Операции безопасности: баланс автоматизации и человеческой экспертизы

Реагирование на инциденты неизбежно станет все более автоматизированным, так как машинное обучение и ИИ имеют большой потенциал для повышения эффективности всего процесса, но автоматизация должна проводиться с осторожностью и до определенной точки, не отказываясь от человеческого элемента и позволяя CISO сохранять контроль над всеми киберсобытиями, благодаря незаменимым знаниям и экспертизе, которые у них есть, и очевидным недостаткам этих технологий, которые еще не решены.

Прогресс в области машинного обучения и ИИ стал все более заметен в индустрии кибербезопасности в последние годы. Различные решения, созданные для оптимизации усилий по реагированию на инциденты и повышения их эффективности, сейчас используют эти технологии.

Нет сомнений, что автоматизация определенных задач в процессе реагирования на инциденты — в частности тех, что связаны с рутинной и механической работой — помогает организациям стать более устойчивыми к кибератакам. Но некоторые профессионалы кибербезопасности склонны приравнивать автоматизацию некоторых аспектов процесса к полной автоматизации всего процесса, что на самом деле два разных понятия.

Важно отметить, что когда речь идет о кибер-реагировании на инциденты, автоматизация и автоматика не должны считаться синонимами.

Как CISO навигируют в «новом мире автоматизированного vs автоматического»

В этой новосозданной среде, где идея автоматического реагирования набирает все больше тяги, один из главных вопросов, возникающих в сообществе кибербезопасности — как CISO навигируют в ней и стремятся ли они к полной автоматизации или осознают потенциальные риски и придерживаются оркестрированного подхода.

Можно сказать, что много CISO соблазнены принять автоматическое реагирование на инциденты, но им нужно знать перед этим, что существует множество вызовов и препятствий, связанных с таким шагом.

Например, существуют конкретные риски соответствия, которые могут возникнуть из такого сценария. Соответствие законам об уведомлении о нарушении данных имеет первостепенное значение в области реагирования на инциденты, так как организации обязаны уведомлять клиентов о нарушениях и подавать отчеты об этих нарушениях в соответствующие органы в установленный срок.

Чтобы достичь такого соответствия, организации просто не могут полагаться на автоматическую систему реагирования на инциденты, поскольку это требует человеческого вклада в процессе оценки масштаба, тяжести и влияния нарушений, который должен быть завершен перед тем, как организация решит, подлежит ли конкретное нарушение законам об уведомлении.

General Data Protection Regulation (GDPR) как пример, которая вступает в силу в мае 2018 года, — одна из тех строгих регуляций, требующих определенных организаций, переживших утечку данных, уведомить в течение 72 часов после обнаружения нарушения, и уведомить затронутых лиц, если определено, что нарушение имело негативное влияние.

Чтобы определить эти факты и решить, следует ли сообщать о нарушении, организациям нужны профессионалы кибербезопасности, знающие о существовании таких регуляций и знающие их в деталях, и реагирующие в соответствии с ними, чего автоматическая система реагирования на инциденты не способна сделать. Санкции за несоответствие могут быть довольно серьезными, включая высокие штрафы, способные серьезно ударить по итогам организации.

Сохранит ли кибербезопасность человеческий элемент в будущем?

Еще один важный вопрос, поднимаемый в сообществе кибербезопасности — нужен ли все еще человеческий элемент в реагировании на инциденты. Быстрые прогресс в области машинного обучения и ИИ вывел этот вопрос на свет, приверженцы автоматизации заявляют, что это логичный и неизбежный следующий шаг для кибербезопасности.

Хотя идея автоматического реагирования на инциденты может звучать привлекательно, более разумное и обоснованное мнение — что человеческий элемент продолжит играть значительную роль в кибербезопасности по нескольким важным причинам. Прежде всего, как сказано выше, есть факт, что человеческое суждение все еще необходимо во многих ключевых аспектах реагирования на инциденты, таких как обеспечение регуляторного соответствия.

Затем опытные и высококвалифицированные профессионалы кибербезопасности являются и должны продолжать быть неотъемлемым элементом процесса оркестрации реагирования на инциденты. Оркестрация необходима командам безопасности для эффективного и эффективного проведения всего процесса реагирования на инциденты без потери контроля над некоторыми существенными аспектами, такими как восстановление и искоренение, بالإضافة к подготовке и пост-инцидентному анализу, требующим человеческого вклада.

Кроме того, CISO несомненно ожидаются оставаться частью некоторых более широких мероприятий, связанных с реагированием на инциденты, таких как повышение осведомленности о кибербезопасности среди всех сотрудников в их организациях и повышение устойчивости организации к будущим кибератакам.

Кратко: реагирование на инциденты неизбежно станет все более автоматизированным, так как машинное обучение и ИИ имеют большой потенциал для повышения эффективности всего процесса, но автоматизация должна проводиться с осторожностью и до определенной точки, не отказываясь от человеческого элемента и позволяя CISO сохранять контроль над всеми киберсобытиями, благодаря незаменимым знаниям и экспертизе, которые у них есть, и очевидным недостаткам этих технологий, которые еще не решены.

Источник: Дарио Форте, основатель и CEO DFLabs