуют на скорости машин. Они создают эксплойты в рекордные сроки, с меньшими затратами и используют вредоносное ПО, способное к непрерывной адаптации. Возникает вопрос: если угрозы движутся со скоростью машин, что происходит с программой безопасности, которая все еще рассчитана на человеческий темп?
Этот вопрос сейчас находится в центре киберстратегии. ИИ уже меняет облик кибербезопасности. Реальная проблема заключается в том, смогут ли программы защиты поглотить эту скорость без потери управляемости, прослеживаемости и/или четких полномочий человека. Или же они выйдут из-под контроля, просто пытаясь угнаться за нарастающим темпом.
Начинайте с киберстратегии, а не с инструментов ИИ
Отправной точкой должен быть не инструмент ИИ. Это должна быть ваша киберстратегия, потому что простое добавление функций ИИ в стек кибербезопасности недостаточно. Настоящая проверка заключается в том, меняет ли ИИ то, как контекст, решения и управляемые действия проходят через программу.
Руководителям необходимо определить, где программа уже испытывает нагрузку: элементы контроля слишком медленные, слишком ручные, слишком непоследовательные или слишком зависят от дефицитных экспертов. Им также следует оценить, где риски ускоряются быстрее, чем управление успевает на них реагировать (среди угроз, учетных записей, облаков, сторонних поставщиков, данных и регуляторных требований).
Именно эти уязвимые места, а не наличие функций ИИ, должны определять, где ИИ необходим. ИИ создает ценность, когда он повышает эффективность контроля, а не когда он просто добавляет еще один слой в стек безопасности.
Вот несколько вопросов, которые необходимо задать руководителям:
- Какая часть программы слишком медленна для существующих рисков?
- Где команды повторяют один и тот же анализ?
- Где данные существуют, но не передаются?
- Где более быстрая локализация сократит уровень воздействия?
- Где ИИ может безопасно поддержать действия, а где человек должен оставаться главным?
ИИ за пределами SOC
Для многих организаций SOC стал первым местом, куда ИИ проник в программе безопасности. Это имело смысл. У операций по безопасности были очевидные проблемы: объем оповещений, ручное обогащение данных, повторяющиеся расследования и медленное реагирование. Однако сегодня ситуация выглядит иначе. Большинство организаций уже имеют определенный опыт применения ИИ в SOC. Они протестировали copilots, сводки предупреждений, поддержку расследований, помощь в проектировании средств обнаружения, обогащение инцидентов или рекомендации по реагированию.
Следующий этап трансформации SOC уже идет полным ходом благодаря внедрению агентного ИИ. Успех будет зависеть от того, насколько эффективно организации оптимизируют среднее время обнаружения, реагирования и локализации (MTTD, MTTR и MTTC), чтобы соответствовать темпу атакующих, использующих ИИ.
Но возможности не должны ограничиваться только SOC. ИИ особенно ценен в высокоинтенсивных средствах контроля, требующих принятия решений в условиях фрагментированного контекста и критичности скорости:
- Управление доступом (Identity governance): переход от квартальных проверок доступа к непрерывной сертификации, выделению ресурсов на основе рисков в реальном времени и поведенческому анализу пользователей, машин, служебных учетных записей и привилегированного доступа
- Управление уязвимостями и рисками: переход от длинных очередей по степени критичности к приоритизации на основе рисков, которая учитывает возможность эксплуатации, критичность активов, влияние на бизнес и ответственность за устранение
- Облачная безопасность: сопоставление неправильных конфигураций, разрешений, учетных записей и рабочих нагрузок для выработки рекомендаций по устранению, которые могут выполнить технические команды и специалисты по рискам
- GRC и аудит: снижение ручной нагрузки по сопоставлению с нормативными требованиями, сбору доказательств и описанию средств контроля при одновременном повышении согласованности и прослеживаемости
Это именно те средства контроля, где ИИ может произвести заметные изменения, что приведет к меньшему времени ожидания, лучшему контексту, более быстрым решениям и более веским доказательствам.
Нарисованная ИИ безопасность: оптические иллюзии?
Распространение ИИ в сфере кибербезопасности создает реальный риск: принятие функций ИИ за кибертрансформацию. Нарисованная ИИ безопасность поначалу обычно выглядит привлекательно. Дашборды кажутся умнее. Сводки приходят быстрее. Аналитики получают больше помощи. Но под этим фасадом часто остаются те же очереди, передачи задач, пробелы в ответственности и проблемы с доказательствами.
