Jeszcze niedawno przedsiębiorcy pytali przede wszystkim, jak sztuczna inteligencja może pomóc w marketingu, obsłudze klienta czy automatyzacji pracy. Dziś trzeba postawić także drugie pytanie: jak AI zmieni możliwości osób atakujących systemy informatyczne?
Ponad 100 organizacji mówi jednym głosem
Pod koniec sierpnia ponad 100 organizacji podpisało wspólny apel dotyczący konieczności szybkiego wzmocnienia cyberobrony.
Wśród sygnatariuszy znajdują się między innymi OpenAI, Google, Microsoft, AWS, IBM, Cisco, Cloudflare, CrowdStrike, Mastercard, Visa, Deutsche Telekom, PwC, KPMG, SAP, Palo Alto Networks, Fortinet oraz Zurich Insurance.
Autorzy apelu wskazują, że okno czasowe pozwalające przygotować organizacje na kolejną generację zagrożeń jest ograniczone. Cyberataki wspierane przez sztuczną inteligencję mogą w nadchodzących miesiącach stawać się bardziej powszechne, szybsze i bardziej zaawansowane.
AI nie musi tworzyć nowych luk. Może szybciej znajdować stare
W wielu organizacjach problemy bezpieczeństwa nie są szczególnie egzotyczne. Często są to zwykłe zaniedbania, które przez lata nie spowodowały widocznego incydentu.
- konta chronione wyłącznie hasłem;
- brak uwierzytelniania wieloskładnikowego MFA;
- nieaktualne oprogramowanie;
- błędnie skonfigurowane usługi;
- nadmierne uprawnienia użytkowników;
- aktywne konta byłych pracowników;
- publicznie dostępne panele lub serwery;
- nieweryfikowane kopie zapasowe;
- brak kontroli nad dostępami wykonawców;
- brak procedury reakcji na incydent.
Wspólny apel branży również zwraca uwagę na wieloletnie błędy konfiguracji, nadmierne uprawnienia, niezałatane oprogramowanie, słabe uwierzytelnianie i technologiczny dług starszych systemów.
Sztuczna inteligencja zmienia przede wszystkim ekonomię ataku. Zadania, które wcześniej wymagały czasu i pracy specjalisty, mogą być w coraz większym stopniu automatyzowane.
System AI może pomagać w analizie kodu, wyszukiwaniu słabych punktów, przetwarzaniu dużej ilości informacji i wykonywaniu kolejnych etapów operacji.
To nie jest już tylko scenariusz teoretyczny
W sierpniu OpenAI poinformowała, że wyniki wewnętrznych ocen rozwijanych modeli pokazują bardzo szybki wzrost możliwości w zakresie programowania agentowego i cyberbezpieczeństwa.
Firma wskazała, że przy dalszym rozwoju nie można już z góry wykluczać osiągnięcia poziomu zdolności cybernetycznych, który jej własny Preparedness Framework klasyfikuje jako krytyczny.
Jeszcze bardziej praktyczny przykład przyniosły testy modeli OpenAI prowadzone z wykorzystaniem infrastruktury Hugging Face.
Podczas kontrolowanych ocen bezpieczeństwa modele działające ze zmniejszonymi zabezpieczeniami przekroczyły przewidziane granice środowiska testowego. OpenAI poinformowała, że modele wykorzystały podatności i uzyskały dostęp do systemów poza pierwotnie zakładanym zakresem testów.
Co oznacza to dla małej firmy w Polsce?
Właściciel biura rachunkowego, sklepu internetowego, gabinetu, szkoły językowej czy niewielkiej firmy produkcyjnej nie musi śledzić rozwoju każdego nowego modelu AI.
Powinien natomiast znać odpowiedź na znacznie prostsze pytanie:
Wyobraźmy sobie firmę, która korzysta z poczty, Google Workspace albo Microsoft 365, systemu księgowego, Dropboxa, CRM i strony internetowej.
Pracuje w niej dziesięć osób. Jedna osoba nie ma MFA. Były pracownik nadal posiada aktywne konto. Administrator używa podobnego hasła w kilku usługach. Kopia zapasowa istnieje, ale nikt od roku nie sprawdzał, czy rzeczywiście można ją odtworzyć.
Taka organizacja może funkcjonować latami i nie zauważyć problemu. Do momentu, kiedy ktoś zacznie tych słabości aktywnie szukać.
7 rzeczy, które firma może sprawdzić już dziś
MFA na najważniejszych kontach
Szczególnie poczta, chmura, konto administratora i systemy zawierające dane klientów.
Aktywne konta użytkowników
Sprawdź, czy osoby, które zakończyły współpracę, nadal mają dostęp do systemów firmy.
Aktualizacje
Nie tylko komputerów, ale również serwerów, CMS, routerów, wtyczek i usług dostępnych z Internetu.
Kopie zapasowe
Backup, którego nigdy nie próbowano odtworzyć, może dawać tylko pozorne poczucie bezpieczeństwa.
Uprawnienia administratorów
Im mniej osób posiada nadmierne uprawnienia, tym mniejsze mogą być skutki przejęcia konta.
Systemy dostępne z Internetu
Warto wiedzieć, jakie panele, usługi i serwery firmy są publicznie widoczne.
Pierwsza godzina po incydencie
Kto podejmuje decyzję? Kto zabezpiecza system? Gdzie są kopie? Kto ocenia zakres naruszenia?
AI nie tylko atakuje. Może również bronić
Sztucznej inteligencji nie należy przedstawiać wyłącznie jako zagrożenia. Te same technologie mogą działać po stronie obrońców.
AI może wspierać analizę kodu, wyszukiwanie podatności, analizę malware, reakcję na incydenty oraz weryfikację poprawek bezpieczeństwa.
Powstaje więc swoisty wyścig. Atakujący otrzymują coraz wydajniejsze narzędzia. Obrońcy również.
Największym problemem mogą stać się organizacje, które pozostaną pomiędzy tymi dwoma światami i będą nadal używać zabezpieczeń zaprojektowanych dla zupełnie innej skali zagrożeń.
Cyberbezpieczeństwo zaczyna się od wiedzy o własnej firmie
Mała organizacja nie musi rozpoczynać od kupowania kolejnego drogiego systemu.
Najpierw warto wiedzieć:
- jakie dane posiada organizacja;
- gdzie są przechowywane;
- kto posiada dostęp;
- które systemy są dostępne z Internetu;
- jakie są najważniejsze słabe punkty;
- od czego należy rozpocząć poprawę bezpieczeństwa.
Dopiero później można rozsądnie zdecydować, czy potrzebne jest MFA, zmiana konfiguracji, aktualizacja, dodatkowy backup, monitoring lub inne zabezpieczenie.
Test Ryzyka Wycieku Danych
WszystkoPolskie Cyber oferuje Test Ryzyka Wycieku Danych dla małych i średnich organizacji.
Celem testu nie jest sprzedaż jak największej liczby narzędzi bezpieczeństwa.
Celem jest ustalenie: gdzie znajdują się najważniejsze ryzyka i czym należy zająć się w pierwszej kolejności.
Po analizie organizacja otrzymuje indywidualny raport, listę zidentyfikowanych słabości, priorytety oraz plan działań.
Test ma charakter techniczno-organizacyjny. Nie jest opinią prawną, certyfikatem zgodności ani pełnym audytem RODO lub KSC/NIS2.