Yapay zeka siber güvenliği değiştiriyor ve işletmelerin bu tehdide karşı uyanması gerekiyor
Tehdit aktörleri yapay zekayı kullanmaya başlıyor ancak pek çok yönetici risklere hazırlıklı değil.
Tehdit aktörleri oyunlarını geliştirmek için yapay zekaya (AI) yönelirken, kurumsal yönetim kurullarının siber güvenlik sorunlarını ele alırken daha iyi koordineli ve acil hale gelmesi gerekiyor.
Yönetim kurulunun birincil rolü, yönetim ekibiyle birlikte şirketin çıkarlarını büyütmek ve korumaktır. Clifford Capital başkanı Sanjiv Misra, Istari Global'in Singapur'daki Charter Asya-Pasifik Siber Kongresi'nde düzenlenen bir panel tartışmasında, dijitalin günümüzde pek çok kuruluşta bu kadar bütünleşmiş olması nedeniyle, siber güvenliğin yönetim kurulunun büyüme stratejisinin bir parçasını oluşturması gerektiğini söyledi.
Misra, siber güvenlik olmadan yönetim kurulunun işi büyütme yeteneğinin ciddi şekilde tehlikeye gireceğini söyledi. Diğer panelist Teğmen InfoSecurity başkanı Lee Fook Sun da aynı görüşte olup fiziksel ve siber alanlar arasındaki bağlantıya dikkat çekti. Örneğin Ukrayna ve Gazze'deki çatışmalar, hacktivizm ve ulus devlet saldırılarının yol açtığı çevrimiçi tehdit faaliyetlerinin sayısını artırdı.
Lee, toplantı odalarının bu tür gerçek dünyadaki gelişmelerin çevrimiçi ortamları nasıl etkilediğini ve dolayısıyla sorumlulukları altındaki şirket için iş risklerine dönüştüğünü anlaması gerektiğini söyledi. Başarılı bir yaklaşım, tehditlerin ne olduğu, nerede olduğu ve saldırganların kim olduğu konusunda farkındalık gerektirir. Lee, yakın zamanda bu göstergelerin bazılarını yayınlayan Ensign gibi güvenlik sağlayıcıları tarafından sağlanan tehdit bilgilerinin yönetim kurulları için öngörüler sunabileceğini söyledi.
Yönetim kurulları arasında siber risklere ilişkin farkındalık artarken Lee, yönetim kurulları ile kuruluşun geri kalanı arasında hâlâ bir uyum eksikliği bulunduğunu söyledi. Siber risklere gösterilen ilgi çoğunlukla düzenleyici kaygılardan kaynaklanır ve daha fazla aciliyet genellikle ancak kuruluş ilk ihlale maruz kaldıktan sonra ortaya çıkar.
Lee, yönetim kurullarını CIO ve CISO'larının çalışmalarını anlamaya ve bu yöneticilerin rollerinde ne kadar etkili olduklarını belirlemeye çağırdı. "İyi yağlanmış bir mekanizmanın" çalışmasını sağlamak için yönetim kurullarının, şirketi çevrimiçi tehditlere karşı tanımlamaktan ve savunmaktan sorumlu iki kişiyle açık tartışmalar yapabilmesi gerektiğini söyledi.
Çoğu yönetim kurulunun muhtemelen finansal konular gibi başka acil sorunları olduğundan, siber risk yönetimini bir alt komiteye devretmelerini önerdi. Bu birimin daha sonra şirketin siber güvenlik stratejisinin ve siber dayanıklılığının etkinliğini değerlendirebileceğini ve bir miktar denetim sağlayabileceğini söyledi.
Misra, yönetim kurullarının siber riskleri tanıması ve bunların iş üzerindeki etkilerini çerçevelemesi gerektiğinin altını çizdi. Daha sonra bu riskleri önceliklendirebilecekler, böylece hangi unsurların daha acil olarak ele alınması gerektiğini ve bu tehditlerin nasıl yönetilmesi gerektiğini belirleyebilecekler. Siber saldırıların hacmi artmaya devam ettiği için bu faaliyeti yakın zamanda gerçekleştirmeliler.