Но если ИИ ускоряет один шаг, в то время как остальной процесс остается прежним, выгода будет ограничена, поскольку темп программы безопасности задается ее самым медленным этапом передачи. Если ИИ ускоряет один шаг, но следующий шаг по-прежнему ждет ручной очереди, нечеткого владельца или устаревшего пути утверждения, программа на самом деле не изменилась.
Решение заключается не только в инструментах ИИ. Оно также состоит в пересмотре и обновлении базовых процессов, путей принятия решений, моделей ответственности и рабочих процессов контроля. В противном случае программа остается ровно настолько быстрой, насколько быстр переход к следующему процессу, управляемому человеком.
Люди должны управлять, а не стоять в очереди
ИИ не исключает человека из кибербезопасности. Он меняет сферы, в которых люди приносят наибольшую пользу.
Люди не должны тратить свое время на сбор одних и тех же доказательств, обогащение одних и тех же оповещений или маршрутизацию одних и тех же заявок. Это как раз та работа, которую ИИ может помочь подготовить, ускорить или автоматизировать в четких рамках. Люди нужны там, где важно экспертное мнение: определение склонности к риску, установление границ, утверждение высокоэффективных действий, разрешение неопределенности и принятие ответственности, когда решение затрагивает клиентов, операции, юридические риски или доверие.
Именно этот сдвиг должны контролировать лидеры безопасности. Какая-то работа должна оставаться под управлением человека при поддержке ИИ. Что-то может управляться ИИ и утверждаться человеком. Некоторые низкорисковые действия могут выполняться ИИ в рамках установленных ограничений.
Вопрос проектирования носит практический характер: что может делать ИИ, что должен одобрять человек и чего ИИ никогда не должен делать?
Именно так программы безопасности набирают скорость, не теряя контроля.
Измерение зрелости в эпоху ИИ
ИИ может сделать программу безопасности более продвинутой внешне, не делая ее при этом более эффективной. Новые инструменты, дашборды и автономные рабочие процессы могут сигнализировать о прогрессе, не улучшая результаты. Действительно важно то, действительно ли программа работает лучше.
Зрелость проявляется в стрессовых ситуациях.
Происходит ли обнаружение быстрее? Сократилось ли время локализации? Уменьшилось ли количество ложных срабатываний? Сосредоточены ли команды на тех угрозах, которые действительно важны? Принимаются ли решения о доступе на основе реального контекста рисков? Можно ли предоставить аудиторские доказательства таким образом, чтобы они выдержали тщательную проверку?
Это и есть критерий оценки. Эффективность контроля, а не активность ИИ. Но этот критерий будет проверяться по мере того, как ИИ приобретает автономность и способность действовать. Поскольку ИИ переходит от поддержки к рекомендациям и исполнению, зрелость зависит от трех вещей:
- Управление должно быть встроено в рабочий процесс. Процесс должен четко определять, что может делать ИИ, какие доказательства он должен предоставить, когда он должен передать задачу выше и где одобрение человека не подлежит обсуждению.
- Обеспечение гарантий должно стать непрерывным. Ежегодные проверки и точечные аудиты по-прежнему важны, но они не успевают за постоянно меняющимися системами. Элементы контроля на базе ИИ должны быть способны сигнализировать об отклонениях, снижении уровня уверенности, накоплении исключений и моментах, когда требуется вмешательство человека.
- Безопасность ИИ должна быть ключевой частью киберпрограммы со скоростью ИИ. ИИ не может стать следующим неуправляемым уровнем. Командам необходима видимость активных возможностей ИИ, данных, к которым они обращаются, имеющихся у них разрешений и действий, которые они могут инициировать. Эта видимость должна охватывать всю цепочку поставок ИИ: модели, промпты, источники извлечения данных, агенты, инструменты и поведение во время выполнения.
В этом заключается разница между быстрым движением и сохранением контроля.
ИИ не должен просто ускорять кибернетическую работу. Он должен делать программу более точной, подотчетной и способной доказывать, что контроль по-прежнему работает по мере изменения среды.
>> Лидеры сейчас сталкиваются со стратегической задачей — обеспечить работу своих программ кибербезопасности со скоростью и масштабируемостью ИИ без ущерба для управления, подотчетности или человеческих полномочий. Я хотел бы услышать ваше мнение о том, как ваша организация принимает это изменение на машинно-быстрой скорости и прагматично готовится к эре ИИ. Давайте свяжемся.
