Ми маємо обмежений час, щоб посилити кіберзахист.
У найближчі місяці кібератаки із застосуванням ШІ стануть значно поширенішими й складнішими, оскільки моделі в усьому світі набуватимуть дедалі більших можливостей. Компанії та державні служби, від яких залежать наші громади, — від лікарень і водоочисних споруд до інфраструктури, що забезпечує роботу інтернету, — перебувають під загрозою.
Сучасні досягнення ШІ вже дають захисникам нові способи усувати вразливості, що накопичувалися роками. Якщо діяти рішуче, ми зможемо скористатися цим вікном можливостей для захисників і зробити наш цифровий світ значно безпечнішим.
Ми пропонуємо такі принципи спільного реагування:
- Визнати, що звичних заходів безпеки вже недостатньо. Давні помилки, надмірні дозволи, неправильні конфігурації, незахищене й невиправлене програмне забезпечення, слабка автентифікація та технічний борг застарілих систем зробили системи вразливими. Командам безпеки, особливо у сфері критичної інфраструктури, традиційно бракувало ресурсів, і тепер вони потребують суттєвого збільшення кількості інструментів та ресурсів.
- Надати більшій кількості захисників ШІ з кіберможливостями. ШІ робить спеціалізовані навички доступними більшій кількості захисників, а основні завдання безпеки — швидшими, дешевшими та якіснішими. Обмін інструментами, практичними знаннями та перевіреними виправленнями дає змогу результатам роботи однієї організації захищати багато інших.
- Мобілізувати спільне реагування. Кіберможливості розвиваються в усьому світі, і загалом це може бути позитивним явищем: майбутнє не має контролювати одна компанія. Водночас це означає, що необхідна глобальна відповідь і нові партнерства для підвищення стандартів безпеки та пошуку нових рішень проти нових кіберзагроз.
Кожен із нас може зменшити ризик уже зараз. Усі організації, компанії з кібербезпеки, технологічні партнери, уряди та компанії у сфері передового ШІ мають відіграти важливу роль: прискорювати реалізацію пріоритетів захисників за допомогою інструментів, фінансування та практичної підтримки, особливо для організацій критичної інфраструктури з обмеженими бюджетами.
Ось що, на нашу думку, потрібно зробити далі:
Кожна організація
Негайно зробити кіберзахист пріоритетом для керівництва. Підвищити стандарти безпеки й дотримуватися їх із такою самою терміновістю та злагодженістю, як під час інциденту, важливішими за який є лише критично важливі бізнес-операції. Усувати найризикованіші вразливості, перевіряти результати без порушення роботи життєво важливих служб і висувати суворіші вимоги до безпеки всього, що ви купуєте, створюєте та впроваджуєте, включно з кодом, згенерованим ШІ. Оновлювати або замінювати системи, закладаючи в них принцип найменших привілеїв, надійний контроль доступу та багаторівневий захист. Використовувати потужні й доступніші моделі для широкого охоплення, а передові можливості — для розв’язання найскладніших проблем. Якщо систему неможливо виправити без порушення роботи життєво важливих служб, застосовувати й перевіряти компенсувальні заходи контролю.
Компанії з кібербезпеки та технологічні партнери
Допомагати очолювати протидію тривалим атакам із застосуванням ШІ, зокрема безперервно випробовувати захист проти передових кіберможливостей, посилювати наявні інструменти за допомогою ШІ та разом із технологічними партнерами вже зараз усувати прогалини. Зробити захист на основі ШІ доступним і придатним до впровадження для операторів критичної інфраструктури, надавати практичну допомогу з розгортання інструментів і перевірки виправлень, а також співпрацювати з виробниками й системними інтеграторами в ланцюгах постачання критичної інфраструктури, щоб установлювати виправлення та надавати тимчасові рекомендації. Ділитися інформацією про загрози й перевіреними планами дій, а поступ оцінювати за кількістю захищених організацій, швидкістю локалізації атак і дієвістю виправлень.
Уряди
Координувати кіберзахист на місцевому, національному та міжнародному рівнях. Посилювати наявні державні та галузеві канали для обміну практичною інформацією про загрози, визначення найсерйозніших ризиків і координації реагування на інциденти та відновлення в усьому світі. Фінансувати кіберзахист, починаючи з життєво важливих служб, яким бракує персоналу або бюджету для необхідних дій. Прискорити розширення програм довіреного доступу, особливо для ланцюгів постачання критичної інфраструктури, і надати іншим захисникам ширший доступ до засобів захисту. Надати лікарням, підприємствам водопостачання та місцевим органам влади доступ до потужного захисного ШІ, авторизованого тестування й практичної підтримки через надійних постачальників і партнерів у сфері безпеки. Змушувати зловмисників платити за свої дії.
Компанії у сфері передового ШІ
Надавати відповідальний доступ до моделей, значне фінансування, навчання та практичну підтримку, особливо захисникам критичної інфраструктури, яким бракує ресурсів. Створювати інструменти спостережуваності й безпеки, забезпечувати відстежуваність і підзвітність ідентичностей ШІ-агентів та ділитися найкращими практиками безперервного моніторингу. Інвестувати в авторизоване тестування, конфіденційне повідомлення про вразливості та перевірені виправлення, а також ділитися інструментами, планами дій і достовірними оцінками загроз з урядами, партнерами з безпеки й супровідниками відкритого програмного забезпечення, щоб посилити готовність, реагування та відновлення.
Ми можемо зробити цифрову інфраструктуру, від якої всі залежимо, безпечнішою.
Ми закликаємо керівників галузей і урядів спрямувати на ці зусилля всю потужність своїх технологій, ресурсів і досвіду. Надати захисникам ШІ з кіберможливостями, починаючи з команд, які захищають життєво важливі служби. Усувати найнебезпечніші вразливості, перевіряти виправлення й ділитися дієвими рішеннями, щоб інші могли їх розвивати. Разом ми можемо перетворити сучасні досягнення ШІ на довготривалі покращення безпеки на користь усіх. Застосуймо їх на практиці.
Join organizations across industry and government in calling for urgent, collective action on cyber defense.
Submissions are subject to approval. Approved organizations will be listed by name only, without a logo.