Kuruluşlar temel önlemleri almalı
Interpol, yaklaşan Paris Olimpiyatları'ndaki en büyük güvenlik tehdidinin siber suç olacağı konusunda uyardı. 2021 Tokyo Olimpiyatları'nda 450 milyon siber saldırı yaşandı; bu, 2012 Londra Olimpiyatları'ndaki toplamın iki katından fazla.
Bu tür saldırılar, biletleme, ulaşım ve yönetim dahil olmak üzere BT sistemlerinin desteğini gerektiren faaliyetleri kesintiye uğratabilir. İletişim ve Enformasyon Bakanı Josephine Teo'ya göre, sürekli büyüyen siber tehdit, Singapur gibi dijital gelişmelerin nispeten gelişmiş olduğu ulusların siber güvenliğe öncelik verme ve siber savunma yeteneklerini artırma ihtiyacını vurguluyor.
Teo, kongrede yaptığı konuşmada, bu önceliklendirmenin dijital altyapıların güçlendirilmesi ve ülkede faaliyet gösteren şirketlerin dayanıklılığı anlamına geldiğini söyledi. Kuruluşları siber operasyonlarını korumak için daha fazlasını yapmaya çağırarak, "İnsanların kullandığı hizmetleri sağlıyorlar ve çevrimiçi deneyimlerimizi tanımlıyorlar" dedi.
Singapur Siber Güvenlik Ajansı (CSA) tarafından yürütülen bir araştırmaya dikkat çeken Teo, araştırmanın daha fazla şirketin temel güvenlik önlemlerini alması gerektiğini ortaya çıkardığını kaydetti.
Ankete katılan kuruluşlar, donanım ve yazılım için güvenli yapılandırma ayarlarının kullanılması, veri ve hizmetlere erişimin kontrol edilmesi ve cihaz ve sistemlerdeki yazılımların güncellenmesi de dahil olmak üzere beş kategoride güvenlik önlemlerinin ortalama %70'ini benimsemiştir. Teo, bu temel önlemlerin kısmen kabul edilmesinin "yetersiz" olduğunu söyledi.
Araştırmaya 23 sektör ve yedi yardım sektöründen 2.000'den fazla kuruluş katıldı. Ankete katılanların çoğu, geçtiğimiz yıl boyunca fidye yazılımı veya kimlik avı girişimleri gibi en az bir siber olayla karşılaştı.
Singapur bakanı, "Biz ancak en zayıf halka kadar güçlüyüz. Tüm bu temel önlemler alınmadığı sürece kuruluşlar gereksiz siber risklere maruz kalmaya devam edecek" dedi. "CSA'nın görüşüne göre, 'geçme puanı' üst düzey yöneticilerinize, çalışanlara, tedarikçilere ve müşterilere güvence verecek kadar yüksek ayarlanmalıdır. Bu, beş temel önlemin tümünü kapsayan temel önlemlerin tam paketinin benimsenmesi anlamına gelir. kategoriler."
Kuruluşların yalnızca üçte birinin en az üç kategorideki tüm tedbirleri benimsediğini ekledi. Neredeyse %60'ı siber güvenliği etkili bir şekilde uygulama konusunda uzmanlık veya deneyim eksikliğini kabul etti.
Teo, "Siber riskler arttı ve hızla gelişmeye devam ediyor. Bu, en karmaşık kuruluşların bile ayak uydurmakta zorlandığı siber profesyonel açığının artmasına katkıda bulundu." dedi. Singapur'un CyberSG Yetenek, İnovasyon ve Büyüme Planı (TIG Planı) gibi programlar aracılığıyla siber güvenlik yetenek havuzunu artırmak için çalıştığını belirtti.
Standard Chartered'ın Grup CISO'su Alvaro Garrido'ya göre üretken yapay zeka, siber güvenlik alanındaki küresel beceri eksikliğinin ortasında harika bir dengeleyici olabilir. Kongredeki bir panel tartışması sırasında Garrido, daha önce bir sistemi yapılandırmamış olan kişilerin artık bunu yönlendirmeler yoluyla yapabileceğini söyledi.
