Рик Орлофф (Rick Orloff), директор по информационной безопасности (CISO) в Everpure, начал Месяц осведомленности о кибербезопасности с суровой правды: одной лишь осведомленности уже недостаточно. Злоумышленники действуют со скоростью машин, и реальный вопрос заключается в том, как быстро вы восстанавливаетесь, а не в том, совершена ли атака. Я хочу развить эту мысль под тем углом, с которым моя команда работает каждый день: сами данные и то, что вы действительно знаете о них до того, как вступят в силу меры защиты или восстановления.
Любое решение в области устойчивости — от того, что заблокировать, до того, что восстановить в первую очередь — ценно лишь настолько, насколько надежен контекст данных, с которыми оно работает. Если пропустить этот шаг, вы не обеспечиваете устойчивость. Вы действуете наугад.
Решения вслепую не масштабируются
Большинство систем хранения и средств безопасности по-прежнему рассматривают данные как однородную массу: сделать резервную копию, реплицировать, возможно, зашифровать — готово. Это работает ровно до тех пор, пока не произойдет инцидент и вам не понадобятся ответы здесь и сейчас. Регулируется ли этот набор данных? Кто и что к нему прикасается? Обслуживает ли он критически важный для дохода процесс или песочницу разработки, которую никто не открывал уже год? Не скопировал ли кто-нибудь производственные данные клиентов в тестовую среду?
Фреймворки уже ожидают от нас понимания этих вопросов. NIST CSF 2.0 рекомендует организациям вести учет данных и их метаданных (ID.AM-07), а также расставлять приоритеты для активов по классификации, критичности и влиянию на бизнес (ID.AM-05). Лишь немногие предприятия могут делать это на необходимом уровне, особенно в отношении неструктурированного контента, SaaS и мейнфреймов, где в действительности сосредоточена большая часть смыслов и рисков.
Контекстная видимость — это начало пути, а семантический контекст — ваш навигатор
Традиционные инструменты работы с метаданными отвечают на вопросы хранения: где находится файл? Кто его изменил? Какая схема у этой таблицы? Это полезно, но они не говорят специалистам по безопасности или системе ИИ, что означают эти данные. И киберустойчивости, и ИИ требуются совершенно иные ответы: о каком бизнес-объекте идет речь? С чем еще он связан? Какие обязательства за ним тянутся? Можно ли безопасно использовать эти данные для данной цели прямо сейчас?
Именно этот пробел закрывают технологии анализа данных. Everpure Data Intelligence обнаруживает данные в облаках, SaaS, локальных средах, мейнфреймах и в процессе передачи; классифицирует персональные данные (PII), медицинские данные (PHI), данные платежных карт (PCI), конфиденциальные учетные данные и интеллектуальную собственность (с точностью 98,6% на уровне элементов данных по результатам независимого тестирования Tolly Group); а затем контекстуализирует каждый актив с помощью трех уровней: риска (чувствительность, уровень подверженности угрозам, круг лиц с доступом), нормативного соответствия (GDPR, HIPAA, PCI DSS, CCPA и требования к локализации) и бизнес-контекста (принадлежность, использование, значение и связи).
Не менее важно и то, что этот контекст является активным, а не пассивным. Каталог, который собрали один раз и оставили без изменений, устаревает на следующий день после аудита. Активные метаданные пересчитываются непрерывно по мере изменения, копирования или перемещения данных, благодаря чему картина, на которую опираются ваши инструменты безопасности и восстановления, отражает актуальное состояние инфраструктуры, а не прошлый квартал. Классификация говорит вам, чем являются данные. Контекст говорит вам, что с ними делать.
Контекст существует на уровне объектов и данных, а не файлов
Большинство инструментов останавливаются на уровне активов: файл, папка, таблица. Злоумышленники и регуляторы мыслят иначе. Они оперируют понятиями клиентов, пациентов, учетных записей и контрактов. Поэтому мы выстраиваем контекст на уровне объектов в семантическом графе знаний. CustomerID 123 в таблице CRM, «J. Doe» в PDF-контракте и john.doe@example.com в архиве электронной почты объединяются в единый канонический объект «Клиент» с использованием общих идентификаторов, вероятностного сопоставления атрибутов, признаков одновременного появления и правил онтологии. Каждый объект несет в себе собственный контекст управления:
Customer:CUST001 is_PII = true governed_by = [GDPR, CCPA] residency = USA
source_of_truth = CRM_v3 last_verified = 2026-09-15
CUST001 —[MADE_PURCHASE]→ TXN456 —[INCLUDES]→ PROD_XYZ
Связи также извлекаются из неструктурированного контента. Стенограмма звонка или клиническая заметка превращаются в такие связи, как Врач→ЛЕЧИЛ→Пациент, связывая скрытые неструктурированные данные с системами учета. Для обеспечения устойчивости это меняет самый сложный вопрос при любом инциденте: не «сколько файлов было затронуто?», а «сколько реальных людей, учетных записей и обязательств пострадало?». В ходе одного из внедрений разрешение сущностей сократило 180 миллионов клиентских записей до 30 миллионов реальных идентификаторов, обеспечив сокращение на 83%. В этом и заключается разница между точным определением масштаба утечки и раздутым, затянутым процессом.
ИИ-агенты повышают ставки
В настоящее время количество машинных идентификаторов превышает человеческие примерно в 109 раз (Palo Alto Networks’ 2026 Identity Security Landscape report). Каждый агент, второй пилот (copilot) и рабочий процесс используют учетные данные и принимают решения о доступе тысячи раз в день без участия человека. Исследования IBM’s 2026 Cost of a Data Breach report показали, что 92% организаций, столкнувшихся с инцидентами безопасности, связанными с ИИ, не имели надлежащего контроля доступа к ИИ, а в 68% пострадавших организаций отсутствовало управление для контроля ИИ или обнаружения теневого ИИ. Утечки с участием теневого ИИ обошлись в среднем в 5,39 млн долларов США, что примерно на 400 000 долларов США превышает общемировой показатель.