Üretken yapay zekanın üretkenliği artırdığını ve aynı zamanda karmaşık tehdit istihbaratını evrensel olarak anlaşılabilecek bilgilere dönüştürmenin bir yolunu sağladığını söyledi. Gelişen teknoloji, profesyonellerin daha önce katılamasalar bile siber güvenlik sektörüne katılmalarını ve beceri açığını kapatmalarını kolaylaştırdı.
Ekibi, üretken yapay zeka üzerinde deneyler yapıyor ve bunu üretkenlikte ortalama %30'luk bir artış gördükleri bazı görevlere uyguluyor.
Google Cloud'un Asya-Pasifik CISO'su Daryl Pereira, ekibinin üretken yapay zeka kullanımından elde edilen, kötü amaçlı komut dosyalarını bulmada %70'lik bir iyileşme de dahil olmak üzere benzer kazanımlardan bahsetti.
ABD'li satıcı, güvenlik olayları için tehdit tespiti ve önceliklendirme üzerinde çalışıyor. Pereira, bulut tarafından desteklenen yapay zekanın verileri insanlardan daha hızlı işleyebileceğini ve potansiyel tehditleri ele alabileceğini söyledi.
Ayrıca, üretken yapay zekayı doğal dil komutlarıyla bir rehber olarak kullanarak, güvenlikle ilgili olmayan profesyonellerin bazı SecOps (güvenlik operasyonları) görevlerini üstlenmeleri için silahlandırılma olasılığına da dikkat çekti. Örneğin, günlüklerin incelenmesi gibi SOC'deki (güvenlik operasyonları merkezi) günlük operasyonları yönetebilir ve çekirdek siber güvenlik ekibinin daha gelişmiş savunma işlevlerine odaklanmasına olanak tanıyabilirler.
Tehdit aktörleri üretken yapay zeka kullanıyor
Henüz siber güvenlik yeteneklerini güçlendirmek için üretken yapay zekayı kullanmayan şirketlerin, halihazırda mevcut olan çevrimiçi rakiplerle mücadele etmesi gerekecek.
Palo Alto Networks'ün APAC Japonya başkanı Simon Green, güvenlik sağlayıcısının bu hafta Singapur'da düzenlenen Ignite on Tour etkinliğinde, özellikle tehdit aktörlerinin daha ikna edici kimlik avı e-posta mesajları oluşturmak için üretken yapay zekayı kullandığını belirtti.
Dahili bir testin sonuçlarına atıfta bulunan Green, şirketin SOC ekibinin üretken yapay zeka kullanılarak oluşturulan bir kimlik avı e-postası için %25 tıklama oranı elde ettiğini söyledi. En az üç yıldır Palo Alto'da çalışan her çalışana, şirketin yakın zamanda güncellenen personel el kitabını inceledikten sonra çalışan kayıtlarını güncellemeleri yönünde bir talep içeren e-posta gönderildi.
Testin tıklama oranının güvenlikle ilgili olmayan şirketler için muhtemelen daha yüksek olacağını belirterek, üretken yapay zekanın daha önce kimlik avı e-posta iletilerini tanımlamayı kolaylaştıran bir sorunu düzelttiğini söyledi. Gelişen teknoloji, bilgisayar korsanlarının bu mesajları dilbilgisi hataları olmadan hızlı ve geniş ölçekte üretmesine olanak tanıdı.
Bulut üzerinden bu tür araçlara ve bilgilere erişim, tehdit aktörlerinin saldırıları hızla simüle etmesine, etkisiz saldırıları değiştirip ince ayar yapmasına ve daha yüksek başarı oranlarına sahip yeni saldırı vektörleri oluşturmasına da olanak tanıdı.
Ayrıca yapay zekanın giderek daha fazla benimsenmesi, büyük dil modeli zehirlenmesi ve derin sahtekarlıklar gibi yeni bir güvenlik açığı kategorisini de beraberinde getiriyor.
Palo Alto'nun yapay zeka yeteneklerini ürün portföyüne uygulamak ve bir yapay zeka "yardımcı pilotu" entegre etmek istediğini söyleyen Green'e göre, bu değişim siber güvenliğin nasıl geliştirildiği ve dağıtıldığı konusunda bir değişiklik gerektiriyor.