Нельзя установить значимые ограничения для агента, если вы не понимаете данные, находящиеся под ним. Имея контекст на уровне объектов, политики могут оценивать не только то, кто делает запрос, но и зачем, что именно запрашивается (тип и чувствительность объекта), где хранятся данные (требования к локализации) и как они будут использоваться в дальнейшем. Это делает возможным применение правил, учитывающих назначение, например: «персональные данные клиентов разрешено использовать для переобучения моделей выявления мошенничества, но не для точной настройки маркетинговых алгоритмов». Это также позволяет осуществлять динамическое маскирование конфиденциальных свойств, блокировать трансграничные соединения и удерживать агентов в пределах утвержденной зоны данных вместо того, чтобы позволять им незаметно расширять область доступа. Каждый запрос на доступ записывает историю происхождения в граф, благодаря чему каждый ответ ИИ или автономное действие можно обосновать постфактум.
Что меняет контекст для обеспечения устойчивости
В октябре этого года Everpure расширяет концепцию киберустойчивости по трем направлениям: встроенная безопасность, связанное обнаружение, а также динамическое реагирование и восстановление. Контекст делает каждое из них эффективнее.
- Принцип безопасности по проекту (secure-by-design) становится жестче. Политики неизменяемости, хранения, шифрования и репликации следуют за чувствительностью и критичностью данных, а не просто за объемом хранилища.
- Поверхность атаки сокращается в первую очередь. Контекст выявляет опасные комбинации: избыточные права доступа к конфиденциальным данным, производственные данные в непроизводственных средах, избыточные копии ценнейших активов и передачу конфиденциальных файлов третьим лицам. Данные, безопасность которых восстановлена, невозможно украсть или зашифровать.
- Обнаружение становится интегрированным. Чувствительность и бизнес-контекст передаются в SIEM и SOAR, поэтому аномалия в хранилище регулируемых клиентских данных имеет более высокий приоритет, чем та же аномалия на временном томе. Центр мониторинга безопасности (SOC) получает ранжированный список действий, а не тонны лишнего шума.
- Восстановление и реагирование ранжируются по приоритету. Контекст с учетом бизнес-процессов определяет, что восстанавливается в первую очередь, и ограничивает радиус поражения на уровне объектов, что крайне важно, когда GDPR дает вам 72 часа на уведомление надзорного органа, а Комиссия по ценным бумагам и биржам (SEC) ожидает подачи отчета о существенном инциденте в течение четырех рабочих дней.
Это и есть та главная мысль, о которой говорил Рик. Снижение вероятности сбоев и минимизация их последствий — это два результата одного и того же подхода, основанного на контексте.
Управление ИИ — это та же самая задача, но поднятая на один уровень выше
Как отмечает Gartner, готовые к ИИ данные «нельзя создать один раз и забыть об этом». Готовность зависит от вариантов использования, поэтому ее необходимо оценивать непрерывно и в контексте. Фреймворк управления рисками ИИ от NIST и требования к управлению данными в Законе об ИИ ЕС (статья 10) предполагают возможность продемонстрировать, какие именно данные обучают, настраивают и обосновывают модель, а также имеете ли вы право их использовать. Тот же контекст отвечает на три вопроса: ответственный ИИ (являются ли эти данные уместными и полными?), управление ИИ и контроль (можем ли мы контролировать и доказывать, что поступает в модели и агенты?) и суверенитет ИИ (соблюдаются ли правила размещения и владения?). Данные, которыми владеют, которые понимают и которые соответствуют политикам, могут уверенно использоваться для RAG и агентов; данные с неуправляемой персональной информацией (PII), конфиденциальными данными или конфликтами мест размещения в первую очередь направляются на исправление.
Как это выглядит на практике
Everpure Data Intelligence уже работает более чем в 50 компаниях из списка Global 1000, управляя 1,7 миллиарда объектов на 200 ПБ. Национальный процессор платежей обнаружил 91 миллион незащищенных записей карт и устранил уязвимость. Крупнейший мировой лидер в сфере карт и платежей Global 100 просканировал 14 500 баз данных менее чем за две недели и сократил время ответа на запросы субъектов данных с дней до минут. В каждом случае успех достигался за счет контекста, а не только за счет охвата.
Осведомленность начинает разговор в рамках месяца осведомленности о кибербезопасности. Контекст его завершает.
Месяц осведомленности о кибербезопасности — подходящий момент, чтобы задать три вопроса о ваших данных: Что это на самом деле — клиент, учетная запись, запись? Кто от них зависит — люди, агенты, системы?
Что сломается и кому вы позвоните, если они исчезнут? Что сломается и кого вы обязаны уведомить, если они исчезнут или утекут? Если вы не можете ответить на эти вопросы сегодня, ваш план восстановления — это гипотеза, а не план.
Этот разрыв между «у нас есть резервные копии» и «мы понимаем, что означают наши данные и что нужно защищать, регулировать и восстанавливать в первую очередь» — это то место, где организации терпят неудачу во время реального инцидента. Устранение этого разрыва не является пунктом дорожной карты на будущее для нас. Интеллектуальный анализ данных уже поставляется в платформу Everpure, и в ближайшие недели мы поделимся подробностями о том, как создается этот контекст, связывается с хранилищами и безопасностью и применяется на практике для защиты, обнаружения и восстановления.
